Sylvain Bizouard (AXA France) : « Une mobilisation immédiate, dès la première heure après une attaque »

Sylvain Bizouard (AXA France) : « Une mobilisation immédiate, dès la première heure après une attaque » — Quand DORA devient un déclencheur de résilience

Dans les grandes organisations, la cybersécurité a longtemps été pensée comme un empilement de contrôles : politiques, audits, indicateurs, comités. Pourtant, une crise ne se résout pas avec un classeur. Dans l’univers assurantiel, où la confiance constitue la matière première, la promesse de mobilisation immédiate est devenue un marqueur aussi stratégique que la solidité financière. C’est précisément l’angle mis en avant par Sylvain Bizouard, Chief Security Officer et Data Privacy Officer d’AXA France, lorsque le sujet bascule du « respect d’un texte » à la capacité à passer à l’action dès la première heure après une attaque 🕒.

Le règlement européen DORA, publié fin 2022 et entré dans une phase d’exécution structurante à l’échelle du secteur, a ici servi de levier. Non pas comme un dossier de conformité de plus, mais comme un accélérateur organisationnel. L’idée est simple sur le papier : rendre les acteurs financiers capables d’encaisser des chocs numériques majeurs. Dans les faits, c’est une transformation qui oblige à relier des mondes historiquement séparés : l’IT, les métiers, les risques, le juridique, les achats, la sécurité. Et surtout, à abandonner la logique « chacun son plan ».

Le fil conducteur d’une telle bascule peut se raconter avec un cas concret, inspiré des situations vécues sur le marché : un prestataire d’échange de fichiers utilisé par plusieurs entreprises est compromis. Les premières minutes sont brouillées, les informations contradictoires circulent, les équipes reçoivent des alertes parfois incomplètes. Dans une organisation “ancienne version”, la question « sommes-nous touchés ? » peut prendre des heures, car la réponse dépend d’inventaires dispersés. Dans une organisation “refondée”, les rôles sont pré-assignés, la cartographie des dépendances est consolidée, et le diagnostic devient quasi immédiat ✅.

Cette approche n’émerge pas au dernier moment. Chez AXA France, la lecture des premières ébauches du régulateur a démarré dès le début 2022, avant même la publication officielle du texte. Les équipes ont rapidement compris deux choses : la densité du règlement, et l’ampleur de la marche à franchir. Résultat : une étude de cadrage a été lancée dès l’été 2022 pour préparer la feuille de route, afin d’être opérationnel lorsque le texte serait publié. Ce choix d’anticipation a réduit l’effet « panique de calendrier » et a permis d’organiser une transformation plus profonde que la simple mise à jour documentaire.

Il existe aussi un contexte économique qui rend ces transformations plus difficiles : budgets sous tension, multiplication d’outils, complexité croissante des architectures. Certains DSI parlent d’une pression continue liée à l’inflation technologique, qui oblige à arbitrer sans cesse entre modernisation, sécurité et continuité. Dans ce cadre, DORA agit comme une boussole : si tout ne peut pas être traité en même temps, alors il faut prioriser selon la criticité et rendre la progression visible, pilotée, mesurable.

Cette première bascule — traiter DORA comme une opportunité de transformation plutôt que comme une contrainte — contient déjà un enseignement : la résilience n’est pas un sujet IT ; c’est un sujet d’entreprise. Et si ce principe devient concret, c’est parce que la suite impose de casser les silos, ce qui conduit naturellement au thème suivant.

AXA France et la fin des silos : gouvernance, métiers et IT alignés pour « agir tout de suite »

Dans de nombreuses entreprises, la continuité d’activité et la reprise informatique se sont construites par couches successives. D’un côté, un PRA (plan de reprise d’activité) centré sur l’infrastructure, souvent piloté par l’IT. De l’autre, un PCA (plan de continuité d’activité) davantage orienté métiers. Ajoutons la gestion des risques, la sécurité, le juridique, les achats : tout le monde travaille, tout le monde produit, mais tout le monde ne cadence pas ensemble. Le résultat est connu : en situation de crise, la synchronisation devient laborieuse, et l’organisation perd du temps quand chaque minute compte ⏱️.

