Apr\u00e8s une violation de donn\u00e9es ou un cyberincident, une organisation doit imm\u00e9diatement faire trois choses : stabiliser la situation technique, constituer une base factuelle fiable et centraliser la communication. La rapidit\u00e9 et la rigueur de la r\u00e9ponse d’une organisation d\u00e9terminent en grande partie la gravit\u00e9 des dommages \u00e0 sa r\u00e9putation. Les questions ci-dessous fournissent des rep\u00e8res concrets pour chaque phase de la r\u00e9ponse, des premi\u00e8res heures jusqu’\u00e0 la r\u00e9cup\u00e9ration \u00e0 long terme.<\/p>\n
Les premi\u00e8res mesures apr\u00e8s un cyberincident sont : activer la r\u00e9ponse technique, constituer une cellule de crise, v\u00e9rifier les faits et assurer un premier briefing interne. Ne communiquez pas encore en externe avant qu’une base factuelle fiable soit \u00e9tablie. Qui se pr\u00e9cipite vers l’ext\u00e9rieur avec des informations incompl\u00e8tes ou inexactes aggrave le probl\u00e8me au lieu de le ma\u00eetriser.<\/p>\n
En pratique, cela signifie que Legal, IT\/CISO, Communications et la direction g\u00e9n\u00e9rale doivent se r\u00e9unir le plus rapidement possible. La cellule de crise a une mission centrale : \u00e9tablir les faits, r\u00e9partir les r\u00f4les et aligner la strat\u00e9gie de communication sur ce qui est r\u00e9ellement connu. Que sait-on ? Que ne sait-on pas encore ? Qui est touch\u00e9 ? Des obligations l\u00e9gales de notification s’appliquent-elles ?<\/p>\n
Une erreur fr\u00e9quente est que la communication et la r\u00e9ponse technique fonctionnent de mani\u00e8re ind\u00e9pendante. Le responsable de la communication a besoin d’informations actuelles et v\u00e9rifi\u00e9es de la part de l’IT et du Legal pour pouvoir communiquer de mani\u00e8re responsable. Inversement, l’IT a besoin de clart\u00e9 sur ce qui peut \u00eatre communiqu\u00e9 en interne et en externe. Cette coordination doit \u00eatre organis\u00e9e d\u00e8s le d\u00e9but, pas apr\u00e8s coup.<\/p>\n
En cas de violation de donn\u00e9es, les organisations doivent dans la plupart des cas informer l’Autorit\u00e9 de protection des donn\u00e9es (APD), les personnes concern\u00e9es dont les donn\u00e9es ont \u00e9t\u00e9 divulgu\u00e9es, et selon le secteur \u00e9galement les r\u00e9gulateurs sectoriels sp\u00e9cifiques. Au sein de l’organisation, les collaborateurs, la direction et les syndicats doivent \u00eatre inform\u00e9s en temps utile et correctement. L’ordre et le calendrier de cette communication sont strat\u00e9giquement d\u00e9terminants.<\/p>\n
Le RGPD oblige les organisations \u00e0 notifier une violation de donn\u00e9es en principe dans les 72 heures \u00e0 l’autorit\u00e9 de contr\u00f4le comp\u00e9tente lorsqu’il existe un risque pour les droits et libert\u00e9s des personnes concern\u00e9es. Il s’agit d’une obligation l\u00e9gale, pas d’un choix. Lorsque le risque est \u00e9lev\u00e9, les personnes concern\u00e9es elles-m\u00eames doivent \u00e9galement \u00eatre inform\u00e9es. L’\u00e9valuation pr\u00e9cise du risque requiert une expertise juridique.<\/p>\n
Outre les r\u00e9gulateurs, il y a g\u00e9n\u00e9ralement d’autres parties prenantes qui doivent \u00eatre inform\u00e9es en temps utile :<\/p>\n
L’ordre de communication avec les parties prenantes n’est pas un d\u00e9tail. Qui informe trop tard perd le contr\u00f4le du r\u00e9cit. Qui communique trop t\u00f4t sans base factuelle cr\u00e9e de la confusion et une perte de cr\u00e9dibilit\u00e9.<\/p>\n
Communiquer en externe sur une violation de donn\u00e9es sans aggraver les dommages \u00e0 la r\u00e9putation est possible lorsqu’on communique de mani\u00e8re transparente, en temps utile et de fa\u00e7on coh\u00e9rente sur la base de faits v\u00e9rifi\u00e9s, sans sp\u00e9culer sur ce qu’on ne sait pas encore. Un r\u00e9cit honn\u00eate, calme et structur\u00e9 cause moins de dommages qu’un r\u00e9cit qui doit \u00eatre corrig\u00e9 ult\u00e9rieurement.<\/p>\n
