Vraiment prêt(e) à affronter une crise cyber-IA ?

Stress, incident, manipulation, désinformation, deepfake, pression réputationnelle…

Saurez-vous survivre ?

Pour le savoir, ce diagnostic 👇🏻

Points forts, points faibles, angles morts…

⏱️25′ pour vous situer en termes de préparation

Veuillez activer JavaScript dans votre navigateur pour remplir ce formulaire.

- Step 1 of 5

🙏🏻 Répondez avec franchise pour que ce diagnostic vous soit vraiment utile. 🙏🏻

NB: no stress, toutes vos réponses restent confidentielles.

Commençons par votre gouvernance de crise

Quelle organisation avez-vous mis en place ? Avec quelles règles et quelles personnes ?

Q1 - Une cellule de crise a-t-elle été créée avec un(e) responsable clairement identifié(e) et des rôles et responsabilités bien définis, des suppléants désignés ? *

Oui, la cellule est en place
En cours de constitution
Non

Q2 - Des règles d'arbitrage sont-elles définies pour des situations de stress ? *

Oui, tout est fixé, documenté et testé.
Partiellement. Certains points ont été clarifiés, d'autres non.
Non. Rien de tout ça.

Règles d'arbitrage = ce qu'on doit décider sous stress sans avoir le temps de réfléchir (priorités absolues, renoncements acceptables, décisions qui ne peuvent pas attendre le comité de direction, seuils de déclenchement, inacceptables absolus)

Q3 - Avez-vous identifié des scénarios cyber comprenant un deepfake ou une manipulation narrative visant vos dirigeants ou votre image? *

Tout à fait. Nous avons envisagé toutes les options possibles - incidents cyber, deepfakes et scénarios réels de compromission du leadership (preuves d'abus, de consommation de drogues, de prostitution, de maltraitance, etc.)
Nous n'avons identifié que des scénarios purement cyber
Nous n'avons envisagé aucun scénario

Q4 - Avez-vous répertorié tous les outils IA utilisés dans votre organisation, avec des règles d'usage précis ? *

Oui, nous avons une liste qualifiée et prioritisée de ces outils et nos employés ont été dûment briefés sur les règles d'usage de chacun d'entre eux
Nous avons une liste des principaux, nous savons que certains employés emploient des outils IA, sans nous en avoir avertis
Rien de tout cela

Q5 - Avez-vous anticipé une crise où vos propres systèmes IA sont compromis, manipulés ou rendus indisponibles ? Si oui, avez-vous un mode de fonctionnement dégradé ? *

Oui, des scénarios de défaillances IA sont documentés et un mode dégradé est testé par des Red Team réguliers
Plus ou moins. Le risque est identifié mais sans plan opérationnel formalisé
Non. La dépendance aux systèmes IA n'a pas été intégrée dans les scéanarios de crise

Q6 - Disposez-vous d'un plan de crise approuvé et testé, aligné sur les risques cyberIA identifiés ? *

Oui, tout est en place - plan de réponse et d'escalade, description des menaces et contre-mesures prévues. etc. - défini conjointement avec l'IT et le juridique
Plus ou moins. Nous avons simplement identifiés les menaces cyberIA auxquelles nous sommes exposés.
Non. Rien de tout ça.

Q7 - Un porte-parole officiel est-il clairement identifié et entraîné, son suppléant compris ? *

Oui. Identifiés, formés, briefés - media training, argumentation solide pour des questions pièges de journalistes bien informés ou qui pourraient servir les concurrents
Nous avons désigné un porte-parole, mais il n'est pas formé. et n'a pas de suppléant
Non

Q8 - Avez-vous formalisé ce qui doit absolument continuer à fonctionner dans votre organisation en cas de crise majeure, et comment y parvenir ? *

Oui, nous avons un plan de continuité formalisé, régulièrement testé selon un calendrier strict pour s'assurer que tous les risques de perte de contrôle, d'une source technique, humaine ou physique, soient bien gérés
Nous avons un plan concentré principalement sur les risques techniques, pas les autres aspects
Non, nous n'avons aucun plan de continuité