Le retour d’expérience porté par Sylvain Bizouard met en lumière ce constat sans fard : avant la transformation, la résilience restait trop compartimentée. Les équipes se parlaient, mais les décisions, les dépendances et les priorités n’étaient pas entièrement alignées. DORA a forcé la cohérence : mettre tout le monde autour de la table, inclure les métiers dans la discussion, et faire porter le sujet au plus haut niveau de gouvernance. Ce portage change la nature des arbitrages : ce n’est plus un sujet « technique » qu’on finance quand il reste du budget, c’est un engagement collectif sur la capacité à tenir.

Aspect	Ancienne approche	Nouvelle approche
Vision de DORA	Contrainte de conformité de plus	Levier de transformation organisationnelle
Réaction après attaque	Heures de diagnostic, infos dispersées	Mobilisation immédiate, rôles pré-assignés
Coordination des équipes	Silos : IT, métiers, risques, juridique séparés	Gouvernance alignée, tous cadencés ensemble
Préparation	Réactive, au fil des exigences	Anticipée dès 2022, feuille de route claire

Le déclencheur et l’accélérateur : la conformité qui devient un moteur 🚀

La force d’un texte comme DORA tient aussi à sa supervision. Lorsque l’ACPR suit les travaux d’un acteur majeur, la mobilisation devient plus simple : les directions s’engagent, les priorités se clarifient, les calendriers se tiennent. Ce mécanisme n’a rien d’abstrait : il agit comme une « traction » sur l’entreprise, qui évite de tourner en rond pendant des mois sur des débats internes. Dans le témoignage, la réglementation apparaît à la fois comme déclencheur (passer à l’action) et accélérateur (tenir le rythme et l’exigence).

Il faut aussi lire cette dynamique à la lumière de l’évolution de la menace. Depuis plusieurs années, les attaques par rançongiciel ne visent plus uniquement les données : elles paralysent des chaînes entières, en jouant sur les dépendances. Les attaques d’ampleur deviennent plus probables, et les plans « sur étagère » montrent leurs limites lorsqu’il faut reconstruire, prioriser, décider vite. Là où l’ancien dispositif pouvait être capable de remettre en service une application isolée, l’enjeu est désormais de savoir reconstruire un système complet dans un ordre logique.

Des exercices de crise qui descendent dans les métiers 🧩

La transformation culturelle est souvent le point le plus sous-estimé. Tant que les exercices restent cantonnés à une cellule de crise restreinte, l’entreprise peut croire que le sujet est “géré”. Lorsque les métiers sont réellement embarqués, la conversation change : les équipes opérationnelles commencent à proposer des solutions, à challenger des hypothèses, à demander des scénarios réalistes. Dans le cas d’AXA France, les entraînements ont été considérablement renforcés, et l’implication des collaborateurs est devenue plus active qu’avant.

Pour illustrer, imaginons un exercice autour d’une indisponibilité prolongée d’un outil de gestion. Dans un modèle ancien, l’IT explique une solution technique, les métiers valident sans trop discuter, puis la discussion se crispe sur le budget. Dans un modèle mature, le métier arrive avec des priorités de services à maintenir, des contournements possibles, des propositions d’ordre de reprise, et même des ajustements de processus. C’est à ce moment que la résilience cesse d’être « un exercice obligé » et devient une compétence partagée 🤝.

Cette montée en maturité suppose un cadre clair : qui décide quoi, à quel moment, avec quelles informations, et comment on communique. La question de l’autorité en crise n’est pas théorique : elle structure la vitesse d’exécution. Pour prolonger cette réflexion sur le leadership et la légitimité dans des organisations complexes, un éclairage utile se trouve dans cet article sur l’autorité du chef remise en question, dont les enjeux résonnent fortement avec la gouvernance cyber.

Le gain final se mesure dans la capacité à agir sans hésitation : dans l’heure qui suit l’attaque, tout le monde sait quoi faire. Et pour rendre cette promesse tenable, il faut un outil central : la reconstruction documentée, ordonnée, priorisée. C’est le sujet du « cahier de reconstruction ».

Le « cahier de reconstruction » : documenter l’ordre de reprise pour éviter la sidération

Dans les heures qui suivent une cyberattaque majeure, il se produit souvent un phénomène aussi humain que dangereux : l’effet de sidération. Trop d’informations, pas assez de certitudes, des systèmes indisponibles, des équipes qui cherchent un point d’appui. Les retours d’expérience partagés dans l’écosystème français, y compris ceux mis en avant par l’ANSSI dans ses panoramas récents, convergent : une organisation qui hésite au démarrage perd un temps précieux, et ce temps se paie en impacts opérationnels, financiers, réputationnels.

