{"id":7467,"url":{"canonical":"https:\/\/cditech.fr\/mobilisation-axa-attaque\/","rest_html":"https:\/\/cditech.fr\/wp-json\/14040eda\/v1\/id\/7467"},"title":"Sylvain Bizouard (AXA France) : \u00ab Une mobilisation imm\u00e9diate, d\u00e8s la premi\u00e8re heure apr\u00e8s une attaque \u00bb","slug":"mobilisation-axa-attaque","date":"2026-07-25T07:29:17+02:00","modified":"2026-08-14T12:09:44+02:00","language":"fr-FR","author":"Anna Bailly","excerpt":"Sylvain Bizouard (AXA France) : \u00ab Une mobilisation imm\u00e9diate, d\u00e8s la premi\u00e8re heure apr\u00e8s une attaque \u00bb \u2014 Quand DORA devient un d\u00e9clencheur de r\u00e9silience Dans les grandes organisations, la cybers\u00e9curit\u00e9 a longtemps \u00e9t\u00e9 pens\u00e9e comme un empilement de contr\u00f4les...","plain_text":"Sylvain Bizouard (AXA France) : \u00ab Une mobilisation imm\u00e9diate, d\u00e8s la premi\u00e8re heure apr\u00e8s une attaque \u00bb \u2014 Quand DORA devient un d\u00e9clencheur de r\u00e9silience\n\nDans les grandes organisations, la cybers\u00e9curit\u00e9 a longtemps \u00e9t\u00e9 pens\u00e9e comme un empilement de contr\u00f4les : politiques, audits, indicateurs, comit\u00e9s. Pourtant, une crise ne se r\u00e9sout pas avec un classeur. Dans l\u2019univers assurantiel, o\u00f9 la confiance constitue la mati\u00e8re premi\u00e8re, la promesse de mobilisation imm\u00e9diate est devenue un marqueur aussi strat\u00e9gique que la solidit\u00e9 financi\u00e8re. C\u2019est pr\u00e9cis\u00e9ment l\u2019angle mis en avant par Sylvain Bizouard, Chief Security Officer et Data Privacy Officer d\u2019AXA France, lorsque le sujet bascule du \u00ab respect d\u2019un texte \u00bb \u00e0 la capacit\u00e9 \u00e0 passer \u00e0 l\u2019action d\u00e8s la premi\u00e8re heure apr\u00e8s une attaque \ud83d\udd52.\n\nLe r\u00e8glement europ\u00e9en DORA, publi\u00e9 fin 2022 et entr\u00e9 dans une phase d\u2019ex\u00e9cution structurante \u00e0 l\u2019\u00e9chelle du secteur, a ici servi de levier. Non pas comme un dossier de conformit\u00e9 de plus, mais comme un acc\u00e9l\u00e9rateur organisationnel. L\u2019id\u00e9e est simple sur le papier : rendre les acteurs financiers capables d\u2019encaisser des chocs num\u00e9riques majeurs. Dans les faits, c\u2019est une transformation qui oblige \u00e0 relier des mondes historiquement s\u00e9par\u00e9s : l\u2019IT, les m\u00e9tiers, les risques, le juridique, les achats, la s\u00e9curit\u00e9. Et surtout, \u00e0 abandonner la logique \u00ab chacun son plan \u00bb.\n\nLe fil conducteur d\u2019une telle bascule peut se raconter avec un cas concret, inspir\u00e9 des situations v\u00e9cues sur le march\u00e9 : un prestataire d\u2019\u00e9change de fichiers utilis\u00e9 par plusieurs entreprises est compromis. Les premi\u00e8res minutes sont brouill\u00e9es, les informations contradictoires circulent, les \u00e9quipes re\u00e7oivent des alertes parfois incompl\u00e8tes. Dans une organisation \u201cancienne version\u201d, la question \u00ab sommes-nous touch\u00e9s ? \u00bb peut prendre des heures, car la r\u00e9ponse d\u00e9pend d\u2019inventaires dispers\u00e9s. Dans une organisation \u201crefond\u00e9e\u201d, les r\u00f4les sont pr\u00e9-assign\u00e9s, la cartographie des d\u00e9pendances est consolid\u00e9e, et le diagnostic devient quasi imm\u00e9diat \u2705.