Les messages cl\u00e9s doivent \u00eatre enti\u00e8rement align\u00e9s en interne avant d’\u00eatre diffus\u00e9s \u00e0 l’ext\u00e9rieur. Des d\u00e9clarations contradictoires de diff\u00e9rents porte-parole ou d\u00e9partements sapent la confiance plus rapidement que l’incident lui-m\u00eame. Assurez-vous d’un seul point de communication et d’un seul message valid\u00e9.<\/p>\n
Quelques principes concrets pour la communication externe lors d’une cybercrise :<\/p>\n
Les erreurs de communication les plus fr\u00e9quentes apr\u00e8s une cybercrise sont : r\u00e9agir trop tard, en dire trop peu, v\u00e9hiculer des messages contradictoires et n\u00e9gliger la communication interne. Chacune de ces erreurs amplifie les dommages \u00e0 la r\u00e9putation et sape la confiance que l’organisation cherche pr\u00e9cis\u00e9ment \u00e0 r\u00e9tablir.<\/p>\n
R\u00e9agir trop tard<\/strong> laisse aux m\u00e9dias, aux r\u00e9seaux sociaux et aux rumeurs l’espace pour fa\u00e7onner le r\u00e9cit. M\u00eame un bref holding statement confirmant que l’organisation enqu\u00eate sur l’incident vaut mieux que le silence.<\/p>\n La sous-estimation de la communication interne<\/strong> est une erreur particuli\u00e8rement tenace. Les collaborateurs qui apprennent par les m\u00e9dias ce qui s’est pass\u00e9 ne se sentent pas pris au s\u00e9rieux. Ils sont aussi des porte-parole, consciemment ou inconsciemment. Qui ne les informe pas en temps utile perd un alli\u00e9 crucial.<\/p>\n Les messages incoh\u00e9rents<\/strong> apparaissent lorsque Legal, IT, HR et Communications communiquent chacun s\u00e9par\u00e9ment sans coordination. Une approche int\u00e9gr\u00e9e dans laquelle toutes les disciplines travaillent \u00e0 partir d’une strat\u00e9gie unique et align\u00e9e pr\u00e9vient cela.<\/p>\n Un langage juridique excessif ou une communication d\u00e9fensive<\/strong> suscite la m\u00e9fiance. Une d\u00e9claration qui ressemble davantage \u00e0 une clause de non-responsabilit\u00e9 juridique qu’\u00e0 une r\u00e9action humaine manque son objectif aupr\u00e8s des clients, des m\u00e9dias et des autres parties prenantes.<\/p>\n Le r\u00e9tablissement de la confiance apr\u00e8s une violation de donn\u00e9es demande du temps, de la coh\u00e9rence et des actions d\u00e9montrables. Il ne commence pas apr\u00e8s la crise, mais pendant la r\u00e9ponse elle-m\u00eame : qui communique de mani\u00e8re transparente et respectueuse pendant que l’incident se d\u00e9roule pose les bases du r\u00e9tablissement. Ensuite, des preuves concr\u00e8tes d’am\u00e9lioration sont d\u00e9terminantes.<\/p>\n Apr\u00e8s la phase aigu\u00eb, les \u00e9l\u00e9ments suivants sont d\u00e9terminants pour un r\u00e9tablissement durable de la confiance :<\/p>\n La confiance ne se r\u00e9tablit pas avec un seul communiqu\u00e9 de presse. C’est un processus de communication coh\u00e9rente, de dialogue actif et de changement d\u00e9montrable sur une p\u00e9riode prolong\u00e9e.<\/p>\n Une organisation se pr\u00e9pare \u00e0 un prochain cyberincident en \u00e9laborant un plan de communication de crise, en testant la structure de la cellule de crise via des simulations, en actualisant la cartographie des parties prenantes et en formant les porte-parole. La pr\u00e9paration est le moyen le plus efficace de limiter l’impact communicationnel d’un incident futur.<\/p>\n La pr\u00e9paration \u00e0 la crise en mati\u00e8re de communication va au-del\u00e0 d’un document qui dispara\u00eet dans un tiroir. Il s’agit d’un syst\u00e8me vivant qui est r\u00e9guli\u00e8rement test\u00e9 et mis \u00e0 jour. Les \u00e9l\u00e9ments concrets sont :<\/p>\n Un audit de vuln\u00e9rabilit\u00e9 aide \u00e0 identifier les angles morts dans la pr\u00e9paration : quels sc\u00e9narios sont insuffisamment \u00e9labor\u00e9s ? Quelles parties prenantes manquent dans la cartographie ? Quels porte-parole sont insuffisamment form\u00e9s ? Se poser ces questions avant qu’une crise ne survienne, c’est l’essence d’une bonne pr\u00e9paration aux crises.