La réponse structurante, dans la démarche décrite chez AXA France, tient dans un objet très concret : le cahier de reconstruction. L’idée n’est pas de produire un document de plus, mais de créer une séquence d’action qui survive à la pression d’une crise. Pour y parvenir, la démarche commence par une recartographie exhaustive : les processus métiers, leur criticité, les actifs numériques qui les supportent, puis les dépendances entre applications, infrastructures, identités, flux de données. Une fois ces couches connectées, la question devient presque mécanique : si tout tombe, par quoi reconstruire pour restaurer rapidement les services essentiels ?

De la cartographie à la décision : prioriser sans se tromper 🎯

La difficulté est qu’une entreprise n’est pas un puzzle simple. Remettre en service une application “visible” ne sert à rien si l’annuaire d’authentification, l’outil de supervision ou la base de données partagée restent hors ligne. Le cahier de reconstruction sert précisément à éviter ces erreurs de séquence. Il documente un ordre de remise en route, et surtout les prérequis : sauvegardes, droits, secrets, environnements propres, procédures de vérification.

Un exemple parlant : une équipe souhaite rétablir un portail client en priorité, car la pression commerciale est forte. Mais le cahier indique que la reprise doit d’abord passer par la restauration de la chaîne d’identités et de contrôle d’accès, puis par des briques de paiement, puis par un service de messagerie transactionnelle. Sans cette vision, la remise en service du portail pourrait créer de nouveaux risques (fuite de données, accès indésirables, incohérences) ou se solder par un échec technique.

La promesse d’une mobilisation dans l’heure : une organisation “prête à courir” 🏁

Le point le plus marquant dans la déclaration de Sylvain Bizouard n’est pas un délai de reconstruction global — volontairement non figé, car tout dépend du périmètre touché — mais une certitude opérationnelle : dans l’heure qui suit l’attaque, l’entreprise est en action. Cette phrase dit beaucoup : elle suppose des astreintes claires, des chaînes d’escalade connues, des rôles prédéfinis, des moyens de communication alternatifs, et des scénarios répétés.

Dans les faits, cela se traduit par des automatismes. Qui déclenche la cellule de crise ? Qui prend la main sur la qualification ? Qui contacte les prestataires critiques ? Qui gère la communication interne pour éviter les rumeurs ? Qui arbitre le maintien ou l’arrêt de certains services ? Le cahier n’est pas seulement technique : il orchestre des décisions. Et cette orchestration est d’autant plus vitale que les attaques modernes jouent sur la confusion.

Pour rendre ces éléments tangibles, voici une liste d’actions fréquemment intégrées dans un cahier de reconstruction, avec une logique “première heure” clairement orientée exécution :

• 🧭 Qualifier l’incident : périmètre, symptômes, systèmes touchés, hypothèse d’attaque, preuves à préserver.
• 📞 Activer la chaîne de mobilisation : cellule de crise, métiers prioritaires, juridique, risques, communication.
• 🔐 Sécuriser les identités : mesures de confinement, rotation de secrets, contrôle des accès sensibles.
• 🗂️ Basculer sur les référentiels : cartographies, dépendances, priorités métiers, ordre de reconstruction.
• 🧪 Valider avant remise en service : tests de non-compromission, contrôles d’intégrité, critères de retour en production.

Cette discipline a un coût : temps d’analyse, documentation, exercices. Mais elle évite un coût bien supérieur : celui de l’improvisation. Et lorsque l’entreprise sait reconstruire vite, une autre question devient centrale : la dépendance aux tiers et la visibilité sur la chaîne de sous-traitance.

Le registre des tiers DORA : cartographier la sous-traitance pour répondre “sommes-nous touchés ?” en minutes

La résilience numérique ne se limite plus aux murs de l’entreprise. Une assurance moderne dépend d’un écosystème : cloud, éditeurs, infogérants, sociétés de support, prestataires de services managés, centres d’appels, solutions de signature, outils de conformité. Or les attaques suivent souvent les lignes de dépendance : un incident chez un fournisseur peut devenir un incident chez tous ses clients. C’est pourquoi DORA consacre un pilier entier aux prestataires tiers, et c’est aussi l’un des chantiers les plus exigeants.