Q9 - Avez-vous cartographié vos flux de données entrants et sortants, qui alimentent vos outils IA, et évalué leur qualité et la fiabilité des sources ?* *

Oui, nos flux sont cartographiés, nos sources évaluées et la qualité des données est contrôlée régulièrement, y compris lors de mises à jour
Certains flux sont cartographiés mais pas tous et la qualité des sources n'est pas systématiquement évaluée
Non

Q10 - Votre définition des rôles critiques va-t-elle au-delà du pouvoir de décision et de l'accès aux données sensibles ? *

Oui, notre cartographie intègre l'ensemble des profils exposés (décisionnels, organisationnels, vulnérables, de passage)
Notre définition reste limitée au pouvoir de décision et aux accès sensibles
Nous n'avons pas identifié de rôles critiques

Q11 - Votre processus de vigilance inclut-il les rôles critiques, autres que techniques ? *

Oui, notre processus de vigilance couvre l'ensemble de ces profils
Notre processus de vigilance se limite à l'IT et à la cellule de crise
Nous n'avons pas de processus de vigilance

Q12 - Un attaquant frappe toujours là où on ne l'attend pas. En cas de crise majeure rendant vos systèmes habituels inaccessibles, avez-vous pensé hors cadre pour trouver des moyens alternatifs pour vous coordonner et continuer à opérer ? *

Oui, après un long brainstorming, plusieurs dispositifs sont en place, testés et connus des équipes
Nous avons des dispositifs standards en place
Nous n'avons pas pensé à mettre en place des moyens alternatifs

Par moyens alternatifs, nous entendons des accès hors ligne aux données critiques, postes de travail isolés du réseau principal, générateurs de secours, site de repli, point de ralliement physique défini...

Q13 - Avez-vous défini ce que sont les signaux faibles dans votre organisation, et qui est responsable de les identifier et de les faire remonter ? *

Oui, les différents types de signaux faibles sont clairement définis, documentés et chaque collaborateur sait à qui les remonter
Nous avons listé et défini les signaux faibles algorithmiques. Quels sont les autres types ?
Non, cette notion n'a pas été abordée du tout dans notre organisation

Q14 - Vos contenus officiels (audio, vidéo, documents, signatures, offres d'emploi, etc.) sont-ils identifiés, qualifiés, protégés, authentifiés et traçables pour prévenir toute falsification ou usurpation ? *

Oui, nous avons répertorié et qualifié tous les contenus officiels que nous produisons, selon des critères précis, et des mesures techniques, protocolaires et juridiques sont en place pour les protéger
Seuls les contenus très critiques sont protégés selon des critères de bon sens. Les autres ne sont même pas qualifiés.
Non, aucun contenu officiel n'est protégé.

Maintenant, concentrons-nous sur la communication de crise, largement oubliée

Au moment de la crise, que dire à ses employés, clients, fournisseurs, etc. ? Comment ? Sur quels canaux ?

Q15 - Les atteintes à la réputation les plus dévastatrices sont souvent celles qui n’ont pas été anticipées. Avez-vous réfléchi aux angles d’attaque possibles, auxquels votre organisation pourrait être exposée en cas de crise, liés à votre contexte particulier jusqu’aux plus inimaginables ? *

Oui, nous avons brassé large pour cartographier les scénarios réputationnels des plus évidents aux plus improbables - deepfakes, manipulation narrative, retournement d'image, attaque via un tiers de confiance...
Nous avons listé les risques les plus évidents, sans aller plus loin
Non, nous n'avons pas réfléchi aux risques réputationnels possibles

Q16 - Avez-vous préparé des narratifs de défense et des preuves d'authenticité de contenus critiques pour contrer d'éventuelles manipulations de votre image ou de vos prises de parole ? *

