Tout guide d'intervention en cas d'incident prévoit des mesures d'isolement. Segmenter le réseau. Couper les accès externes. Limiter la portée de l'incident. Ce sont là les réflexes appropriés.

Mais l'isolation engendre un deuxième problème que la plupart des guides d'intervention considèrent comme relevant de la responsabilité d'autrui : une fois que vous avez isolé l'environnement concerné, comment votre équipe se coordonne-t-elle ? Si vos téléphones passent par le réseau que vous venez d'isoler, ou si l'attaquant a perturbé les télécommunications avant que vous ne détectiez l'intrusion, votre équipe d'intervention opère dans le silence au moment même où elle doit agir le plus rapidement possible.

Les scénarios de perturbation des infrastructures élaborés par la CISA envisagent explicitement des actions adverses visant les télécommunications comme une tactique de multiplication de la force, destinée non seulement à dégrader les communications, mais aussi à retarder, fragmenter et détourner la réponse. Les attaques menées en juillet 2026 contre les services d’approvisionnement en eau ont confirmé ce que décrivent ces scénarios. Les services publics qui avaient mis en place au préalable une coordination « hors bande » se sont remis plus rapidement. Ceux qui ne l’avaient pas fait ont subi des perturbations prolongées, sans moyen fiable de se coordonner entre les différents sites une fois que leurs systèmes numériques avaient été compromis.

Voici ce que doit inclure une couche de coordination hors bande, comment elle doit fonctionner au cours des six premières heures, et comment vérifier son bon fonctionnement avant qu’ un incident ne nécessite d’en apporter la preuve.

Pourquoi les six premières heures sont les plus dangereuses

C'est la période comprise entre la détection initiale et la mobilisation totale de l'équipe qui présente le plus grand risque. Les décisions prises pendant cette période déterminent l'ensemble de l'intervention.

Trois conditions se rejoignent au cours de cette période.

1. L'ampleur de l'incident reste inconnue. Pour déterminer s'il s'agit d'une intrusion ponctuelle ou d'une campagne coordonnée, il est nécessaire d'assurer la communication entre les différents sites, fonctions et organismes, tout en ayant l'assurance que ces communications ne sont pas elles-mêmes compromises.
   

2. Les infrastructures de communication classiques ne sont pas fiables. Si un attaquant est présent au sein du réseau depuis suffisamment longtemps pour avoir accédé aux systèmes technologiques opérationnels, on ne peut pas considérer que la messagerie interne, le courrier électronique et la voix sur IP soient sûrs. L'utilisation d'un canal compromis pour coordonner la réponse à une intrusion est une technique d'attaque bien documentée visant à ralentir et à détourner le processus de rétablissement.
   

3. Les besoins en matière de coordination externe augmentent considérablement. Les délais de notification réglementaires commencent à courir. Les partenaires d'entraide ont besoin d'une vision globale de la situation. Les forces de l'ordre et les agences fédérales ont besoin d'informations précises et actualisées pour mener à bien leur intervention. Tout cela doit se faire par le biais de canaux à la fois disponibles et fiables.

La plupart des guides pratiques traitent de la première condition. Ils sont en revanche bien moins nombreux à aborder les deuxième et troisième conditions avec la même rigueur que celle appliquée au confinement technique.

Que signifie concrètement l'expression « hors bande » ?

Le terme « hors bande » a été utilisé de manière suffisamment vague dans le cadre de la planification de la sécurité pour avoir perdu toute précision. Une véritable capacité de coordination « hors bande » présente trois caractéristiques distinctives.

1. Il fonctionne indépendamment de l'infrastructure concernée par l'incident. Un canal transitant par le même réseau que celui qui est isolé n'est pas « hors bande », quelle que soit sa désignation. Une véritable indépendance implique des chemins physiques distincts, une vérification d'identité distincte et une infrastructure d'authentification distincte.
   

2. Ces éléments doivent être disponibles avant même que l'incident ne soit détecté. Une situation de crise n'est pas le moment approprié pour découvrir qui dispose d'un accès, quels appareils sont configurés ou si l'enregistrement est terminé. La préparation des appareils, la configuration des politiques et l'enregistrement doivent être effectués et testés à l'avance.
   

