Journée d'immersion Cybersécurité & gestion de crise

• Reconnaître les signaux faibles et forts d'une cyberattaque en cours.
• Déclencher une cellule de crise selon une procédure claire et prioriser les décisions dans l'urgence.
• Articuler PCA/PRA, réponse organisationnelle et communication de crise.
• Connaître les obligations et bons réflexes de signalement ; identifier les failles organisationnelles et repartir avec un plan d'action concret.

8h00 - 8h30 | Accueil

• Petit-déjeuner d'accueil : viennoiseries, fruits frais, café et thé.

8h30 - 10h30 | Déroulé, enjeux & fondamentaux

• Tour de table, présentation des différentes collectivités et des rôles de chacun.
• Apports théoriques sur les enjeux cyber des collectivités : phishing, VPN/RDP mal sécurisé, sauvegardes non testées.
• Sensibilisation aux bonnes pratiques et concepts fondamentaux.
• Panorama rapide : chiffres clés des cyberattaques sur collectivités en France, fréquence, coût et arrêt de service moyen, avec exemples anonymisés ou publics.

10h30 - 10h45 | Pause

• Installation par l'équipe d'intervenants d'une attaque sans avertir les décideurs.

10h45 - 12h30 | Réflexes de crise & simulation phishing

• Les participants découvrent un faux écran de rançon au retour de pause ; 30 à 60 secondes de flottement sont volontairement laissées avant intervention.
• Le formateur lance la situation : « Il est 8h03. Votre système d'information vient d'être chiffré. Qu'est-ce que vous faites? »
• Objectif : muscler des réflexes précis avant la simulation principale, en sous-groupes de 15 personnes.
• Simulation Phishing : sensibilisation pratique et mise en situation sur les pièges de messages frauduleux.
• 12h00 - 12h30 : retour d'expérience sur l'exercice.

12h30 - 14h00 | Déjeuner

• Déjeuner servi à table, dans un espace privatisé, pour favoriser les échanges entre pairs.

14h00 - 17h00 | « Vous allez vivre une crise, pas l'écouter »

• Scénarios avec mises en scène crescendo d'attaques cyber, issus de plusieurs cas réels, pour travailler la pression et les réflexes.
• Exemples marquants : réseau électrique ukrainien (2015/2016), rançongiciel de la ville d'Atlanta (2018), intrusion sur l'usine d'eau d'Oldsmar en Floride (2021).
• Phase 1 : paralysie des postes et logiciels ; intervention de l'équipe cyber, isolement réseau, PCA et information des agents ; identification de l'équipement piraté.
• Phase 2 : fuite de données relayée par la presse / les réseaux sociaux ; contact du DPO, de la CNIL et mise en place d'une cellule d'écoute pour les citoyens.
• Phase 3 : attaque sur l'ensemble du réseau, des infrastructures et des fournisseurs de la ville ; dépôt de plainte et mobilisation des acteurs compétents.
• Phase 4 : attaque urbaine touchant caméras, courant, feux de circulation et panneaux d'affichage ; coordination de la restauration.
• Phase 5 : retour à la normale : changement des mots de passe, restauration des données, remise en ligne des services et reconsidération de la stratégie de remédiation.
• Conclusion : isolation des réseaux critiques, modèle Zero Trust, surveillance continue des flux réseau (SOC) et procédures manuelles de secours.

17h00 - 17h15 | Pause

• Pause.

17h15 - 18h00 | Débriefing

• Compte-rendu et retour d'expérience à chaud.
• Remise du livrable : protocole PCA/PRA simplifié et guide des bonnes pratiques et usages cyber.

18h30 | Retex éditeur

• Transition vers le débriefing.
• Retex éditeur.

19h15 | Soirée cocktail de clôture

• Soirée cocktail de clôture.