En cas de crise cyber-IA,
le risque n’est pas l’attaque

C’est la perte de contrôle organisationnel
dans les premières heures

Saurez-vous faire ?

Décisions flottantes, équipes perdues, messages hésitants ou contradictoires…
c’est là que la situation bascule, bien au-delà des questions techniques.

En crise, tout se joue dans la capacité à décider vite et agir de manière coordonnée, à tous les niveaux.

Voici un diagnostic pour identifier les points de rupture qui vous font perdre le contrôle.

Veuillez activer JavaScript dans votre navigateur pour remplir ce formulaire.

- Step 1 of 6

25 questions - 5 axes - 15' pour une photographie à l'instant T

🙏🏻 Répondez avec franchise pour que ce diagnostic vous soit utile. 🙏🏻

NB: toutes vos réponses restent confidentielles.

Champ facultatif, sauf si vous désirez recevoir le résultat de votre diagnostic dans votre boîte courrier

Commençons par votre gouvernance de crise

Quelle organisation avez-vous mis en place ? Avec quelles règles et quelles personnes ?

Q1 – Un incident grave survient. Comment décidez-vous d'entrer en mode crise ? *

La question est soumise à la cellule de crise, qui tranche sur des critères clairs de déclenchement de crise et une personne est désignée pour communiquer
Qui décide de partir en mode crise est identifié, mais les critères de déclenchement restent flous
Personne ne décide réellement, la situation s’impose au fur et à mesure

Q2 – Une décision critique doit être prise dans la demi-heure, avec des informations élémentaires incomplètes. Que se passe-t-il ? *

Les règles d’arbitrage(*) et de gestion de crise sont définies pour faciliter une prise de décision rapide, même en cas de désaccord
Les priorités absolues sont définies mais la prise de décision dépend des personnes présentes et du contexte
Nous attendons toujours d'avoir au moins les infos élémentaires pour prendre une décision de peur de se tromper, et c'est toujours le big boss qui tranche

Règles d'arbitrage = ce qu'on doit décider sous stress sans avoir le temps de réfléchir (priorités absolues, renoncements acceptables ou non, décisions qui ne peuvent pas attendre le comité de direction, seuils de déclenchement, gestion des désaccords, etc.)

Q3 – Votre définition des rôles critiques va-t-elle au-delà du pouvoir de décision et de l'accès aux données sensibles ? *

Oui, nous avons élargi cette définition à des profils exposés au risque réputationnel et/ou organisationnel (*)
Non, notre définition reste limitée au pouvoir de décision et à l'accès aux données sensibles
Nous n'avons pas identifié de rôles critiques

(*) Rôles critiques réputationnels et/ou organisationnels = DirCom, DRH, service client, réceptionniste, assistantes de direction, stagiaires et apprentis, employés frustrés, etc.

Q4 – Avez-vous répertorié tous les outils (IA et autres) utilisés dans votre organisation, avec des règles d'usage précis ? *

Tous les outils sont listés, qualifiés, prioritisés, et nos employés sont dûment briefés sur les règles d'usage de chacun d'entre eux
Nous avons une liste des principaux outils, sans la garantie de connaître tous ceux utilisés par nos employés, et comment ils les utilisent
Aucune liste qualifiée n'a été établie à ce jour

veille Crise Résultat

Q5 – Avez-vous envisagé des scénarios, où les informations publiées à l'extérieur ou produites par vos outils IA sont manipulés ou trompeurs, sans pouvoir le détecter rapidement ? *

Oui, ces scénarios ont été travaillés, sont documentés et les réponses à donner sont formalisées
Nos scénarios sont surtout basés sur des incidents classiques cyber
Nous n’avons travaillé aucun scénario

Maintenant, concentrons-nous sur la communication de crise, largement oubliée dans sa préparation

Au moment de la crise, que dire à ses employés, clients, fournisseurs, etc. ? Comment ? Sur quels canaux ?

Q6 - Avez-vous défini une stratégie de communication de crise ? *

Stratégie posée, testée avec des consignes claires communiquées à nos employés et des éléments partagés auprès de nos fournisseurs et clients
Un cadre de base est fixé et communiqué auprès de nos employés, sans approche media et media social clairement identifiée
Aucune stratégie n'a été définie

Stratégie de communication de crise = cadre de communication (ce qu'on peut dire ou pas, éléments de langage à utiliser ou éviter, hashtags et mots-clefs, relations avec les journalistes, approche réseaux sociaux, etc.)

