7.2 Gestion des communications (RS.CO)
Objectif de la catégorie
Cette catégorie garantit que la communication lors d’un incident est maîtrisée, rapide, cohérente et conforme aux exigences réglementaires et contractuelles, en interne comme en externe.
Quote
« Ce que vous dites durant un incident peut aggraver ou maîtriser la crise. » — Principe fondamental de gestion de crise cyber
RS.CO-01 : Coordination de la réponse
- Mise en place d’un dispositif de coordination :
- Réunions de crise (technique, juridique, communication)
- Rôles définis et reconnus à l’avance
- Fréquence des points et reporting interne
Tip
Un outil de ticketing ou un canal dédié (chat sécurisé, hotline, bridge) doit être prévu.
RS.CO-02 : Contacts internes et externes
- Registre des contacts critiques :
- RSSI, DSI, direction juridique, responsables métiers, RH
- Autorités de régulation (CNIL, ANSSI…), prestataires, CERT, police
- Ce registre doit être :
- Maintenu à jour
- Accès en ligne + version offline (papier / coffre-fort)
RS.CO-03 : Partage contrôlé des informations sur les incidents
- Diffusion selon le principe “need to know”
- Niveaux de classification :
- Équipe incident, direction, communication externe, partenaires
- Outils de communication chiffrée
- Journalisation des échanges
RS.CO-04 : Communication externe formalisée
- Communication vers :
- Clients, usagers, partenaires
- Presse et grand public si nécessaire
- Préparation de modèles de communication (templates) à valider par la direction
- Utilisation de canaux maîtrisés et sécurisés
RS.CO-05 : Communication vers les autorités
- Obligations légales :
- CNIL : notification dans les 72 h
- ANSSI : si opérateur vital ou essentiel (OIV / OSE)
- Contenu attendu :
- Nature des données concernées
- Gravité, mesures prises, contact désigné
- Rédaction assistée par les juristes
Synthèse opérationnelle
| Élément | Bonnes pratiques |
|---|---|
| Coordination | Canal de crise + gouvernance claire |
| Registre de contacts | Mis à jour, formats papier + numérique |
| Communication externe | Templates validés + canaux maîtrisés |
| Autorités | Procédures de notification prêtes à l’emploi |
| Confidentialité | ”Need to know” + outils chiffrés |