Comment préparer un plan de communication de crise

Une communication de crise ne se rédige pas pendant l’incident : à ce moment-là, les faits changent, les accès tombent et chaque validation devient une négociation. Le compromis central est brutal : accepter des messages initialement incomplets pour publier vite, tout en refusant toute affirmation non vérifiée. Il faut choisir la vitesse encadrée, pas le silence prudent qui laisse la rumeur écrire à sa place.

→ Lire l’explication complète de la marmotte

Plan de communication de crise : périmètre et prérequis

Le plan doit couvrir les incidents qui affectent des personnes externes : clients, partenaires, fournisseurs, autorités, médias et salariés. Une panne interne sans conséquence externe relève d’abord de l’exploitation. Une exfiltration présumée de données, une indisponibilité prolongée d’un service public ou une compromission de compte à privilèges peut basculer en crise de communication avant que l’analyse technique soit terminée.

Créer un document versionné, accessible hors des systèmes susceptibles d’être touchés. Un espace documentaire dépendant de l’identité compromise n’est pas un plan de continuité, c’est une décoration numérique. Conserver une copie chiffrée hors ligne et une copie imprimée des contacts de crise : direction, responsable sécurité, responsable juridique, responsable communication, responsable de la protection des données et prestataire d’investigation.

Définir les seuils de déclenchement par effets observables, pas par gravité ressentie. Exemples :

suspicion crédible d’accès non autorisé à des données personnelles ;
indisponibilité d’un service exposé depuis plus de trente minutes sans délai de retour crédible ;
publication d’identifiants, de code source ou de documents internes ;
prise de contrôle d’un canal public, d’une messagerie ou d’un compte d’administration ;
sollicitation d’un média, d’un client majeur ou d’une autorité au sujet d’un incident.

Le plan ne remplace ni la réponse technique ni la gestion de crise. Il dépend d’elles pour obtenir des faits. Les fondations de gouvernance doivent déjà désigner les décideurs et les délégations applicables hors horaires ouvrés. Sans cette autorité préétablie, une chaîne de validation devient une réunion sans fin avec un logo en haut à gauche.

Conserver aussi une cartographie des services exposés, des propriétaires de données et des canaux de notification. La gestion des données fournit le minimum nécessaire : savoir quelles catégories de données existent, qui les traite et quelles relations contractuelles imposent une notification. Cet article ne donne pas de conseil juridique : les délais réglementaires et contractuels doivent être qualifiés par la fonction compétente avant l’incident.

Étape 1 : rédiger les messages pré-approuvés

Rédiger trois familles de messages avant toute crise : notification initiale, mise à jour de situation et clôture. Chaque modèle doit être validé juridiquement à froid, lorsque personne ne tente simultanément de restaurer une base, de répondre au téléphone et de deviner si un journal a été effacé.

Le premier message ne doit affirmer que cinq choses : un incident a été détecté, le périmètre connu à l’instant d’émission, les mesures immédiates prises, le comportement attendu des destinataires et l’heure du prochain point. Ne pas promettre une heure de résolution sans estimation technique soutenue. Ne pas écrire « aucune donnée n’a été compromise » avant une vérification suffisante : l’absence de preuve n’est pas une preuve d’absence, cette vieille surprise reste très rentable pour les attaquants.

Modèle de fuite de données

Objet : Information concernant un incident de sécurité

Le [date et heure, fuseau horaire] : un incident de sécurité affectant
[service ou périmètre connu] a été détecté.

Les investigations en cours indiquent à ce stade que [faits confirmés uniquement].
L'analyse n'a pas encore permis de déterminer [éléments inconnus explicitement].

Les mesures immédiates suivantes ont été engagées : [mesures vérifiables].
Par précaution, il est demandé de [action attendue, si nécessaire].

Un nouveau point sera publié au plus tard le [date et heure, fuseau horaire].
Les informations seront mises à jour sur [canal officiel].

Modèle d’indisponibilité prolongée

Objet : Indisponibilité de [service]

Depuis le [date et heure, fuseau horaire], le service [nom] est indisponible
ou fortement dégradé.