Q7 - Avez-vous des narratifs de défense et des preuves d'authenticité de contenus critiques, basés sur des scénarios plausibles, et prêts à contrer d'éventuels deepfakes, désinformations ? *

Oui, narratifs de réponse et preuves d'authenticité ont été définis sur des scénarios travaillés, liés à notre contexte, et prêts à être mobilisés
Nous avons préparé de premiers éléments de défense (narratifs, preuves), basés sur les scénarios les plus courants parus dans la presse, mais rien de spécifique à notre organisation
Non, nous n'avons rien préparé à ce niveau

Q8 - Disposez-vous de messages pré-validés, adaptables immédiatement en cas de crise ? *

Les messages sont prêts pour les scénarios cyber et IA identifiés, et applicables aux différentes phases de crise
Des trames existent pour des incidents classiques, hors IA, et pour les 3 phases principales d'une crise (début, milieu, fin)
Aucun message n’est préparé. Nous nous adaptons selon le type de crise

Q9 - Pouvez-vous communiquer en toute sécurité si vos canaux habituels sont indisponibles ou compromis ? *

Différents canaux alternatifs sécurisés ont été définis et testés pour chaque type d'interlocuteurs, qui en ont été informés
Nous avons identifié des canaux de secours généraux pour communiquer en cas de crise, sans vraiment les tester
Aucune alternative n’a été prévue. Nous avons les téléphones portables de nos interlocuteurs majeurs

Q10 - 7h32, lundi matin. Un journaliste cherche à parler au PDG, car il a reçu un communiqué signé de son nom, annonçant l'arrêt immédiat des activités pour fraude fiscale. Or, le PDG voyage, et est injoignable. Que se passe-t-il ? *

La fake news nous a été déjà été notifiée par alerte et un protocole a été activé de suite : relais identifié, prise de parole rapide, démenti structuré, communication interne lancée et publication prête, le tout dans l'heure qui suit.
La procédure standard est appliquée via l'assistante du PDG ou le/la responsable Communication, qui donnera une réponse de type "nous revenons vers vous avec des éléments concrets" et veillera à contrer l'info en interne
L'appel crée la confusion et l'information se propage dans l'organisation. Des messages contradictoires sont donnés au journaliste.

Voyons comment votre organisation perçoit une crise et se comporte face à elle

Le niveau de vigilance, la compréhension de la mécanique d'une crise, le comportement face à la crise, etc.

Q11 - Vos équipes savent-elles identifier et qualifier les incidents, anomalies et signaux faibles (y compris liés à l’IA) ? *

Tous ces éléments - techniques et non-techniques - sont définis, documentés et intégrés dans les pratiques des équipes, qui y ont été sensibilisés
Les incidents cyber sont expliqués et documentés, avec une formation adaptée à nos équipes. Pour le reste - anomalies IA et signaux faibles, rien n'a été fait à ce jour
Aucune formation ou sensibilisation à ces différents éléments n'a été faite auprès des équipes. Nous-mêmes, au niveau management, n'y sont guère familiers

Q12 - Des mécanismes de détection et de remontée des incidents, anomalies, deepfakes et signaux faibles sont-ils en place, fonctionnant 24/7 ? *

Nous avons combiné plusieurs dispositifs - outils techniques de détection, circuit d'alerte avec protocole précis, formation et test de vigilance des équipes
Nous avons des outils de détection et d'alerte, focalisés sur les incidents techniques, fonctionnant avec un protocole de remontée d'incident
Nous ne disposons d'aucun mécanisme de détection, juste une vigilance humaine non formalisée

Q13 - Disposez-vous d’une veille active sur votre exposition et empreinte digitale ? *

Oui, une veille structurée couvre médias, réseaux, forums et signaux faibles avec alertes configurées
Une veille média/réseaux sociaux est en place, sans plus
Nous n'avons que des alertes Google en place, au niveau de la direction

Q14 - Vos équipes et dirigeants sont-ils entraînés à réagir en situation de crise, dans l’incertitude et sous contrainte de temps ? *

Oui, des exercices réguliers en conditions réelles intègrent des scénarios réalistes (incertitude, pression, délais, menaces émergentes)
Nous organisons une simulation de crise par an, plutôt théorique
Aucun entraînement ou simulation n'a été réalisé jusqu'ici

Q15 - Des ambassadeurs cyberIA sont-ils désignés dans vos équipes pour remonter rapidement une alerte incongrue, relayer consignes et informations délicates ou temporiser le stress ? *

Chaque département a son référent, dûment formé aux menaces et anomalies cyberIA liés au métier, à la gestion des biais cognitifs et la gestion du stress
Seuls les départements-clefs ont les leurs, dûment formés
Non, tout passe par la direction et les responsables de secteur

Vérifions maintenant votre capacité à protéger l'intégrité de vos informations et contenus

Q16 - Vos contenus officiels (audio, voix, vidéo, documents, signatures, logos, offres d'emploi, etc.) sont-ils répertoriés, qualifiés, protégés, authentifiés et traçables pour prévenir toute falsification ou usurpation ? *