\n\nCette approche n\u2019\u00e9merge pas au dernier moment. Chez AXA France, la lecture des premi\u00e8res \u00e9bauches du r\u00e9gulateur a d\u00e9marr\u00e9 d\u00e8s le d\u00e9but 2022, avant m\u00eame la publication officielle du texte. Les \u00e9quipes ont rapidement compris deux choses : la densit\u00e9 du r\u00e8glement, et l\u2019ampleur de la marche \u00e0 franchir. R\u00e9sultat : une \u00e9tude de cadrage a \u00e9t\u00e9 lanc\u00e9e d\u00e8s l\u2019\u00e9t\u00e9 2022 pour pr\u00e9parer la feuille de route, afin d\u2019\u00eatre op\u00e9rationnel lorsque le texte serait publi\u00e9. Ce choix d\u2019anticipation a r\u00e9duit l\u2019effet \u00ab panique de calendrier \u00bb et a permis d\u2019organiser une transformation plus profonde que la simple mise \u00e0 jour documentaire.\n\nIl existe aussi un contexte \u00e9conomique qui rend ces transformations plus difficiles : budgets sous tension, multiplication d\u2019outils, complexit\u00e9 croissante des architectures. Certains DSI parlent d\u2019une pression continue li\u00e9e \u00e0 l\u2019inflation technologique, qui oblige \u00e0 arbitrer sans cesse entre modernisation, s\u00e9curit\u00e9 et continuit\u00e9. Dans ce cadre, DORA agit comme une boussole : si tout ne peut pas \u00eatre trait\u00e9 en m\u00eame temps, alors il faut prioriser selon la criticit\u00e9 et rendre la progression visible, pilot\u00e9e, mesurable.\n\nCette premi\u00e8re bascule \u2014 traiter DORA comme une opportunit\u00e9 de transformation plut\u00f4t que comme une contrainte \u2014 contient d\u00e9j\u00e0 un enseignement : la r\u00e9silience n\u2019est pas un sujet IT ; c\u2019est un sujet d\u2019entreprise. Et si ce principe devient concret, c\u2019est parce que la suite impose de casser les silos, ce qui conduit naturellement au th\u00e8me suivant.\n\nAXA France et la fin des silos : gouvernance, m\u00e9tiers et IT align\u00e9s pour \u00ab agir tout de suite \u00bb\n\nDans de nombreuses entreprises, la continuit\u00e9 d\u2019activit\u00e9 et la reprise informatique se sont construites par couches successives. D\u2019un c\u00f4t\u00e9, un PRA (plan de reprise d\u2019activit\u00e9) centr\u00e9 sur l\u2019infrastructure, souvent pilot\u00e9 par l\u2019IT. De l\u2019autre, un PCA (plan de continuit\u00e9 d\u2019activit\u00e9) davantage orient\u00e9 m\u00e9tiers. Ajoutons la gestion des risques, la s\u00e9curit\u00e9, le juridique, les achats : tout le monde travaille, tout le monde produit, mais tout le monde ne cadence pas ensemble. Le r\u00e9sultat est connu : en situation de crise, la synchronisation devient laborieuse, et l\u2019organisation perd du temps quand chaque minute compte \u23f1\ufe0f.\n\nLe retour d\u2019exp\u00e9rience port\u00e9 par Sylvain Bizouard met en lumi\u00e8re ce constat sans fard : avant la transformation, la r\u00e9silience restait trop compartiment\u00e9e. Les \u00e9quipes se parlaient, mais les d\u00e9cisions, les d\u00e9pendances et les priorit\u00e9s n\u2019\u00e9taient pas enti\u00e8rement align\u00e9es. DORA a forc\u00e9 la coh\u00e9rence : mettre tout le monde autour de la table, inclure les m\u00e9tiers dans la discussion, et faire porter le sujet au plus haut niveau de gouvernance. Ce portage change la nature des arbitrages : ce n\u2019est plus un sujet \u00ab technique \u00bb qu\u2019on finance quand il reste du budget, c\u2019est un engagement collectif sur la capacit\u00e9 \u00e0 tenir.