3. C'est une question de confiance. Lors d'un incident en cours, l'identité de chaque participant à une session de coordination revêt une importance capitale. Un adversaire connaissant la structure de votre équipe d'intervention peut exploiter un canal non vérifié pour introduire de fausses informations ou détourner des ressources. Chaque participant doit faire l'objet d'une vérification continue par rapport à un répertoire d'identités connu et contrôlé.

L'indépendance, la disponibilité et la fiabilité constituent les critères minimaux de conception d'une couche de communication de secours.

Trois critères de conception pour une couche de communication de secours viable

Exigence n° 1 : une diffusion souveraine et indépendante du réseau

La couche de secours doit fonctionner lorsque l'infrastructure réseau principale est indisponible, défaillante ou activement hostile. Son mécanisme de diffusion ne peut pas emprunter les mêmes voies de télécommunication que celles utilisées pour les opérations standard, et il ne peut pas dépendre de serveurs internes susceptibles d'être isolés, compromis ou inaccessibles.

Parmi les options pratiques, on peut citer les appareils mobiles préconfigurés dotés de voies de données indépendantes, les applications de voix et de messagerie chiffrées fonctionnant sans dépendre des serveurs internes, ainsi que des configurations de déploiement garantissant la disponibilité lorsque l’infrastructure principale est inaccessible. La diffusion par réseau cellulaire offre une résilience géographique et ne dépend pas de votre réseau principal. Pour les environnements soumis aux exigences de sécurité les plus strictes, les déploiements en « air-gap » ou sur site garantissent que la plateforme de coordination reste hors de portée d’un adversaire ayant accédé à votre environnement principal.

Lors de l’évaluation des solutions répondant à cette exigence, privilégiez les plateformes spécialement conçues pour les environnements hautement sécurisés. Recherchez un chiffrement de bout en bout complet avec protection des métadonnées pour la voix et la messagerie, la prise en charge d’un déploiement sur site ou en « air-gap », ainsi qu’une architecture garantissant que le canal de coordination reste totalement indépendant de votre réseau principal. En cas d’incident affectant le réseau principal, le canal hors bande doit rester disponible et ne pas être affecté, quelle que soit la situation sur l’infrastructure principale.

Deuxième exigence : vérification continue de l'identité

Lors d'un incident, l'identité de chaque participant à une réunion de coordination relève d'une question opérationnelle, et non d'une question de procédure. La structure des équipes d'intervention n'est pas un secret. Un adversaire disposant de connaissances suffisantes sur votre organisation peut exploiter un canal non vérifié pour usurper l'identité d'un membre du personnel, diffuser de fausses informations sur la situation ou réorienter les ressources d'intervention à un moment critique. Le canal par lequel transitent vos décisions de rétablissement doit permettre de vérifier l'identité des participants.

La couche de secours doit garantir une vérification continue de l'identité, non seulement lors de la connexion, mais tout au long de chaque session. Chaque participant doit être validé par rapport à un référentiel d'identité faisant autorité et à jour, contrôlé par votre organisation. Les appareils doivent être enregistrés, gérés et certifiés comme fiables avant de pouvoir rejoindre une session de crise, et tout appareil ne pouvant être vérifié doit se voir refuser l'accès automatiquement.

La gestion des appareils mobiles dans les environnements gouvernementaux doit aller au-delà de la simple application des politiques en conditions normales d’exploitation. La plateforme régissant les appareils utilisés pour la coordination en cas de crise doit vérifier l’état de sécurité actuel avant d’accorder l’accès, associer chaque session à une identité d’utilisateur confirmée et prendre en charge la gestion à distance ou la mise hors service de tout appareil perdu, volé ou compromis lors d’un incident en cours. C’est cette couche de gouvernance, appliquée de manière cohérente à tous les appareils de l’environnement de coordination, qui fait de la vérification continue de l’identité une réalité opérationnelle fiable, et non un simple objectif.