Oui, nous avons anticipé ce risque avec des récits anti-deepfake, anti-cyber et des éléments de preuve prêts à l'emploi
Nous avons des éléments de preuve disponibles, mais aucun narratif de défense n'a été préparé
Nous avons des ébauches de narratifs mais rien n'est formalisé
Non, ce risque n'a pas encore été envisagé

Q17 - Avez-vous identifié, segmenté et prioritisé les différents publics, internes et externes, à informer en cas de crise ? *

Oui, chaque public est identifié avec ses besoins et priorités de communication spécifiques
Nous avons une liste de contacts internes et externes, sans segmentation précise
Non

Q18 - Avez-vous identifié des canaux de communication alternatifs sécurisés pour communiquer en cas de crise ? *

Oui, des canaux dédiés sont en place, testés, sécurisés et connus de nos interlocuteurs internes et externes
Nous avons défini quelques canaux sécurisés, que nous avons testés à leur mise en place. Le reste de la communication est informelle.
Non

Q19 - Avez-vous préparé des messages types, approuvés et adaptés à chaque public et à différents scénarios de crise, qu'il suffira d'adapter le jour J ? *

Oui, des messages pré-approuvés, couvrant les différents scénarios cyber+IA identifiés, sont prêts à l'emploi. Ils seront simplement adaptés à la situation
Des trames existent pour des incidents cyber, mais rien n'existe pour des scénarios IA
On s'adaptera le moment venu, quelle que soit les attaques

Q20 - En cas de crise, avez-vous prévu un dispositif de communication dédié à vos employés — consignes, canaux officiels, fréquence des mises à jour, soutien psychologique — en sachant que la sortie de crise est rarement linéaire et que le dispositif devra s'adapter à des rebonds imprévus ? *

Oui, le dispositif est défini et testé, avec un protocole, des consignes claires et un soutien psychologique, ainsi qu'un processus d'adaptation aux rebonds
Nous avons un plan pour la phase aigüe, mais sans anticiper les rechutes ni tester la durabilité du dispositif
Non, notre communication est principalement tournée vers l'extérieur

Q21 - Avez-vous une stratégie média en cas de crise ? *

A. Oui, nous avons défini une ligne éditoriale cyberIA, établi des contacts pivots avec des journalistes ciblés et avons élaboré une base de données Media qualifiée, régulièrement mise à jourdes contacts pivots avec des journalistes ciblés et avons élaboré une base de données Media qualifiée, régulièrement mise à jour
Nous avons quelques contacts media privilégiés et une base de données media plus ou moins à jour, mais sans stratégie cyberIA formalisée
L'aspect média n'est pas du tout envisagé dans notre gestion de crise

Q22 - Disposez-vous d'une stratégie dédiée aux réseaux sociaux en cas de crise ? *

Oui, nous avons défini des règles strictes sur les réponses selon le sujet et pour chaque réseau social, avec des messages pré-approuvés.
Une personne professionnelle, formée à la crise, gère nos comptes sociaux, qui nous guidera, le cas échéant.
Nous gérerons les réseaux sociaux, avec bon sens, le moment venu

Q23 - Vos signatures officielles (email, logo, templates visuels) sont-elles faciles à copier et réutiliser sans contrôle ? *

Difficile. L'usage est clairement contrôlé et surveillé
Certains éléments sont protégés, d'autres non
Tout est librement téléchargeable, sans protection

Q24 - 7h32, lundi matin. un journaliste cherche à parler à un responsable. Il a reçu un communiqué signé du PDG annonçant l'arrêt immédiat des activités pour fraude fiscale, alors que le PDG est en vol transatlantique, injoignable. Que se passe-t-il ? *

Un protocole est immédiatement activé : relais PDG, porte-paroles identifié(e)s, démentis et communication interne prêts à être publiés avec ajustement, contacts médias mobilisables en moins de 15 minutes
Le bras droit du PDG prend le relais avec une réponse ferme et des documents justificatifs, si besoin. Reste néanmoins le risque de réponses contradictoires si jamais des collaborateurs seraient contactés
C. Le PDG serait joint coûte que coûte, quitte à attendre. Aucun suppléant n'est prévu pour ce type de situation
Gros risque de panique. L'assistante du PDG et le CFO répondent au journaliste, en totale improvisation. Une rumeur s'installerait parmi les employés

Voyons comment votre organisation perçoit une crise et se comporte face à elle

Le niveau de vigilance, la compréhension de la mécanique d'une crise, le comportement face à la crise, etc.