Le périmètre actuellement identifié concerne [fonctions affectées].
Les fonctions suivantes restent disponibles : [fonctions confirmées].

Les équipes de réponse ont engagé [mesures de rétablissement vérifiables].
Aucune estimation de retour n'est communiquée tant que [condition technique]
n'est pas remplie.

Le prochain statut sera publié au plus tard le [date et heure, fuseau horaire].

Les blancs ne sont pas des champs décoratifs. Ils obligent à distinguer le fait, l’hypothèse et l’engagement. Interdire les formulations vagues telles que « tout est sous contrôle » ou « incident mineur ». Elles ne portent aucune information exploitable et deviennent très embarrassantes dès qu’une chronologie est reconstruite.

Prévoir une version courte pour la page de statut, une version complète pour les parties affectées et une fiche de questions-réponses pour le porte-parole. Le fond doit rester identique. Adapter la longueur est acceptable ; adapter les faits selon l’audience crée des contradictions que les captures d’écran conserveront avec une tendresse éternelle.

Étape 2 : fixer la chaîne de validation et ses délais

Une validation à quatre personnes sans chronomètre n’est pas une chaîne, c’est une file d’attente. Désigner les rôles nominativement et prévoir un suppléant pour chacun. Une personne indisponible ne doit jamais bloquer un message destiné à limiter un préjudice en cours.

Étape	Responsable	Délai maximum
Qualification initiale des faits	Responsable de réponse à incident	20 minutes
Rédaction à partir du modèle	Responsable communication de crise	15 minutes
Vérification technique des assertions	Responsable de réponse à incident	10 minutes
Validation légale et réglementaire	Juridique ou protection des données	20 minutes
Validation de position institutionnelle	Direction habilitée	15 minutes
Diffusion et horodatage	Responsable communication	10 minutes

La cible totale pour le premier message est de 90 minutes après le déclenchement. Pour une indisponibilité publique sans données exposées, viser 45 minutes. Ces délais ne signifient pas que l’analyse est terminée. Ils imposent de publier l’état connu, ses limites et la prochaine échéance.

Écrire une règle d’escalade : après deux tentatives infructueuses ou à l’expiration de la moitié du délai attribué, le suppléant décide. La direction valide la position, pas chaque virgule. Le juridique valide le risque de formulation, pas la météo technique. Sans séparation, la validation se transforme en réécriture collective, sport de combat sans arbitre.

Conserver les preuves de validation : version du texte, horodatage, identité du valideur, canal de diffusion et liste des destinataires. Ces éléments servent à reconstruire la crise, à traiter les contestations et à corriger le plan. Ils ne protègent pas contre une mauvaise décision, mais empêchent au moins de confondre une mauvaise décision avec une décision introuvable.

Étape 3 : désigner le porte-parole et cadrer l’incertitude

Désigner un porte-parole principal et un remplaçant. Leur rôle consiste à exprimer la position validée, pas à commenter les hypothèses de l’équipe technique. Former ces personnes à trois réponses obligatoires :

confirmer les faits publiés ;
reconnaître explicitement les inconnues ;
annoncer le prochain point, même si aucun progrès n’est garanti.

Une phrase acceptable est : « Un accès non autorisé est en cours d’investigation ; il n’est pas encore possible de confirmer les données concernées. Des mesures de confinement ont été engagées et une mise à jour sera publiée à [heure]. » Cette formulation informe sans inventer, sans minimiser et sans promettre une conclusion que les journaux techniques ne permettent pas encore.

Interdire aux équipes opérationnelles de répondre individuellement sur les réseaux sociaux, dans les tickets clients ou auprès des fournisseurs. Cela ne réduit pas leur expertise ; cela réduit le nombre de versions contradictoires d’un même fait. Les canaux publics doivent renvoyer vers une source officielle unique, stable et archivable.

Le porte-parole doit connaître les limites de son mandat. Ne jamais commenter l’attribution d’une attaque, le mode opératoire supposé, l’identité d’un attaquant ou l’étendue finale avant validation. Une hypothèse d’investigation répétée publiquement acquiert vite le statut de fait. Internet adore ce mécanisme, surtout lorsqu’il est faux.