Dans la trajectoire décrite chez AXA France, la progression est nette : meilleure connaissance de la chaîne de sous-traitance, cartographie des actifs plus précise, et surtout capacité à répondre rapidement à une question autrefois paralysante : sommes-nous concernés ? Avant, cette réponse pouvait prendre du temps, faute d’une consolidation fiable. Désormais, elle devient quasi immédiate, ce qui change la suite : mesures à prendre, personnes à contacter, services à surveiller.

Pourquoi le registre d’informations est si difficile… et si utile 📚

Le registre demandé par DORA est souvent décrit, y compris par des responsables sécurité, comme un objet “pénible” : il oblige à rassembler des informations qui étaient dispersées entre achats, risques, sécurité, IT, juridique. Le défi n’est pas uniquement de collecter, mais d’unifier des formats, de résoudre des incohérences, de maintenir à jour. Cette maintenance est un point crucial : un registre figé devient rapidement faux, et donc dangereux.

Pour illustrer, imaginons une filiale de taille moyenne d’environ 250 personnes, avec une équipe informatique limitée. Sans appui d’un groupe, digérer une réglementation pléthorique est difficile : manque d’expertises, manque de temps, complexité contractuelle. Dans un ensemble comme AXA France, l’enjeu est aussi d’accompagner ces entités, de mutualiser des méthodes, des modèles, des outils. Le résultat attendu n’est pas une bureaucratie supplémentaire, mais une capacité de pilotage adaptée à la criticité.

Un tableau de lecture pratique : de l’incident marché à l’action interne ⚡

Le bénéfice se voit très vite lorsqu’un incident touche “le marché” : un acteur cloud rencontre une panne majeure, un logiciel de transfert de fichiers est compromis, un prestataire de téléphonie subit une attaque. Dans ces moments, les organisations qui ont travaillé leur registre peuvent basculer immédiatement sur une analyse d’exposition, puis activer les bonnes équipes.

Étape 🧩	Question clé ❓	Information issue du registre 🗃️	Décision rapide ✅
1. Alerte 🚨	Quel fournisseur est touché ?	Identité du prestataire + services fournis	Activation du suivi et de la cellule concernée
2. Exposition 🔍	Quels systèmes internes dépendent de lui ?	Applications liées + criticité métier	Priorisation des contrôles et des contournements
3. Contact 📞	Qui appelle, avec quel contrat ?	Contacts opérationnels + clauses d’incident	Demande d’éléments factuels et délais de rétablissement
4. Mesures 🛡️	Quelles actions de réduction de risque ?	Plans de mitigation + alternatives	Confinement, bascule, suspension de flux si nécessaire
5. Traçabilité 🧾	Que documenter pour le régulateur ?	Historique + preuves + décisions	Rapport consolidé et amélioration continue

Cette mécanique met en évidence une réalité : la résilience est aussi un sujet de “supply chain” numérique. Elle rejoint, au passage, un débat plus large sur la dépendance technologique et les choix collectifs. Sur ce point, la lecture de la souveraineté numérique et le risque de l’inaction offre un prolongement intéressant, car la capacité à encaisser des chocs dépend aussi des options prises en amont.

Une fois le registre structuré, il faut le faire vivre, l’éprouver en exercice, le connecter à des scénarios. C’est là que les entraînements et l’amélioration continue deviennent le cœur battant du dispositif, avec une logique durable plutôt qu’un sprint ponctuel.

Exercices de crise DORA chez AXA France : entraînement renforcé, amélioration continue et culture partagée

La conformité a parfois un défaut : elle peut donner l’illusion qu’une fois le dossier “clos”, le risque est maîtrisé. DORA impose l’inverse. Le texte pousse vers un dispositif d’amélioration continue, avec des obligations régulières et un principe de proportionnalité : l’effort s’ajuste selon la criticité des fonctions. Cela change la posture des organisations : la résilience devient un régime permanent, pas un projet ponctuel.

Dans l’expérience relatée par Sylvain Bizouard, la mise en conformité initiale a été concentrée sur les activités les plus critiques, avec un jalon majeur autour de l’échéance de janvier 2025. Cette approche par priorités évite le piège du “tout en même temps” et permet une extension progressive à l’ensemble des fonctions. L’enjeu n’est pas seulement de cocher des cases, mais de construire un muscle : un ensemble de réflexes, de processus, de compétences, qui s’entretient.