Q25 - Avez-vous défini - et partagé avec vos équipes - ce que sont concrètement les incidents, les anomalies et les signaux faibles dans votre organisation ? *

Oui, tout est défini et documenté selon les standards connus et nos propres critères. Les équipes sont formées et nous mettons régulièrement à jour nos listes et documents.
Les incidents techniques sont définis mais pas les anomalies IA ni les signaux faibles
Non, aucune de ces notions ne sont clairement définies dans notre organisation

Q26 - Des mécanismes de détection et de remontée des incidents, anomalies, deepfakes et signaux faibles sont-ils en place, fonctionnant 24/7 ? *

Oui, nous avons plusieurs dispositifs complémentaires - outils techniques de détection, circuit d'alerte avec protocole précis, formation et simulation pour améliorer la vigilance des équipes
Nous avons des outils techniques de détection et d'alerte, focalisés surtout les incidents techniques, et nous avons mis en place un protocole de remontée d'incident.
Nous avons sensibilisé nos équipes aux risques cyberIA et avons mis en place des règles simples d'alerte via les responsables hiérarchiques
Rien de particulier n'est en place

Q27 - Disposez-vous d'un dispositif de veille sur ce qui est publié sur votre organisation et sur les menaces émergentes ? *

Oui, une veille active et dynamique est en place, couvrant les forums, les réseaux sociaux, les médias, et le darkweb, avec des alertes configurées par mots-clefs, seuils de bruit, sentiments, etc.
Nous surveillons les mentions sur les réseaux sociaux et les médias et avons mis en place un système d''information sur les nouvelles menaces cyberIA
Nous n'avons que des alertes Google en place

Q28 - Avez-vous réalisé au moins un exercice de crise ces 12 derniers mois ? *

Oui, nous en réalisons au moins 2 par an
Non, mais c'est prévu et planifié
Jamais

Q29 - Des objectifs de temps de réaction ont-ils été définis selon le type d'incident et la criticité des actifs touchés ? *

Oui, ils sont définis, documentés, connus des équipes et mesurés
Nous avons un cadre général avec des plafonds critiques
Non

Q30 - Des ambassadeurs cyberIA sont-ils désignés dans vos équipes pour remonter rapidement une alerte incongrue, relayer consignes et informations délicates ou temporiser le stress ? *

Oui, chaque département a son référent, dûment formé aux menaces et anomalies cyberIA liés au métier, à la gestion des biais cognitifs et la gestion du stress
Seuls les départements-clefs ont les leurs, dûment formés
On en a désigné quelques-uns pour leurs compétences en intelligence émotionnelle, mais ils n'ont pas reçu de formation particulière, au-delà des trainings cyber que tout le monde suit
Non, tout passe par la direction et les responsables de secteur

Q31 - Une crise cyberIA se gère souvent dans l'incertitude complète, sans avoir tous les éléments en mains (source et identification du problème, ampleur, circonférence, etc.), avec un battement de 2 heures max pour communiquer. Votre direction est-elle entraînée à trancher dans ces conditions ? *

Oui, nous avons travaillé ce scénario et entraîné nos dirigeants à prendre des décisions dans le brouillard total, en intégrant obligations réglementaires et délais imposés par notre secteur d'activité
Partiellement. Nous sommes habitués à gérer des situations stressantes et connaissons les obligations légales, mais nous attendons généralement d'avoir le max d'éléments avant de nous exprimer en interne et à l'extérieur
Non, ce type de situation nous met très mal à l'aise, et les obligations réglementaires ne sont pas encore intégrées dans notre dispositif de crise

Q32 - Disposez-vous d'une checklist "anti-deepfake" pour les prises de parole sensibles ? *

Tout à fait. A chaque prise de parole, nous revoyons la trame que nous avons définie pour tous les risques IA identifiés, adaptable selon le cas
Pas de liste précise, mais nous avons élaboré une base d'arguments et de justifications
Non. Aucune liste.