<\/p>\n Whyte Corporate Affairs accompagne les grandes organisations et les multinationales sur l’ensemble du cycle de crise d’un cyberincident : de la pr\u00e9paration et de la r\u00e9ponse jusqu’au r\u00e9tablissement de la r\u00e9putation. L’approche est int\u00e9gr\u00e9e : la communication, la gestion des parties prenantes, les relations m\u00e9dias et la communication interne ne sont pas trait\u00e9es comme des disciplines s\u00e9par\u00e9es, mais comme des composantes d’une strat\u00e9gie coh\u00e9rente unique.<\/p>\n Concr\u00e8tement, Whyte intervient pour :<\/p>\n Whyte travaille en \u00e9troite collaboration avec les \u00e9quipes internes de l’organisation, notamment Legal, IT, HR et Operations, et assure la coordination communicationnelle entre les disciplines concern\u00e9es. L’expertise technique ou juridique n’est pas remplac\u00e9e, mais compl\u00e9t\u00e9e par des conseils en communication strat\u00e9gique et une ex\u00e9cution op\u00e9rationnelle. Vous souhaitez savoir comment Whyte peut soutenir votre organisation en mati\u00e8re de communication de crise et gestion de la r\u00e9putation<\/a> ? Prenez contact<\/a> pour un premier entretien.<\/p>\n \n La dur\u00e9e d’un r\u00e9tablissement complet de la r\u00e9putation apr\u00e8s une violation de donn\u00e9es varie consid\u00e9rablement, mais les recherches indiquent que cela prend g\u00e9n\u00e9ralement entre six mois et deux ans. Les organisations qui r\u00e9agissent rapidement, de mani\u00e8re transparente et structur\u00e9e se r\u00e9tablissent nettement plus vite que celles qui laissent tra\u00eener la communication ou v\u00e9hiculent des messages incoh\u00e9rents. Ce qui est d\u00e9terminant, ce n’est pas seulement ce qui s’est pass\u00e9, mais la fa\u00e7on dont l’organisation y a fait face. <\/p>\n <\/div>\n \n Un bon holding statement confirme que l’organisation est au courant de l’incident, que des mesures imm\u00e9diates sont prises et que des informations suppl\u00e9mentaires suivront d\u00e8s que possible. Il n’a pas besoin de contenir des d\u00e9tails que vous n’avez pas encore. Concr\u00e8tement, cela peut ressembler \u00e0 : ‘Nous sommes au courant d’un incident qui a touch\u00e9 nos syst\u00e8mes. Nous \u00e9tudions activement la situation et prenons les mesures n\u00e9cessaires. Nous communiquerons des informations suppl\u00e9mentaires d\u00e8s que possible, une fois les faits \u00e9tablis.’ Le silence est toujours la pire option \u00e0 ce stade. <\/p>\n <\/div>\n \n Oui, m\u00eame en cas de violation de donn\u00e9es limit\u00e9e, des obligations l\u00e9gales de notification s’appliquent en vertu du RGPD, quelle que soit l’ampleur. La n\u00e9cessit\u00e9 d’une communication externe vers les personnes concern\u00e9es ou les m\u00e9dias d\u00e9pend du niveau de risque pour les personnes concern\u00e9es et de la nature des donn\u00e9es divulgu\u00e9es. Une \u00e9valuation juridique est toujours la premi\u00e8re \u00e9tape. Ne sous-estimez pas non plus les incidents mineurs : s’ils sont r\u00e9v\u00e9l\u00e9s ult\u00e9rieurement sans que vous ayez communiqu\u00e9 de mani\u00e8re proactive, les dommages \u00e0 la r\u00e9putation sont souvent plus importants que l’incident lui-m\u00eame. <\/p>\n <\/div>\n \n R\u00e9agissez rapidement, factuellement et via les bons canaux : envoyez une correction \u00e0 la r\u00e9daction concern\u00e9e, publiez une d\u00e9claration claire sur votre propre site web et assurez-vous que vos porte-parole v\u00e9hiculent le m\u00eame message corrig\u00e9. Ne vous d\u00e9fendez pas et n’entrez pas dans des discussions sur les r\u00e9seaux sociaux, mais proposez des informations faisant autorit\u00e9 et v\u00e9rifiables comme alternative. Une strat\u00e9gie active de