\n\nLe d\u00e9clencheur et l\u2019acc\u00e9l\u00e9rateur : la conformit\u00e9 qui devient un moteur \ud83d\ude80\n\nLa force d\u2019un texte comme DORA tient aussi \u00e0 sa supervision. Lorsque l\u2019ACPR suit les travaux d\u2019un acteur majeur, la mobilisation devient plus simple : les directions s\u2019engagent, les priorit\u00e9s se clarifient, les calendriers se tiennent. Ce m\u00e9canisme n\u2019a rien d\u2019abstrait : il agit comme une \u00ab traction \u00bb sur l\u2019entreprise, qui \u00e9vite de tourner en rond pendant des mois sur des d\u00e9bats internes. Dans le t\u00e9moignage, la r\u00e9glementation appara\u00eet \u00e0 la fois comme d\u00e9clencheur (passer \u00e0 l\u2019action) et acc\u00e9l\u00e9rateur (tenir le rythme et l\u2019exigence).\n\nIl faut aussi lire cette dynamique \u00e0 la lumi\u00e8re de l\u2019\u00e9volution de la menace. Depuis plusieurs ann\u00e9es, les attaques par ran\u00e7ongiciel ne visent plus uniquement les donn\u00e9es : elles paralysent des cha\u00eenes enti\u00e8res, en jouant sur les d\u00e9pendances. Les attaques d\u2019ampleur deviennent plus probables, et les plans \u00ab sur \u00e9tag\u00e8re \u00bb montrent leurs limites lorsqu\u2019il faut reconstruire, prioriser, d\u00e9cider vite. L\u00e0 o\u00f9 l\u2019ancien dispositif pouvait \u00eatre capable de remettre en service une application isol\u00e9e, l\u2019enjeu est d\u00e9sormais de savoir reconstruire un syst\u00e8me complet dans un ordre logique.\n\nDes exercices de crise qui descendent dans les m\u00e9tiers \ud83e\udde9\n\nLa transformation culturelle est souvent le point le plus sous-estim\u00e9. Tant que les exercices restent cantonn\u00e9s \u00e0 une cellule de crise restreinte, l\u2019entreprise peut croire que le sujet est \u201cg\u00e9r\u00e9\u201d. Lorsque les m\u00e9tiers sont r\u00e9ellement embarqu\u00e9s, la conversation change : les \u00e9quipes op\u00e9rationnelles commencent \u00e0 proposer des solutions, \u00e0 challenger des hypoth\u00e8ses, \u00e0 demander des sc\u00e9narios r\u00e9alistes. Dans le cas d\u2019AXA France, les entra\u00eenements ont \u00e9t\u00e9 consid\u00e9rablement renforc\u00e9s, et l\u2019implication des collaborateurs est devenue plus active qu\u2019avant.\n\nPour illustrer, imaginons un exercice autour d\u2019une indisponibilit\u00e9 prolong\u00e9e d\u2019un outil de gestion. Dans un mod\u00e8le ancien, l\u2019IT explique une solution technique, les m\u00e9tiers valident sans trop discuter, puis la discussion se crispe sur le budget. Dans un mod\u00e8le mature, le m\u00e9tier arrive avec des priorit\u00e9s de services \u00e0 maintenir, des contournements possibles, des propositions d\u2019ordre de reprise, et m\u00eame des ajustements de processus. C\u2019est \u00e0 ce moment que la r\u00e9silience cesse d\u2019\u00eatre \u00ab un exercice oblig\u00e9 \u00bb et devient une comp\u00e9tence partag\u00e9e \ud83e\udd1d.\n\nCette mont\u00e9e en maturit\u00e9 suppose un cadre clair : qui d\u00e9cide quoi, \u00e0 quel moment, avec quelles informations, et comment on communique. La question de l\u2019autorit\u00e9 en crise n\u2019est pas th\u00e9orique : elle structure la vitesse d\u2019ex\u00e9cution. Pour prolonger cette r\u00e9flexion sur le leadership et la l\u00e9gitimit\u00e9 dans des organisations complexes, un \u00e9clairage utile se trouve dans cet article sur l\u2019autorit\u00e9 du chef remise en question, dont les enjeux r\u00e9sonnent fortement avec la gouvernance cyber.\n\nLe gain final se mesure dans la capacit\u00e9 \u00e0 agir sans h\u00e9sitation : dans l\u2019heure qui suit l\u2019attaque, tout le monde sait quoi faire. Et pour rendre cette promesse tenable, il faut un outil central : la reconstruction document\u00e9e, ordonn\u00e9e, prioris\u00e9e. C\u2019est le sujet du \u00ab cahier de reconstruction \u00bb.