Q33 - Disposez-vous d’un avocat spécialiste des questions IA, mobilisable rapidement en cas de manipulation de l'un de vos outils IA ? *

Identifié, qualifié, engagé
On cherche
Même pas pensé

Q34 - Lundi matin, 8h. Une vidéo circule montrant votre directeur général annoncer le licenciement de 200 personnes. C'est un deepfake. Que se passe-t-il dans votre organisation dans les 30 premières minutes ? *

Nous avons un protocole précis, activable dès la détection de la publication du deepfake, qui sera vérifié par un dispositif testé et sera contesté par un démenti, pré-approuvé à l'avance, et publié dans les 30 minutes
Notre équipe de communication remonte l'information à la direction, qui prépare la réponse à donner et depuis quel compte, avec des éléments de contestation pré-définis mais sans réel dispositif de vérification prévu.
Une personne extérieure à notre organisation informe la direction, qui prépare à la hâte un ferme démenti, sans éléments concrets de contestation.

Enfin, l’après-crise

La crise n'est jamais vraiment terminée quand elle s'arrête. Les effets continuent : séquelles réputationnelles, traumatismes humains, méfiance des partenaires, procédures légales en cours, vulnérabilités non encore corrigées

Q35 - Avez-vous défini les critères qui permettront de déclarer officiellement la fin de la crise ? *

Oui, des critères clairs sont définis et connus des décideurs
Nous avons une idée générale mais sans critères formalisés
Non, cette décision se prendra dans le moment

Q36 - Avez-vous prévu un processus de debriefing structuré pour analyser ce qui s'est passé et en tirer les enseignements ? *

Oui, un processus est formalisé avec des responsables désignés
Nous faisons un point informel entre dirigeants, sans processus ni responsable désigné
Nous ferons un retour d'expérience avec les employés, sans processus structuré
Non, nous n'avons pas anticipé cette étape

Q12 Q39 ou

Q37 - Avez-vous anticipé la prise en charge émotionnelle et psychologique de vos équipes après la crise ? *

Oui, un dispositif de soutien est prévu et des ressources identifiées
Partiellement, nous y penserons mais sans dispositif préparé à l'avance
Non, cette dimension n'a pas été envisagée

Q38 - Avez-vous préparé une stratégie de reconstruction de votre réputation pour l'après-crise ? *

Oui, des actions et des messages sont anticipés pour cette phase
Nous avons des idées générales mais sans plan formalisé
Non, nous improviserons selon la situation

Q39 - Avez-vous prévu un plan de remédiation pour traiter les vulnérabilités révélées par la crise ? *

Oui, un processus d'identification et de correction est anticipé
Nous adresserons les points les plus urgents
Non, ces corrections se feront au fil de l'eau

Q40 - Avez-vous anticipé comment, le cas échéant, reconstruire la confiance avec vos parties prenantes externes — clients, partenaires, régulateurs — après la crise ? *

Oui, des actions spécifiques sont prévues pour chaque audience
Partiellement, nous avons réfléchi aux relations les plus critiques
Non, nous n'avons pas anticipé cette dimension

Cookie	Durée	Description
cookielawinfo-checkbox-analytics	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
cookielawinfo-checkbox-functional	11 months	The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
cookielawinfo-checkbox-necessary	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
cookielawinfo-checkbox-others	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
cookielawinfo-checkbox-performance	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
viewed_cookie_policy	11 months	The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.