Par Jomarc Angelo M. Corpuz, Special Features and Content Writer

Les crises de l’ère moderne se déroulent de plus en plus dans un domaine bien éloigné des catastrophes naturelles, des chocs économiques, des bouleversements sociaux et des conflits militaires qui dominaient les décennies précédentes. Depuis que l’internet a remodelé le commerce mondial au tournant du siècle, le cyberespace est devenu l’arène où les gouvernements, les institutions et les entreprises privées mènent leurs activités — et où des attaques peuvent compromettre les opérations et éroder la confiance du public en quelques minutes. Les Philippines, où l’adoption du numérique s’est accélérée rapidement dans les services bancaires, le commerce de détail et les services publics, n’ont pas été épargnées par cette évolution, faisant de la gouvernance des incidents cyber une préoccupation de plus en plus stratégique au niveau des conseils d’administration.

Dans ce contexte, la cybersécurité exige un leadership solide, une gouvernance clairement définie et une prise de décision coordonnée, rompant avec l’idée longtemps admise selon laquelle elle relève exclusivement des services informatiques. Cette approche rejoint des cadres mondialement reconnus tels que le Cybersecurity Framework du U.S. National Institute of Standards and Technology (NIST) et le modèle zero trust, qui mettent tous deux l’accent sur la résilience et la réponse en plus de la prévention.

Ces thèmes ont occupé une place centrale lors de la deuxième table ronde du BusinessWorld Cybersecurity Summit 2026, intitulée "Being a Crisis Commander in the Event of a Cyber-Attack." Des responsables de la cybersécurité et du risque issus de JG Summit Holdings, Inc., l’un des plus grands conglomérats des Philippines, présent dans l’agroalimentaire, l’immobilier, la banque et l’aviation ; de GCash, la principale plateforme de portefeuille mobile du pays, qui traite des millions de transactions quotidiennes ; de GT Capital Holdings, Inc., un important conglomérat diversifié ; du Information Security Officers Group (ISOG), une association philippine de professionnels de la cybersécurité ; et d’Accenture, un groupe mondial de services professionnels, ont partagé des stratégies pour renforcer la préparation organisationnelle et gérer les crises cyber.

Supposer qu’une violation est inévitable

Dennis Matthew F. Opiso, Chief Information Security Officer de JG Summit Holdings, a exhorté les organisations à affronter une réalité inconfortable : quelle que soit la sophistication de leurs systèmes de sécurité, les incidents cyber sont inévitables. La véritable mesure de la préparation, a-t-il soutenu, ne réside pas dans la capacité d’une organisation à empêcher chaque attaque, mais dans l’efficacité de sa réponse lorsqu’une attaque réussit.

"The most useful sentence in this entire panel is: assume a breach is not a possibility, but an inevitability," a-t-il déclaré. "Most organizations nod at that sentence, then keep budgeting, planning, and organizing as if prevention were the whole job. The gap between what we say we believe and what we actually prepare for is the gap where incidents become disasters."

S’appuyant sur son expérience de sécurisation des différents secteurs de JG Summit, M. Opiso a observé que chaque industrie définit différemment une perturbation opérationnelle. Une interruption temporaire dans une activité peut être gérable, alors que dans une autre, elle peut paralyser des opérations critiques. Selon lui, chaque entreprise connaîtra tôt ou tard son propre "bad day", et cela appelle une conception plus large de la gestion de crise — une conception qui place le leadership au centre de la réponse à incident.

"Crisis command is a leadership discipline, not a technical one. The commander’s job during an incident is not to read logs," a déclaré M. Opiso. "It is to make decisions with incomplete information, keep the response aligned with business continuity, and keep people calm enough to do their jobs."

Il a également recommandé aux organisations de répéter régulièrement leurs playbooks de réponse aux incidents, de désigner à l’avance la personne qui assumera le commandement en cas de crise, et de veiller à ce que les équipes des communications, du juridique, des opérations et de la technologie comprennent chacune leurs responsabilités si une violation devait survenir.

Plans et autorité clairement définis

Dans cette continuité, Mafi Caringal, Managing Director d’Accenture Advanced Technology Centers in the Philippines, a insisté sur le fait que les organisations doivent faire confiance aux plans qu’elles ont déjà élaborés plutôt que de réagir impulsivement lorsqu’un incident se produit.

"Number one, invoke the plan because you need to start the command. Make sure that the people who rightfully know what to do are there. Second, scope. Do the initial analysis. Don’t try to do threat hunting and solve everything. Scope the incident first. Then trigger notifications because, with your plans and your runbooks, it’s all defined there. Trigger the necessary notifications, including legal privilege," a-t-elle expliqué.

L’importance accordée aux notifications juridiques reflète les obligations prévues par le Data Privacy Act des Philippines de 2012 (Republic Act No. 10173), qui impose aux organisations de notifier la National Privacy Commission dans les 72 heures suivant la découverte d’une violation de données personnelles. Pour les institutions financières, la Bangko Sentral ng Pilipinas (BSP) impose des obligations de déclaration supplémentaires dans ses directives sur la gestion des risques liés aux technologies de l’information et sur la cybersécurité, ce qui souligne la nécessité de mobiliser le juridique dès les premières étapes de la réponse.