Étape 4 : exercer le plan et tester les canaux

Exercer au moins deux fois par an : un scénario de fuite de données et un scénario d’indisponibilité prolongée. Ajouter un exercice où le canal principal de diffusion est indisponible, car dépendre du portail touché pour expliquer que le portail est touché relève d’une certaine foi dans la plomberie.

Mesurer quatre temps : détection vers déclenchement, déclenchement vers premier brouillon, brouillon vers validation, validation vers publication. Mesurer aussi les écarts : affirmation retirée, valideur absent, contact périmé, canal inaccessible, message contradictoire. Un exercice qui ne produit aucune correction teste surtout la capacité collective à organiser une réunion.

Voici un contrôle reproductible pour vérifier qu’un message contient les éléments minimaux avant soumission à validation :

# Enregistrer le message dans crise.txt, puis vérifier les rubriques attendues.
grep -Eq 'incident de sécurité|indisponibilité' crise.txt || exit 1
grep -Eq 'à ce stade|actuellement identifié|en cours d.investigation' crise.txt || exit 1
grep -Eq 'prochain point|mise à jour' crise.txt || exit 1
grep -Eq '[0-9]{1,2}:[0-9]{2}' crise.txt || exit 1

# Afficher le résultat seulement si les quatre contrôles réussissent.
echo "Message prêt pour la chaîne de validation"

Ce contrôle ne valide ni la vérité ni la conformité juridique. Il vérifie seulement que le texte expose un état, une limite et une échéance. La sécurité ne se résume pas à quatre expressions régulières, fort heureusement pour les expressions régulières.

Protéger les accès aux canaux de diffusion par authentification forte, comptes nominatifs et journalisation. Prévoir la rotation des accès des anciens porte-parole et des prestataires. Sauvegarder les modèles, l’annuaire de contacts et les historiques de messages dans un emplacement distinct de la plateforme de communication courante. La reprise doit inclure la capacité de publier, pas uniquement la capacité de redémarrer les serveurs.

🐝 Ce qui arrive si on s’en passe

Sans plan préparé, le premier récit public de l’incident est écrit par d’autres : un client, un salarié, un chercheur ou l’attaquant lui-même via une page de divulgation. Le vide laisse aussi la place aux messages frauduleux : sans canal officiel unique et annoncé à l’avance, un courriel imitant une notification d’incident, avec lien de réinitialisation, devient indiscernable d’une communication légitime, et les destinataires n’ont aucune référence pour trancher. La traçabilité disparaît également : sans versions horodatées ni valideurs identifiés, il devient impossible de reconstituer qui a affirmé quoi et à quel moment, ce qui complique la contestation d’une information erronée. Les équipes techniques, sollicitées directement par les clients, consacrent alors à répondre le temps nécessaire au confinement, et chaque réponse improvisée fixe publiquement une hypothèse qu’il faudra ensuite démentir.

🦫 Explication de la marmotte 🍫

Un plan de communication de crise sert à informer les personnes concernées lorsqu’un problème de sécurité ou une panne grave se produit. Il est préparé avant l’incident, car pendant l’incident les équipes cherchent déjà à limiter les dégâts et à comprendre ce qui s’est passé.

Le plan commence par définir les situations qui exigent une communication extérieure. Des messages sont ensuite écrits à l’avance pour les cas probables, notamment une fuite d’informations ou un service indisponible. Ces messages contiennent des parties à remplir avec les faits connus au moment du problème. Ils doivent aussi dire ce qui reste inconnu. Dire « nous ne savons pas encore » est préférable à donner une information fausse.

Chaque message suit un ordre de vérification. Une personne technique confirme les faits. Une personne chargée de la communication rédige. Une personne chargée des règles légales vérifie les risques. Une personne de direction valide la position finale. Des délais maximums empêchent qu’un message reste bloqué parce qu’une personne ne répond pas.

Une seule personne parle publiquement au nom de l’organisation. Cela évite que plusieurs versions circulent. Le plan est testé régulièrement avec des exercices. Si un contact manque, si un canal de publication ne fonctionne pas ou si une validation prend trop de temps, le plan est corrigé avant qu’un incident réel ne révèle le problème.