Troisième exigence : une vision opérationnelle unifiée

La coordination en situation de crise ne se limite pas à la transmission d'informations. Elle nécessite une vision commune de la situation entre des équipes qui peuvent être géographiquement dispersées, disposer de sources d'informations différentes et devoir faire face à des conditions en constante évolution. Sans une vision d'ensemble unifiée, les responsables des interventions prennent leurs décisions en se basant sur ce qu'ils savaient au début de l'incident, et non sur ce qui se passe réellement sur le terrain.

La couche de secours doit aller au-delà de la simple messagerie point à point. Elle doit fournir une vue d’ensemble opérationnelle partagée : qui intervient, où, avec quelles ressources, et face à quelles situations confirmées ou présumées. Les alertes doivent parvenir aux bonnes personnes par les bons canaux, y compris au personnel qui ne se trouve pas nécessairement à son poste de travail habituel. Les renseignements recueillis sur le terrain doivent être transmis en temps réel aux commandants des opérations, sous une forme suffisamment structurée et en temps opportun pour éclairer les décisions plutôt que d’ajouter au bruit ambiant.

Lors de l’évaluation des plateformes répondant à cette exigence, recherchez des solutions qui regroupent les alertes multicanaux, le suivi du statut du personnel, le géorepérage et la communication bidirectionnelle avec le terrain au sein d’une vue opérationnelle unique. L’objectif est de permettre aux commandants des opérations de savoir en temps réel qui a répondu à l’appel, qui ne l’a pas fait et quelle est la situation sur le terrain, le tout sans dépendre de l’infrastructure de communication principale qui pourrait être compromise. Les plateformes prenant en charge des réponses structurées obligatoires avec suivi des accusés de réception sont particulièrement utiles : elles transforment les alertes en actions vérifiables plutôt qu’en diffusions qui peuvent avoir été vues ou non.

Une architecture de secours efficace répond simultanément à ces trois exigences : une diffusion indépendante capable de résister à une défaillance du réseau principal, une vérification continue de l'identité permettant de confirmer l'identité de chaque participant tout au long d'une session, et une vision opérationnelle unifiée offrant aux responsables des interventions une vue d'ensemble en temps réel de toutes les équipes mobilisées.

Les six premières heures : guide pas à pas du scénario

Première heure : détection et confinement initial

Les opérateurs constatent des divergences dans la logique en échelle entre plusieurs sites. L'enquête révèle que des fichiers de projet ont été modifiés sur les automates programmables. Le responsable des opérations active le plan d'intervention et ordonne l'isolation des systèmes concernés.

Si le principal canal de coordination de l'équipe d'intervention passe par le réseau en cours d'isolation, la communication est interrompue à ce moment-là. Si l'équipe a préalablement mis en place des dispositifs hors bande, la coordination se poursuit sans interruption. Une alerte multicanal est envoyée à tous les intervenants désignés, confirmant l'activation et orientant le personnel vers le canal hors bande. L'état de sécurité de chaque intervenant est vérifié avant que l'accès à la session ne lui soit accordé.

Deuxième et troisième heures : évaluation de la portée et notification aux tiers

L'équipe d'intervention s'efforce de déterminer l'ampleur de l'incident sur plusieurs sites. La coordination entre les sites est essentielle et doit s'effectuer via un canal qui ne soit pas lui-même menacé.

La couche hors bande prend en charge cette fonctionnalité grâce à des communications vocales et à des messages chiffrés qui fonctionnent indépendamment du réseau concerné. Parallèlement, le responsable des opérations déclenche des notifications externes à l'intention des organismes de réglementation et des agences fédérales via des workflows hors bande préconfigurés. Les délais de notification sont respectés sans qu'il soit nécessaire d'effectuer un suivi manuel dans des conditions de stress.

Quatrième à sixième heure : expulsion, rétablissement et coordination continue

À mesure que l'équipe passe de la phase de confinement à celle d'évacuation et de remise en état, les besoins en matière de coordination évoluent : la mobilisation rapide cède la place à une communication structurée et continue. Le personnel de terrain rend compte de la situation via la couche « hors bande », en utilisant le format de rapport structuré spécifié dans votre plan d'intervention. Les commandants des opérations maintiennent une vue d'ensemble opérationnelle unifiée en regroupant les rapports de terrain, en suivant le statut du personnel et en mettant à jour la vue d'ensemble partagée à mesure que la situation évolue.