\n\nLe \u00ab cahier de reconstruction \u00bb : documenter l\u2019ordre de reprise pour \u00e9viter la sid\u00e9ration\n\nDans les heures qui suivent une cyberattaque majeure, il se produit souvent un ph\u00e9nom\u00e8ne aussi humain que dangereux : l\u2019effet de sid\u00e9ration. Trop d\u2019informations, pas assez de certitudes, des syst\u00e8mes indisponibles, des \u00e9quipes qui cherchent un point d\u2019appui. Les retours d\u2019exp\u00e9rience partag\u00e9s dans l\u2019\u00e9cosyst\u00e8me fran\u00e7ais, y compris ceux mis en avant par l\u2019ANSSI dans ses panoramas r\u00e9cents, convergent : une organisation qui h\u00e9site au d\u00e9marrage perd un temps pr\u00e9cieux, et ce temps se paie en impacts op\u00e9rationnels, financiers, r\u00e9putationnels.\n\nLa r\u00e9ponse structurante, dans la d\u00e9marche d\u00e9crite chez AXA France, tient dans un objet tr\u00e8s concret : le cahier de reconstruction. L\u2019id\u00e9e n\u2019est pas de produire un document de plus, mais de cr\u00e9er une s\u00e9quence d\u2019action qui survive \u00e0 la pression d\u2019une crise. Pour y parvenir, la d\u00e9marche commence par une recartographie exhaustive : les processus m\u00e9tiers, leur criticit\u00e9, les actifs num\u00e9riques qui les supportent, puis les d\u00e9pendances entre applications, infrastructures, identit\u00e9s, flux de donn\u00e9es. Une fois ces couches connect\u00e9es, la question devient presque m\u00e9canique : si tout tombe, par quoi reconstruire pour restaurer rapidement les services essentiels ?\n\nDe la cartographie \u00e0 la d\u00e9cision : prioriser sans se tromper \ud83c\udfaf\n\nLa difficult\u00e9 est qu\u2019une entreprise n\u2019est pas un puzzle simple. Remettre en service une application \u201cvisible\u201d ne sert \u00e0 rien si l\u2019annuaire d\u2019authentification, l\u2019outil de supervision ou la base de donn\u00e9es partag\u00e9e restent hors ligne. Le cahier de reconstruction sert pr\u00e9cis\u00e9ment \u00e0 \u00e9viter ces erreurs de s\u00e9quence. Il documente un ordre de remise en route, et surtout les pr\u00e9requis : sauvegardes, droits, secrets, environnements propres, proc\u00e9dures de v\u00e9rification.\n\nUn exemple parlant : une \u00e9quipe souhaite r\u00e9tablir un portail client en priorit\u00e9, car la pression commerciale est forte. Mais le cahier indique que la reprise doit d\u2019abord passer par la restauration de la cha\u00eene d\u2019identit\u00e9s et de contr\u00f4le d\u2019acc\u00e8s, puis par des briques de paiement, puis par un service de messagerie transactionnelle. Sans cette vision, la remise en service du portail pourrait cr\u00e9er de nouveaux risques (fuite de donn\u00e9es, acc\u00e8s ind\u00e9sirables, incoh\u00e9rences) ou se solder par un \u00e9chec technique.\n\nLa promesse d\u2019une mobilisation dans l\u2019heure : une organisation \u201cpr\u00eate \u00e0 courir\u201d \ud83c\udfc1\n\nLe point le plus marquant dans la d\u00e9claration de Sylvain Bizouard n\u2019est pas un d\u00e9lai de reconstruction global \u2014 volontairement non fig\u00e9, car tout d\u00e9pend du p\u00e9rim\u00e8tre touch\u00e9 \u2014 mais une certitude op\u00e9rationnelle : dans l\u2019heure qui suit l\u2019attaque, l\u2019entreprise est en action. Cette phrase dit beaucoup : elle suppose des astreintes claires, des cha\u00eenes d\u2019escalade connues, des r\u00f4les pr\u00e9d\u00e9finis, des moyens de communication alternatifs, et des sc\u00e9narios r\u00e9p\u00e9t\u00e9s.