Quand protéger l’entreprise menace de l’arrêter
Situation illustrative : à 8 h 10, le RSSI apprend qu’une vulnérabilité critique touche le composant d’authentification utilisé par le portail de commandes. L’éditeur recommande une mise à jour immédiate, mais celle-ci impose une interruption et son retour arrière n’a jamais été testé sur la version en production. À 11 heures, la direction commerciale doit confirmer si les prises de commandes du lendemain seront maintenues. Le dirigeant IT ne choisit pas entre sécurité et chiffre d’affaires. Il doit décider comment contenir un risque encore imparfaitement qualifié sans provoquer lui-même l’arrêt qu’il cherche à éviter.
Le vrai problème : deux horloges incompatibles
La cybersécurité raisonne en exposition, capacité de détection et vitesse de propagation. Le commerce raisonne en commandes, engagements clients, cut-off logistiques et solutions de repli. Tant que ces deux lectures restent séparées, chacun défend une évidence locale : corriger immédiatement pour le RSSI, maintenir le service pour les opérations. Or une correction précipitée peut rendre indisponible une application saine ; à l’inverse, un maintien sans protections compensatoires prolonge une exposition dangereuse.
La première décision consiste donc à traduire l’alerte technique en scénarios d’activité. Le composant est-il accessible depuis Internet ? Les comptes privilégiés sont-ils concernés ? Une exploitation est-elle observée dans l’environnement, et avec quel niveau de confiance ? Quelles commandes ne peuvent être ressaisies, différées ou captées par un canal alternatif ? Cette mise en relation ne supprime pas l’incertitude ; elle la rend arbitrable.
Stabiliser avant de promettre
Le dirigeant IT ouvre immédiatement trois pistes, avec un responsable et une échéance pour chacune. La première qualifie l’exposition réelle : versions, flux, comptes, journaux disponibles et signes éventuels de compromission. La deuxième prépare la correction : sauvegarde vérifiée, environnement de test, procédure de retour arrière, compétences mobilisables et fenêtre d’intervention. La troisième construit la continuité commerciale : canal de commande de secours, règles de priorisation, capacité de ressaisie, information des équipes et contrôle des doublons.
Cette démarche interdit deux raccourcis. Un plan de reprise écrit ne prouve pas qu’il fonctionne. Une procédure commerciale annoncée ne constitue pas une capacité tant que les personnes, accès, créneaux et données nécessaires ne sont pas confirmés. Le comité de décision doit voir les réserves, pas seulement les cases cochées. Si deux experts doivent valider le flux de secours, leur disponibilité nominative compte davantage qu’un engagement général de leur direction.
Décider par paliers réversibles
L’arbitrage ne doit pas être formulé comme « patcher ou ne pas patcher », mais comme une séquence de décisions réversibles. On peut d’abord réduire l’exposition : filtrer certains accès, suspendre une fonction non indispensable, renforcer la surveillance, limiter les privilèges ou isoler un segment. Chaque mesure doit être techniquement applicable, assortie d’un effet attendu et d’une condition de retrait. Une protection compensatoire n’est pas un alibi pour différer indéfiniment la correction.
Vient ensuite le test de la mise à jour sur une configuration représentative. S’il échoue, la direction ne reçoit pas un simple statut rouge : elle reçoit la cause connue, le correctif en cours, la date réaliste du retest et les conséquences commerciales du délai. Si le test réussit, restent à vérifier le retour arrière, la supervision après changement et la disponibilité des équipes métier pour la réception. La fenêtre de production n’est autorisée que lorsque ces éléments forment une chaîne cohérente.
Piloter avec des preuves utiles
Quelques indicateurs suffisent, à condition de conduire une décision. Le délai depuis la détection mesure l’âge de l’exposition. La part des actifs concernés effectivement inventoriés révèle la qualité du périmètre. Le taux de réussite des sauvegardes restaurées vaut mieux que le nombre de sauvegardes déclarées. Le résultat du test de bascule, le temps de reprise observé et le volume maximal de commandes ressaisissables éclairent la continuité réelle. Enfin, le nombre de comptes privilégiés temporairement maintenus et les alertes examinées permettent de suivre le risque résiduel.
Chaque indicateur doit avoir un propriétaire, une source, une heure de mise à jour et un seuil déclenchant une action. Sans cela, le tableau de bord devient décoratif. Le dirigeant doit également distinguer « inconnu » de « conforme » : l’absence de preuve n’est jamais une validation implicite.
Les erreurs qui aggravent la crise
La première erreur consiste à annoncer une fermeture commerciale avant d’avoir vérifié les alternatives. La deuxième est symétrique : maintenir le service en invoquant l’importance du chiffre d’affaires, sans limiter l’exposition ni formaliser l’acceptation du risque. La troisième consiste à laisser le fournisseur dicter seul le calendrier, alors que ses contraintes de support ne couvrent ni la réception métier ni la continuité opérationnelle.
Autre piège : confondre présence et capacité. Le nom d’un expert dans une cellule de crise ne garantit ni sa disponibilité au moment du changement ni son aptitude à exécuter la tâche attendue. Enfin, multiplier les réunions peut masquer l’absence de décision. Un point de situation utile se termine par des actions, des responsables, des échéances, des critères de passage et une heure de prochain arbitrage.
L’arbitrage final appartient à la direction
Le RSSI qualifie le risque cyber ; le commerce expose les conséquences clients ; l’IT démontre la faisabilité technique ; la direction tranche sur un dossier commun. Trois trajectoires peuvent être présentées : interruption maîtrisée et correction immédiate ; maintien temporaire sous protections renforcées avec correction planifiée ; bascule vers un mode commercial dégradé pendant l’intervention. Pour chacune figurent les prérequis, le risque résiduel, les limites de durée, les conditions d’arrêt et le responsable de l’exécution.
Dans l’esprit de « DSI en crise », reprendre le contrôle ne signifie pas prétendre disposer de certitudes. Cela signifie rendre visibles les dépendances, tester ce qui était seulement documenté et attribuer clairement les décisions. La bonne issue n’est pas celle où aucun service n’a vacillé ; c’est celle où l’entreprise sait pourquoi elle maintient, réduit ou suspend une activité, puis vérifie que la protection et la reprise annoncées fonctionnent réellement.
Pour approfondir
Ouvrage : DSI EN CRISE: Reprendre le contrôle de l’IT, des ERP et des grands programmes — Amazon
Ouvrage : Révolution Numérique !: Le guide pour comprendre, décider et agir dans l’entreprise numérique — Amazon
#ManagementDeTransition #DSI #DirectionDeTransition #GuyDeLussigny #TransformationNumerique