Oui, nous avons répertorié et qualifié tous nos contenus selon des critères précis. De même, des mesures techniques, protocolaires et juridiques sont en place pour les protéger
Seuls les contenus très critiques sont protégés selon des critères de bon sens
Nous n'avons pas encore entamé ce chantier à ce jour

Q17 - Des objectifs de temps de réaction ont-ils été définis selon le type d'incident et la criticité des actifs touchés ? *

Oui, ils sont définis, documentés, testés, connus des équipes et mesurés
Nous avons un cadre général avec des plafonds critiques
Rien n'est défini précisément

Q18 - Disposez-vous d'une checklist "anti-deepfake" pour les prises de parole sensibles ? *

Tout à fait. A chaque prise de parole, nous revoyons la trame que nous avons définie pour tous les risques IA identifiés, adaptable selon le cas
Pas de liste précise, mais nous avons élaboré une base d'arguments et de justifications
Rien de tout cela

Q19 - Avant toute publication sensible (communiqué, prise de parole, contenu stratégique), existe-t-il un processus formalisé de validation et de vérification ? *

Oui, un processus clair est défini (validation, vérification, traçabilité) et systématiquement appliqué
Des validations existent, mais sans cadre formalisé ni traçabilité complète
Non, les validations se font au cas par cas

Q20 - Un communiqué crédible circule en votre nom, annonçant la fermeture d'un site avec une vague de 200 licenciements. Il est faux. Pouvez-vous prouver rapidement qu’il ne vient pas de vous ? *

L'information est détectée rapidement avec vérification immédiate. L’origine du contenu est identifiée et tracée. Un démenti clair est publié rapidement avec des éléments concrets pour prouver qu’il est frauduleux
Dès l'information reçue, un démenti est préparé sur la base d'un brouillon pré-approuvé, publié rapidement, mais sans éléments solides pour prouver qu’il est faux
Le communiqué crée la confusion dans tout l'écosystème de l'organisation. Les équipes ne savent pas quoi penser et quoi dire à leurs interlocuteurs externes. La réaction officielle est tardive et improvisée.

Enfin, l’après-crise

La crise n'est jamais vraiment terminée quand elle s'arrête. Les effets continuent : séquelles réputationnelles, traumatismes humains, méfiance des partenaires, procédures légales en cours, vulnérabilités non encore corrigées

Q21 - Comment décidez-vous concrètement qu’une crise est terminée ? *

Des critères clairs sont appliqués et permettent de décider sans ambiguïté
La décision dépend du ressenti et du contexte
La crise “s’éteint” d’elle-même sans décision formelle

Q22 - Après une crise, que se passe-t-il réellement dans votre organisation ? *

Un retour d'expérience structuré est réalisé rapidement. Des décisions sont prises et suivies dans le temps
Un bilan est réalisé avec les équipes, suivi d'actions limitées ou sans réel suivi, à cause de la pression business
Un bilan informel est fait, sans générer beaucoup de changements concrets. Nous sommes trop sous pression de la rentabilité court-terme

Q23 - Après une crise, comment vos équipes sont-elles prises en charge ? *

Un dispositif structuré est activé (soutien psychologique, gestion de la fatigue, accompagnement des managers) avec un suivi dans la durée
Des actions sont mises en place (échanges, soutien ponctuel), mais sans dispositif structuré ni suivi dans le temps
Les managers prennent en charge les équipes avec des initiatives locales, sans cadre global ni accompagnement spécifique

Q24 - Après une crise, comment reconstruisez-vous la confiance avec vos interlocuteurs, si elle a été endommagée ? *

Des actions sont menées dans la durée, en interne et en externe, avec des messages cohérents, des preuves concrètes, et si nécessaire des actions commerciales alignées pour rétablir la confiance
Des actions sont engagées après la crise (communication, parfois commerciales), mais sans coordination claire ni suivi structuré
Des prises de parole sont réalisées après la crise, mais sans continuité ni actions concrètes pour rétablir durablement la confiance

Q25 - Les failles révélées par la crise sont-elles réellement corrigées ? *

Toutes sont listées, priorisées et traitées avec un suivi réel pour s'assurer d'une correction adaptée et efficace de chaque faille
Les failles les plus importantes sont traitées et corrigées, les autres le sont au cas par cas, selon le besoin et le temps disponible
Seules une ou deux sont traitées, rentabilité oblige

Diagnostic terminé !

A l’issue de ce diagnostic, l’opportunité d’une aide pratique
à fixer rapidement vos failles les plus critiques

Cookie	Durée	Description
cookielawinfo-checkbox-analytics	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
cookielawinfo-checkbox-functional	11 months	The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
cookielawinfo-checkbox-necessary	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
cookielawinfo-checkbox-others	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
cookielawinfo-checkbox-performance	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
viewed_cookie_policy	11 months	The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.

En cas de crise cyber-IA,le risque n’est pas l’attaque

C’est la perte de contrôle organisationnel dans les premières heures