\n\nDans les faits, cela se traduit par des automatismes. Qui d\u00e9clenche la cellule de crise ? Qui prend la main sur la qualification ? Qui contacte les prestataires critiques ? Qui g\u00e8re la communication interne pour \u00e9viter les rumeurs ? Qui arbitre le maintien ou l\u2019arr\u00eat de certains services ? Le cahier n\u2019est pas seulement technique : il orchestre des d\u00e9cisions. Et cette orchestration est d\u2019autant plus vitale que les attaques modernes jouent sur la confusion.\n\nPour rendre ces \u00e9l\u00e9ments tangibles, voici une liste d\u2019actions fr\u00e9quemment int\u00e9gr\u00e9es dans un cahier de reconstruction, avec une logique \u201cpremi\u00e8re heure\u201d clairement orient\u00e9e ex\u00e9cution :\n\n\ud83e\udded Qualifier l\u2019incident : p\u00e9rim\u00e8tre, sympt\u00f4mes, syst\u00e8mes touch\u00e9s, hypoth\u00e8se d\u2019attaque, preuves \u00e0 pr\u00e9server.\ud83d\udcde Activer la cha\u00eene de mobilisation : cellule de crise, m\u00e9tiers prioritaires, juridique, risques, communication.\ud83d\udd10 S\u00e9curiser les identit\u00e9s : mesures de confinement, rotation de secrets, contr\u00f4le des acc\u00e8s sensibles.\ud83d\uddc2\ufe0f Basculer sur les r\u00e9f\u00e9rentiels : cartographies, d\u00e9pendances, priorit\u00e9s m\u00e9tiers, ordre de reconstruction.\ud83e\uddea Valider avant remise en service : tests de non-compromission, contr\u00f4les d\u2019int\u00e9grit\u00e9, crit\u00e8res de retour en production.\n\nCette discipline a un co\u00fbt : temps d\u2019analyse, documentation, exercices. Mais elle \u00e9vite un co\u00fbt bien sup\u00e9rieur : celui de l\u2019improvisation. Et lorsque l\u2019entreprise sait reconstruire vite, une autre question devient centrale : la d\u00e9pendance aux tiers et la visibilit\u00e9 sur la cha\u00eene de sous-traitance.\n\nLe registre des tiers DORA : cartographier la sous-traitance pour r\u00e9pondre \u201csommes-nous touch\u00e9s ?\u201d en minutes\n\nLa r\u00e9silience num\u00e9rique ne se limite plus aux murs de l\u2019entreprise. Une assurance moderne d\u00e9pend d\u2019un \u00e9cosyst\u00e8me : cloud, \u00e9diteurs, infog\u00e9rants, soci\u00e9t\u00e9s de support, prestataires de services manag\u00e9s, centres d\u2019appels, solutions de signature, outils de conformit\u00e9. Or les attaques suivent souvent les lignes de d\u00e9pendance : un incident chez un fournisseur peut devenir un incident chez tous ses clients. C\u2019est pourquoi DORA consacre un pilier entier aux prestataires tiers, et c\u2019est aussi l\u2019un des chantiers les plus exigeants.\n\nDans la trajectoire d\u00e9crite chez AXA France, la progression est nette : meilleure connaissance de la cha\u00eene de sous-traitance, cartographie des actifs plus pr\u00e9cise, et surtout capacit\u00e9 \u00e0 r\u00e9pondre rapidement \u00e0 une question autrefois paralysante : sommes-nous concern\u00e9s ? Avant, cette r\u00e9ponse pouvait prendre du temps, faute d\u2019une consolidation fiable. D\u00e9sormais, elle devient quasi imm\u00e9diate, ce qui change la suite : mesures \u00e0 prendre, personnes \u00e0 contacter, services \u00e0 surveiller.\n\nPourquoi le registre d\u2019informations est si difficile\u2026 et si utile \ud83d\udcda\n\nLe registre demand\u00e9 par DORA est souvent d\u00e9crit, y compris par des responsables s\u00e9curit\u00e9, comme un objet \u201cp\u00e9nible\u201d : il oblige \u00e0 rassembler des informations qui \u00e9taient dispers\u00e9es entre achats, risques, s\u00e9curit\u00e9, IT, juridique. Le d\u00e9fi n\u2019est pas uniquement de collecter, mais d\u2019unifier des formats, de r\u00e9soudre des incoh\u00e9rences, de maintenir \u00e0 jour. Cette maintenance est un point crucial : un registre fig\u00e9 devient rapidement faux, et donc dangereux.