Focus métier : Consultant en gestion de crise, savoir accompagner le pire – ZDNet

Consultant en gestion de crise, savoir accompagner le pire

Lorsque se déclare une crise cyber en entreprise, il n’y a pas de honte à se faire accompagner. Les consultants en gestion de crise cyber comme Anaïs Fauré, de chez Alcyconie, viennent en renfort.

Dans le monde de la cybersécurité, certains métiers demandent autant de compétences humaines que techniques. C’est souvent le cas des postes liés aux questions de gouvernance, mais aussi celui des rôles spécialisés dans la gestion de crises. Ce scénario catastrophe que redoutent de nombreuses organisations, c’est un peu le quotidien des consultants en gestion de crise.

Reste à le définir. « Une crise cyber, c’est quand un incident de sécurité dépasse le système habituel de traitement des incidents mis en place par l’entreprise. Et généralement, les impacts vont bien au-delà des seuls aspects techniques, tout le fonctionnement de l’entreprise est perturbé » résume Anaïs Fauré, chez Alcyconie.

Bien évidemment, on pense aux attaques de type rançongiciel qui paralysent les outils de toute l’entreprise et laissent les employés dans le noir. Mais certaines fuites de données massives ou la compromission d’actifs stratégiques peuvent aussi rentrer dans cette catégorie. »

Un coup de main sur l’organisation

Face à ce genre de scénario, les entreprises ont souvent besoin d’une aide extérieure. Cela se traduit par le recours à une société spécialisée dans la réponse à incident. Ou dans l’investigation de trace numérique. Mais cette aide vient aussi de recours à des consultants en gestion de crise, comme Anaïs Fauré. « Notre travail est d’accompagner les dirigeants pour s’organiser dans ce contexte très particulier qu’est la crise cyber. Nous jouons un peu un rôle de chef d’orchestre. Nous conseillons, coordonnons les ressources et mettons en musique tout l’ensemble. Mais nous n’allons pas gérer à leur place. C’est toujours à l’entreprise que revient la décision finale. »

Les consultants interviennent sur la communication, les processus d’organisations, mais aussi des considérations plus terre-à-terre. « Cela demande une certaine compréhension des métiers. Mais aussi la façon dont on se prépare à une crise. Sans compter l’accompagnement psychologique des équipes. Nous, on est là pour les aider dans leur prise de décision et les aider à comprendre ce qu’il se passe » résume Anaïs Fauré.

L’implication du consultant est à géométrie variable selon les besoins du client. Il peut s’agir de conseils ponctuels pour accompagner certains moments. Mais parfois, les consultants externes sont impliqués directement aux côtés des équipes et au sein de la cellule de crise. Pour limiter les risques et ne pas tout faire reposer sur les épaules d’un seul consultant, les équipes d’Alcyconie travaillent généralement en duo, voire plus.

Qui veut la paix prépare la crise

Mais le quotidien des consultants ne consiste pas uniquement à courir de crise en crise pour délivrer la bonne parole et les bonnes pratiques. Le meilleur moyen de faire face à un incident de ce type, c’est en effet de l’anticiper et les consultants passent beaucoup de temps à accompagner les entreprises clientes pour les aider à peaufiner leur dispositif de gestion de crise, voire à le mettre à l’épreuve au travers d’exercices.

« L’objectif, c’est de proposer des scénarios personnalisés et surtout réalistes qui prennent en compte les spécificités et les mesures de sécurité mises en place par l’entreprise en question. Nous passons donc un certain temps à nous renseigner sur le fonctionnement de l’organisation, afin de comprendre au mieux comment se fait la remontée d’informations »  explique Anaïs Fauré. L’anticipation de ces scénarios a d’ailleurs fait l’objet de plusieurs publications de l’ANSSI, qui a mis en ligne un guide à destination de ceux qui souhaitent s’y essayer.

Dans ces exercices, les consultants en gestion de crise jouent le rôle d’animateurs, afin de faire évoluer le scénario en « jouant » les réactions des différents services, mais aussi des personnes extérieures qui viennent interagir avec la cellule de crise. Dans ce domaine, la plus-value d’un consultant est de se nourrir de son expérience d’accompagnement de crises « à chaud » pour proposer des déroulés réalistes, tirés de situations réelles. Les exercices, sorte de jeux de rôle grandeur nature version corporate, sont ensuite débriefés afin d’identifier ce qui ne marche pas, ce qui peut être amélioré, mais pas uniquement : « C’est aussi intéressant de pouvoir mettre en avant leurs forces, afin de permettre aux gens de comprendre ce qui fonctionne bien. »

Temporalités différentes

Ces retours permettent d’améliorer les processus au sein des entreprises, un travail qui tombe également dans l’escarcelle des consultants en gestion de crise. Mais dans ce cas de figure, il faut plutôt viser sur le long terme : les consultants prennent ainsi le temps de prendre connaissance de la documentation de l’entreprise, mais réalisent aussi des entretiens avec les différents membres des équipes afin de comprendre les spécificités de chacun.

Et aussi pour prendre en compte les personnalités des uns et des autres : « Nous pouvons en profiter pour identifier certains profils plus à même d’être intégrés à un dispositif de gestion de crise. » Un travail qui peut se prolonger sur plusieurs mois.

Le travail du consultant en gestion de crise se partage entre ces différentes temporalités : d’un côté le travail sur le temps long en accompagnement des entreprises qui souhaitent anticiper et se préparer, de l’autre l’accompagnement « à chaud » des organisations frappées par un incident venant perturber toute leur activité. Au quotidien, le consultant en gestion de crise doit donc faire preuve d’une certaine adaptabilité, voire se préparer à sacrifier certains soirs et week-end : « On sait bien que les attaquants n’attendent pas le lundi ou le mardi pour se déclarer. Là, avec l’approche des Jeux Olympiques, on se prépare à une période assez chargée » concède Anaïs Fauré. Un travail stressant donc ? « Il y a un peu de stress, mais c’est surtout un challenge : nos clients nous voient comme des experts en la matière, donc il faut qu’on soit à la hauteur. »

Article écrit par Louis Adam pour ZDNet.