Pourquoi les exercices coûtent cher… et rapportent gros 💡

Un exercice sérieux mobilise des équipes, interrompt des agendas, nécessite des animateurs, des scénarios, parfois des moyens techniques dédiés. Il peut aussi mettre en lumière des faiblesses embarrassantes : procédures floues, dépendances mal connues, canaux de communication non testés. Pourtant, ce sont précisément ces découvertes qui créent de la valeur. Une crise réelle ne prévient pas ; elle exploite les zones grises.

Les exercices “nouvelle génération” s’éloignent des simulations théoriques. Ils introduisent des dilemmes : faut-il isoler une partie du réseau au risque d’impacter la production ? Qui valide un message aux collaborateurs ? Quand déclencher l’information aux partenaires ? Comment éviter que l’incident ne devienne une crise de confiance ? Ce sont ces questions, répétées, qui rendent crédible la promesse de mobilisation rapide.

Une vidéo vaut parfois un scénario : diffuser la culture cyber 🎬

Pour ancrer une culture commune, beaucoup d’organisations s’appuient sur des formats vidéo, utiles pour partager des retours d’expérience et installer un vocabulaire partagé. Les conférences et interventions publiques aident aussi à comparer les pratiques, sans dévoiler d’éléments sensibles. Cette dynamique s’observe dans l’écosystème français, où les échanges autour de la résilience prennent de l’ampleur.

Ce type de ressource nourrit un point clé : la résilience est “l’affaire de tous”. Ce n’est pas un slogan, c’est une réalité opérationnelle. Sans les métiers, impossible de prioriser correctement. Sans l’IT, impossible d’exécuter. Sans le juridique et les risques, impossible de tenir la ligne réglementaire et contractuelle. Sans la communication, impossible de maîtriser l’impact réputationnel.

Dans cette logique, le rôle du DSI évolue aussi : moins “gardien des systèmes”, davantage chef d’orchestre de services et de solidarité organisationnelle. Ce glissement est bien exploré dans la vision d’un DSI entre technologie et mission solidaire, qui résonne particulièrement dans les industries régulées.

Des scénarios concrets et une dernière étape : la minute 60 🕒

Les meilleurs exercices intègrent un objectif précis : que, dans un laps de temps très court, tout le monde sache où aller et quoi produire. Une “minute 60” structurée, par exemple, peut exiger : un point de situation, une hypothèse d’attaque, un périmètre, une décision de confinement, une liste de systèmes prioritaires, et une première communication interne. Ce cadrage rend la phrase « dans l’heure, tout le monde est mobilisé » tangible, mesurable, améliorable.

Pour compléter cette montée en compétence, un second format vidéo peut aider : les retours d’expérience sur les rançongiciels, les cellules de crise et la coordination entre équipes. À force d’exemples, les réflexes s’ancrent, et l’entreprise devient moins vulnérable à la sidération.

Au final, l’enseignement le plus enthousiasmant est peut-être celui-ci : lorsqu’une organisation transforme une contrainte réglementaire en moteur collectif, elle ne se contente pas de “tenir” face aux attaques. Elle apprend à décider vite, à coopérer mieux, et à faire de la résilience un avantage compétitif durable 🔥.

Les zones d'ombre éclaircies

DORA, c'est quoi au juste ?

C'est le règlement européen sur la résilience numérique des acteurs financiers. Il impose de se préparer aux cyberattaques et de pouvoir réagir vite.

Pourquoi AXA a commencé à bosser dessus avant la publication officielle ?

Parce que le texte était dense et la marche haute. Démarrer tôt a évité la panique de dernière minute et a permis une vraie transformation, pas juste du papier.

Concrètement, comment ça change la réaction en cas d'attaque ?

Au lieu de perdre des heures à chercher qui est touché, les rôles sont déjà attribués et la cartographie des dépendances est prête. Le diagnostic est quasi immédiat.

Est-ce que DORA coûte cher à mettre en place ?

Ça demande un investissement, mais Bizouard le voit comme une boussole pour prioriser. Si les budgets sont serrés, on se concentre sur ce qui est critique.

Et vous, quelle est votre approche ? On lit vos commentaires

Laisser un commentaire