\n\nPour illustrer, imaginons une filiale de taille moyenne d\u2019environ 250 personnes, avec une \u00e9quipe informatique limit\u00e9e. Sans appui d\u2019un groupe, dig\u00e9rer une r\u00e9glementation pl\u00e9thorique est difficile : manque d\u2019expertises, manque de temps, complexit\u00e9 contractuelle. Dans un ensemble comme AXA France, l\u2019enjeu est aussi d\u2019accompagner ces entit\u00e9s, de mutualiser des m\u00e9thodes, des mod\u00e8les, des outils. Le r\u00e9sultat attendu n\u2019est pas une bureaucratie suppl\u00e9mentaire, mais une capacit\u00e9 de pilotage adapt\u00e9e \u00e0 la criticit\u00e9.\n\nUn tableau de lecture pratique : de l\u2019incident march\u00e9 \u00e0 l\u2019action interne \u26a1\n\nLe b\u00e9n\u00e9fice se voit tr\u00e8s vite lorsqu\u2019un incident touche \u201cle march\u00e9\u201d : un acteur cloud rencontre une panne majeure, un logiciel de transfert de fichiers est compromis, un prestataire de t\u00e9l\u00e9phonie subit une attaque. Dans ces moments, les organisations qui ont travaill\u00e9 leur registre peuvent basculer imm\u00e9diatement sur une analyse d\u2019exposition, puis activer les bonnes \u00e9quipes.\n\n\n\n\n\u00c9tape \ud83e\udde9\nQuestion cl\u00e9 \u2753\nInformation issue du registre \ud83d\uddc3\ufe0f\nD\u00e9cision rapide \u2705\n\n\n\n\n1. Alerte \ud83d\udea8\nQuel fournisseur est touch\u00e9 ?\nIdentit\u00e9 du prestataire + services fournis\nActivation du suivi et de la cellule concern\u00e9e\n\n\n2. Exposition \ud83d\udd0d\nQuels syst\u00e8mes internes d\u00e9pendent de lui ?\nApplications li\u00e9es + criticit\u00e9 m\u00e9tier\nPriorisation des contr\u00f4les et des contournements\n\n\n3. Contact \ud83d\udcde\nQui appelle, avec quel contrat ?\nContacts op\u00e9rationnels + clauses d\u2019incident\nDemande d\u2019\u00e9l\u00e9ments factuels et d\u00e9lais de r\u00e9tablissement\n\n\n4. Mesures \ud83d\udee1\ufe0f\nQuelles actions de r\u00e9duction de risque ?\nPlans de mitigation + alternatives\nConfinement, bascule, suspension de flux si n\u00e9cessaire\n\n\n5. Tra\u00e7abilit\u00e9 \ud83e\uddfe\nQue documenter pour le r\u00e9gulateur ?\nHistorique + preuves + d\u00e9cisions\nRapport consolid\u00e9 et am\u00e9lioration continue\n\n\n\n\nCette m\u00e9canique met en \u00e9vidence une r\u00e9alit\u00e9 : la r\u00e9silience est aussi un sujet de \u201csupply chain\u201d num\u00e9rique. Elle rejoint, au passage, un d\u00e9bat plus large sur la d\u00e9pendance technologique et les choix collectifs. Sur ce point, la lecture de la souverainet\u00e9 num\u00e9rique et le risque de l\u2019inaction offre un prolongement int\u00e9ressant, car la capacit\u00e9 \u00e0 encaisser des chocs d\u00e9pend aussi des options prises en amont.\n\nUne fois le registre structur\u00e9, il faut le faire vivre, l\u2019\u00e9prouver en exercice, le connecter \u00e0 des sc\u00e9narios. C\u2019est l\u00e0 que les entra\u00eenements et l\u2019am\u00e9lioration continue deviennent le c\u0153ur battant du dispositif, avec une logique durable plut\u00f4t qu\u2019un sprint ponctuel.