Tout au long de cette phase, l'intégrité du canal de coordination repose sur le maintien d'une vérification continue de l'identité et de contrôles de l'état de sécurité des appareils. Aucun participant ne doit pouvoir rejoindre une session sans que son identité ait été confirmée et vérifiée. Tout appareil ne satisfaisant pas aux critères de contrôle de l'état de sécurité doit se voir retirer l'accès automatiquement et immédiatement.

Un exercice de simulation d'une heure : les communications en cas de perturbation

Mise en place du scénario (10 minutes)

Informez les participants des conditions suivantes : votre réseau interne principal a été isolé dans le cadre d'une intervention d'urgence en cours. Les services de messagerie électronique principale, de téléphonie sur IP et de messagerie interne sont indisponibles. Une obligation de notification réglementaire assortie d'un délai de quatre heures est en vigueur. Votre système de communication hors bande est opérationnel.

Exercice – Première phase : coordination initiale (15 minutes)

Activez le canal hors bande et vérifiez que tous les intervenants désignés sont joignables. Notez qui s'est connecté au canal dans les cinq minutes, qui a eu besoin d'aide et qui était injoignable. Notez tous les appareils qui n'ont pas passé la vérification de conformité.

Questions clés : Qui est habilité à activer le canal hors bande ? La procédure d'activation est-elle documentée et accessible sans connexion au réseau ? Chaque intervenant désigné peut-il s'authentifier depuis son emplacement actuel ?

Deuxième phase de l'exercice : prise de conscience de la situation (15 minutes)

Exiger du commandant des opérations qu'il établisse une vision opérationnelle commune en utilisant uniquement la couche « hors bande ». Le personnel de terrain rend compte de la situation. Le commandant des opérations synthétise l'état actuel de la situation en vue d'un briefing simulé à l'intention de la direction.

Questions clés : Combien de temps faut-il pour établir une vision opérationnelle commune ? Quelles lacunes d'information subsistent au bout de 15 minutes ? Quelles sont les étapes manuelles nécessaires qui seraient automatisées en conditions normales d'exploitation ?

Troisième phase de l'exercice : coordination externe (15 minutes)

Simulez les procédures de notification réglementaire et de coordination avec les agences fédérales en utilisant uniquement la couche hors bande et les workflows préconfigurés.

Questions clés : Les modèles de notification sont-ils préenregistrés et accessibles sans connexion au réseau ? L'équipe connaît-elle les interlocuteurs et les délais à respecter ? Y a-t-il un responsable de la communication désigné pour la coordination avec l'extérieur ?

Bilan (5 minutes)

Recenser trois lacunes spécifiques et désigner les responsables de leur correction. Prévoir de répéter cet exercice dans un délai de 90 jours.

Assurer la continuité des communications même en situation de crise

Le premier test d'un système de communication de secours ne devrait pas avoir lieu lors d'un incident réel. Une architecture de communication hors bande souveraine, dont la fiabilité est vérifiée en permanence et reposant sur des plateformes souveraines spécialement conçues à cet effet, offre une couche de coordination que l'isolement à lui seul ne peut pas assurer.

Le défi réside rarement dans l'isolement en soi. Il s'agit plutôt de maintenir la coordination une fois que l'isolement a coupé les systèmes sur lesquels les gens comptent habituellement. Pour y parvenir, il faut une conception mûrement réfléchie, une préparation en amont et des tests vérifiés avant que les lignes téléphoniques ne soient coupées.

Un point de départ utile : si le réseau principal venait à être indisponible aujourd’hui, comment votre équipe d’intervention se coordonnerait-elle, et dans quelle mesure êtes-vous certain que ces canaux de communication fonctionneraient ? Cette simple question mettra en évidence la plupart des lacunes décrites dans cet article. Utilisez l’exercice de simulation ci-dessus comme point de départ, consignez vos conclusions, attribuez les responsabilités et refaites un test dans un délai de 90 jours.

À lire également :
Leçons à tirer des attaques de juillet contre les services des eaux : ce que l'avis conjoint recommande aux exploitants de faire ensuite
Pourquoi la planification de l'isolation des systèmes OT nécessite une continuité des communications