Lundi, 8 h 12, plus rien ne démarre. Répétez-le avant que ça n'arrive.

Lundi, 8 h 12. Plus aucun fichier ne s'ouvre. Un message s'affiche sur l'écran du serveur. La téléphonie IP ne répond plus. Deux collaborateurs sont déjà dans votre bureau.

La question n'est pas « qui a fait ça ». Elle viendra plus tard, avec plus de calme. La question est : qui décide, dans la minute qui suit ?

Pourquoi un exercice, et pas un plan

Un plan de reprise écrit est utile. Un plan de reprise répété est autre chose : il a été confronté à des gens, dans une pièce, avec un chronomètre. Nous avons expliqué la différence entre PRA et PCA dans un article précédent. Ici, on ne rédige rien. On répond à des questions, à voix haute, pour voir où ça coince.

C'est une répétition, pas une alarme. L'objectif n'est pas de gagner l'exercice. Il est de trouver, en une heure et sans conséquence, ce qu'un vrai lundi vous aurait fait découvrir au pire moment.

Le format

• 60 minutes, chronométrées.

• 4 à 6 personnes : la direction, l'administratif ou la comptabilité, un responsable d'activité, la personne qui gère l'informatique (ou son prestataire, joint comme un jour normal), un manager.

• Une carte de scénario, lue à voix haute : « Lundi, 8 h 12. Plus aucun fichier ne s'ouvre. Un message s'affiche sur l'écran du serveur. Le téléphone IP ne répond plus. »

• Une règle : personne n'ouvre un document, personne ne cherche sur Internet. On répond de mémoire. C'est ce qui se passera.

Les sept questions

1. Qui décide ? (5 minutes)

Une personne, avec un suppléant. Pas un comité. Si la discussion dure plus de deux minutes, vous avez trouvé votre premier trou.

2. Qui appelle qui ? (10 minutes)

Avec quels numéros, hors du système informatique. L'annuaire est peut-être dans ce qui est tombé. Un numéro qui n'existe que dans un téléphone, c'est un classique.

3. Quelles trois activités repartent en premier ? (10 minutes)

Et dans quel ordre. Si tout est prioritaire, rien ne l'est. Cette question prépare directement la discussion sur le délai d'arrêt et la perte de données acceptables, que nous avons détaillée dans notre article sur le RTO et le RPO.

4. Où sont les sauvegardes, et qui peut y accéder ? (10 minutes)

Et la question qui fâche : quand la dernière restauration a-t-elle été faite ? Si personne ne sait répondre, notez-le. C'est probablement le trou le plus utile de l'exercice.

5. Comment se parle-t-on sans messagerie ni téléphone IP ? (10 minutes)

Le groupe WhatsApp personnel est souvent le plan B. Avouons-le. La vraie question est de savoir s'il est choisi ou subi, et s'il contient tout le monde.

6. Que dit-on, et qui parle ? (10 minutes)

Aux clients, aux salariés, aux partenaires. Un message simple, honnête, sans détail technique, et une seule voix.

7. Qui prévient les personnes extérieures ? (5 minutes)

Votre prestataire informatique, votre assureur si vous avez un contrat dédié, votre banque si des paiements sont concernés. Dans quel ordre, et qui s'en charge.

Le débrief : trois actions, pas dix

Dix dernières minutes. Chaque trou identifié est noté, puis on garde les trois qui comptent le plus. Chacun reçoit un responsable et une date. Les autres vont dans la liste de l'année prochaine.

Dans nos échanges avec les dirigeants, les mêmes trous reviennent : un numéro qui n'existe que dans un téléphone, un mot de passe connu d'une seule personne, une sauvegarde dont personne ne sait dire quand elle a été restaurée. Ils se corrigent en une semaine. Encore faut-il les avoir vus.

Si vous voulez aller plus loin sur ce qui se passe après une attaque, nous avons listé les cinq erreurs qui coûtent le plus cher.

❓ Questions fréquentes