\n\nExercices de crise DORA chez AXA France : entra\u00eenement renforc\u00e9, am\u00e9lioration continue et culture partag\u00e9e\n\nLa conformit\u00e9 a parfois un d\u00e9faut : elle peut donner l\u2019illusion qu\u2019une fois le dossier \u201cclos\u201d, le risque est ma\u00eetris\u00e9. DORA impose l\u2019inverse. Le texte pousse vers un dispositif d\u2019am\u00e9lioration continue, avec des obligations r\u00e9guli\u00e8res et un principe de proportionnalit\u00e9 : l\u2019effort s\u2019ajuste selon la criticit\u00e9 des fonctions. Cela change la posture des organisations : la r\u00e9silience devient un r\u00e9gime permanent, pas un projet ponctuel.\n\nDans l\u2019exp\u00e9rience relat\u00e9e par Sylvain Bizouard, la mise en conformit\u00e9 initiale a \u00e9t\u00e9 concentr\u00e9e sur les activit\u00e9s les plus critiques, avec un jalon majeur autour de l\u2019\u00e9ch\u00e9ance de janvier 2025. Cette approche par priorit\u00e9s \u00e9vite le pi\u00e8ge du \u201ctout en m\u00eame temps\u201d et permet une extension progressive \u00e0 l\u2019ensemble des fonctions. L\u2019enjeu n\u2019est pas seulement de cocher des cases, mais de construire un muscle : un ensemble de r\u00e9flexes, de processus, de comp\u00e9tences, qui s\u2019entretient.\n\nPourquoi les exercices co\u00fbtent cher\u2026 et rapportent gros \ud83d\udca1\n\nUn exercice s\u00e9rieux mobilise des \u00e9quipes, interrompt des agendas, n\u00e9cessite des animateurs, des sc\u00e9narios, parfois des moyens techniques d\u00e9di\u00e9s. Il peut aussi mettre en lumi\u00e8re des faiblesses embarrassantes : proc\u00e9dures floues, d\u00e9pendances mal connues, canaux de communication non test\u00e9s. Pourtant, ce sont pr\u00e9cis\u00e9ment ces d\u00e9couvertes qui cr\u00e9ent de la valeur. Une crise r\u00e9elle ne pr\u00e9vient pas ; elle exploite les zones grises.\n\nLes exercices \u201cnouvelle g\u00e9n\u00e9ration\u201d s\u2019\u00e9loignent des simulations th\u00e9oriques. Ils introduisent des dilemmes : faut-il isoler une partie du r\u00e9seau au risque d\u2019impacter la production ? Qui valide un message aux collaborateurs ? Quand d\u00e9clencher l\u2019information aux partenaires ? Comment \u00e9viter que l\u2019incident ne devienne une crise de confiance ? Ce sont ces questions, r\u00e9p\u00e9t\u00e9es, qui rendent cr\u00e9dible la promesse de mobilisation rapide.\n\nUne vid\u00e9o vaut parfois un sc\u00e9nario : diffuser la culture cyber \ud83c\udfac\n\nPour ancrer une culture commune, beaucoup d\u2019organisations s\u2019appuient sur des formats vid\u00e9o, utiles pour partager des retours d\u2019exp\u00e9rience et installer un vocabulaire partag\u00e9. Les conf\u00e9rences et interventions publiques aident aussi \u00e0 comparer les pratiques, sans d\u00e9voiler d\u2019\u00e9l\u00e9ments sensibles. Cette dynamique s\u2019observe dans l\u2019\u00e9cosyst\u00e8me fran\u00e7ais, o\u00f9 les \u00e9changes autour de la r\u00e9silience prennent de l\u2019ampleur.\n\n\n\nCe type de ressource nourrit un point cl\u00e9 : la r\u00e9silience est \u201cl\u2019affaire de tous\u201d. Ce n\u2019est pas un slogan, c\u2019est une r\u00e9alit\u00e9 op\u00e9rationnelle. Sans les m\u00e9tiers, impossible de prioriser correctement. Sans l\u2019IT, impossible d\u2019ex\u00e9cuter. Sans le juridique et les risques, impossible de tenir la ligne r\u00e9glementaire et contractuelle. Sans la communication, impossible de ma\u00eetriser l\u2019impact r\u00e9putationnel.\n\nDans cette logique, le r\u00f4le du DSI \u00e9volue aussi : moins \u201cgardien des syst\u00e8mes\u201d, davantage chef d\u2019orchestre de services et de solidarit\u00e9 organisationnelle. Ce glissement est bien explor\u00e9 dans la vision d\u2019un DSI entre technologie et mission solidaire, qui r\u00e9sonne particuli\u00e8rement dans les industries r\u00e9gul\u00e9es.