relations m\u00e9dias, dans laquelle vous fournissez proactivement aux journalistes des informations correctes, est plus efficace que de rectifier de mani\u00e8re r\u00e9active. <\/p>\n <\/div>\n \n Un plan de communication de crise m\u00e9rite une r\u00e9vision approfondie au moins une fois par an, et apr\u00e8s chaque incident \u2014 grand ou petit \u2014 une \u00e9valuation cibl\u00e9e. Les tabletop exercises ou simulations de crise sont id\u00e9alement organis\u00e9s au moins annuellement, afin que les \u00e9quipes concern\u00e9es restent familiaris\u00e9es avec leurs r\u00f4les et que le plan corresponde \u00e0 la structure organisationnelle actuelle. Les cartographies des parties prenantes et les coordonn\u00e9es deviennent rapidement obsol\u00e8tes et doivent \u00eatre continuellement tenues \u00e0 jour. <\/p>\n <\/div>\n \n Un Data Protection Officer (DPO) est responsable du traitement juridique et de conformit\u00e9 d’une violation de donn\u00e9es, y compris la notification \u00e0 l’Autorit\u00e9 de protection des donn\u00e9es. Un conseiller en communication de crise traduit la situation factuelle et juridique en une approche de communication strat\u00e9gique \u00e0 destination de toutes les parties prenantes : collaborateurs, clients, m\u00e9dias et r\u00e9gulateurs. Les deux r\u00f4les sont compl\u00e9mentaires et indispensables : le DPO d\u00e9termine ce qui peut et doit \u00eatre dit juridiquement, le conseiller en communication d\u00e9termine comment, quand et via quels canaux cela se fait. <\/p>\n <\/div>\n \n Informez toujours les collaborateurs avant que la communication externe ne soit diffus\u00e9e, afin qu’ils n’apprennent pas par les m\u00e9dias ce qui s’est pass\u00e9. Donnez-leur un briefing clair sur ce qu’ils peuvent et ne peuvent pas dire s’ils re\u00e7oivent des questions de clients ou de leur entourage, et d\u00e9signez un point de contact interne pour les questions. Les collaborateurs sont in\u00e9vitablement des ambassadeurs de l’organisation, m\u00eame en temps de crise : qui les informe et les soutient bien gagne un alli\u00e9 crucial dans le r\u00e9tablissement de la r\u00e9putation. <\/p>\n <\/div>\n <\/div>\n","protected":false},"excerpt":{"rendered":" Que faire apr\u00e8s une violation de donn\u00e9es ? \u00c9tapes concr\u00e8tes pour la r\u00e9ponse, la communication et le r\u00e9tablissement de la confiance.<\/p>\n","protected":false},"author":8,"featured_media":1644,"template":"","categories":[1],"tags":[],"class_list":["post-1709","blogs","type-blogs","status-publish","has-post-thumbnail","hentry","category-geen-onderdeel-van-een-categorie"],"yoast_head":"\nComment r\u00e9tablir la confiance des parties prenantes apr\u00e8s une violation de donn\u00e9es ?<\/h2>\n
\n
Comment pr\u00e9parer une organisation \u00e0 un prochain cyberincident ?<\/h2>\n
\n
Comment Whyte aide \u00e0 la communication apr\u00e8s une violation de donn\u00e9es ou un cyberincident<\/h2>\n
\n
Foire aux questions<\/h2>\n
\n Combien de temps faut-il en moyenne pour qu'une organisation se r\u00e9tablisse compl\u00e8tement apr\u00e8s une violation de donn\u00e9es ? <\/h3>\n
\n Que dois-je mettre dans un holding statement quand les faits ne sont pas encore enti\u00e8rement connus ? <\/h3>\n
\n En tant qu'organisation, dois-je aussi communiquer si la violation de donn\u00e9es \u00e9tait limit\u00e9e et a touch\u00e9 peu de personnes ? <\/h3>\n
\n Comment g\u00e9rer les reportages n\u00e9gatifs ou les informations inexactes dans les m\u00e9dias lors d'une cybercrise ? <\/h3>\n
\n \u00c0 quelle fr\u00e9quence notre plan de communication de crise doit-il \u00eatre r\u00e9vis\u00e9 et test\u00e9 ? <\/h3>\n
\n Quelle est la diff\u00e9rence entre un DPO et un conseiller en communication de crise, et ai-je besoin des deux ? <\/h3>\n
\n Comment impliquer les collaborateurs de mani\u00e8re responsable dans la communication lors d'une cybercrise ? <\/h3>\n