\n\nDes sc\u00e9narios concrets et une derni\u00e8re \u00e9tape : la minute 60 \ud83d\udd52\n\nLes meilleurs exercices int\u00e8grent un objectif pr\u00e9cis : que, dans un laps de temps tr\u00e8s court, tout le monde sache o\u00f9 aller et quoi produire. Une \u201cminute 60\u201d structur\u00e9e, par exemple, peut exiger : un point de situation, une hypoth\u00e8se d\u2019attaque, un p\u00e9rim\u00e8tre, une d\u00e9cision de confinement, une liste de syst\u00e8mes prioritaires, et une premi\u00e8re communication interne. Ce cadrage rend la phrase \u00ab dans l\u2019heure, tout le monde est mobilis\u00e9 \u00bb tangible, mesurable, am\u00e9liorable.\n\nPour compl\u00e9ter cette mont\u00e9e en comp\u00e9tence, un second format vid\u00e9o peut aider : les retours d\u2019exp\u00e9rience sur les ran\u00e7ongiciels, les cellules de crise et la coordination entre \u00e9quipes. \u00c0 force d\u2019exemples, les r\u00e9flexes s\u2019ancrent, et l\u2019entreprise devient moins vuln\u00e9rable \u00e0 la sid\u00e9ration.\n\n\n\nAu final, l\u2019enseignement le plus enthousiasmant est peut-\u00eatre celui-ci : lorsqu\u2019une organisation transforme une contrainte r\u00e9glementaire en moteur collectif, elle ne se contente pas de \u201ctenir\u201d face aux attaques. Elle apprend \u00e0 d\u00e9cider vite, \u00e0 coop\u00e9rer mieux, et \u00e0 faire de la r\u00e9silience un avantage comp\u00e9titif durable \ud83d\udd25.","word_count":3504,"reading_minutes":18,"headings":[{"level":2,"text":"Sylvain Bizouard (AXA France) : \u00ab Une mobilisation imm\u00e9diate, d\u00e8s la premi\u00e8re heure apr\u00e8s une attaque \u00bb \u2014 Quand DORA devient un d\u00e9clencheur de r\u00e9silience"},{"level":2,"text":"AXA France et la fin des silos : gouvernance, m\u00e9tiers et IT align\u00e9s pour \u00ab agir tout de suite \u00bb"},{"level":3,"text":"Le d\u00e9clencheur et l\u2019acc\u00e9l\u00e9rateur : la conformit\u00e9 qui devient un moteur \ud83d\ude80"},{"level":3,"text":"Des exercices de crise qui descendent dans les m\u00e9tiers \ud83e\udde9"},{"level":2,"text":"Le \u00ab cahier de reconstruction \u00bb : documenter l\u2019ordre de reprise pour \u00e9viter la sid\u00e9ration"},{"level":3,"text":"De la cartographie \u00e0 la d\u00e9cision : prioriser sans se tromper \ud83c\udfaf"},{"level":3,"text":"La promesse d\u2019une mobilisation dans l\u2019heure : une organisation \u201cpr\u00eate \u00e0 courir\u201d \ud83c\udfc1"},{"level":2,"text":"Le registre des tiers DORA : cartographier la sous-traitance pour r\u00e9pondre \u201csommes-nous touch\u00e9s ?\u201d en minutes"},{"level":3,"text":"Pourquoi le registre d\u2019informations est si difficile\u2026 et si utile \ud83d\udcda"},{"level":3,"text":"Un tableau de lecture pratique : de l\u2019incident march\u00e9 \u00e0 l\u2019action interne \u26a1"},{"level":2,"text":"Exercices de crise DORA chez AXA France : entra\u00eenement renforc\u00e9, am\u00e9lioration continue et culture partag\u00e9e"},{"level":3,"text":"Pourquoi les exercices co\u00fbtent cher\u2026 et rapportent gros \ud83d\udca1"},{"level":3,"text":"Une vid\u00e9o vaut parfois un sc\u00e9nario : diffuser la culture cyber \ud83c\udfac"},{"level":3,"text":"Des sc\u00e9narios concrets et une derni\u00e8re \u00e9tape : la minute 60 \ud83d\udd52"}],"taxonomy":{"categories":["Cybers\u00e9curit\u00e9"],"tags":[]},"schema_version":"1.0"}