Tout aussi essentiel, a déclaré Mme Caringal, est de supprimer toute ambiguïté dans le leadership. Comme les incidents cyber se déroulent sous une pression intense et à des moments imprévisibles, une autorité clairement définie est indispensable pour mener une réponse efficace.

"It has to be clearly called out who that commander is because, when an attack does happen, either everyone assumes somebody else is in charge, or there are simply too many commanders. This is a very high-stress situation," a-t-elle souligné.

M. Opiso a fait écho à cette idée, en expliquant que le commandant désigné peut varier selon la structure de l’organisation. Dans certaines entreprises, il peut s’agir du chief information security officer ; dans d’autres, du chief information officer, du chief financial officer ou d’un autre dirigeant. Ce qui compte, a-t-il insisté, c’est que la décision ait déjà été arrêtée avant qu’un incident ne survienne.

Préserver les preuves numériques

Les intervenants ont également abordé les aspects techniques de la réponse à crise. À cet égard, Mme Caringal a mis en garde contre la suppression prématurée de fichiers compromis ou l’arrêt de systèmes affectés dans le seul but de rétablir les opérations le plus vite possible.

"From a technical perspective, not preserving evidence is a major mistake, especially if you later want to solve the incident, prevent it from happening again, and strengthen your plans and your zero trust architecture. We need that evidence. Sometimes people immediately say, ‘Delete it,’ or ‘Shut it down,’ but we need that information from a technical standpoint," a-t-elle déclaré.

Engr. Luis A. Jacinto, President and Founding Member du Information Security Officers Group (ISOG), a renforcé ce point, en soulignant que des actions bien intentionnées dans les premières heures d’un incident peuvent compliquer fortement les enquêtes ultérieures.

"If you wipe the device, you lose all your forensic data, and that’s one of the worst things that you could do," a-t-il déclaré.

Plutôt que d’éteindre immédiatement les systèmes compromis, M. Jacinto a recommandé de les isoler du réseau tout en préservant les preuves que les enquêteurs pourront utiliser plus tard pour déterminer comment les attaquants ont obtenu l’accès et prévenir la réapparition d’incidents similaires. Les preuves conservées peuvent également être essentielles pour les demandes d’assurance, les enquêtes réglementaires et d’éventuelles procédures judiciaires après une violation.

M. Jacinto a également plaidé pour une approche impliquant l’ensemble de l’organisation dans la réponse à crise, c’est-à-dire une coordination entre dirigeants, équipes techniques, responsables de la gouvernance, conseil juridique, communication d’entreprise et responsables opérationnels. Il a néanmoins maintenu que la responsabilité doit rester concentrée au plus haut niveau de l’organisation.

"The CEO is ultimately responsible, and the CEO is ultimately accountable," a déclaré M. Jacinto. "However, the CEO can delegate the responsibility, but not the accountability."

Comprendre avant de communiquer

La table ronde a également souligné que la préparation technique doit s’accompagner d’une communication disciplinée — en particulier durant les premières heures d’un incident, lorsque les informations vérifiées restent rares.

Mar Apuhin, Chief Information Security Officer chez GT Capital Holdings, a insisté sur le fait que la priorité immédiate doit être de comprendre pleinement la situation avant de communiquer en interne ou en externe.

"So, this is a very high-stress situation. In our case at GT Capital, the default is the CISO. There’s no doubt about that. So, the main goal, perhaps, is getting accurate information by convening the team, the leadership team, the [executive committee], and then activating the incident response. If you guys outsource it to a third party, don’t forget them. Those will be the source of verified information. And then, we don’t speculate," a-t-il déclaré.

M. Apuhin a développé ce point en précisant que les organisations devraient d’abord évaluer l’ampleur et l’impact potentiel d’un incident avant de réunir le comité de communication de crise ou l’équipe de réponse aux incidents. Une fois la direction rassemblée, l’étape suivante consiste, selon lui, à porter l’affaire devant les cadres supérieurs qui superviseront les décisions commerciales pendant que les équipes techniques poursuivent leur enquête.

Comme les incidents cyber évoluent souvent rapidement et avec des informations limitées, il a encouragé les organisations à être transparentes sur ce qu’elles savent tout en résistant à la tentation de combler les lacunes par des suppositions.

"Assess the blast impact, what's happening. But understand, during the first hour, you don't have much information yet. Assess what we do. Be frank. This is what I only know for the time being, what we're doing. And this is what we're going to do next," a-t-il déclaré.

"The biggest mistake is communicating before facts are verified. We’re speculating, guys. Number two, that will result in creating misinformation or a credibility issue in your case," a ajouté M. Apuhin.

M. Jacinto a partagé une opinion similaire, estimant que la communication pendant une crise cyber doit être strictement contrôlée tant que les informations n’ont pas été confirmées. Si les parties prenantes méritent des mises à jour en temps utile, les organisations doivent éviter de diffuser des informations incomplètes ou inexactes susceptibles de créer de la confusion ou une alerte inutile.

"There is certain information that you’re not supposed to release immediately. We’re not saying you’re not going to release it, but you’re not supposed to release it because it has not been confirmed," a-t-il déclaré.

Dans un espace cyber où l’information circule aussi vite que les menaces elles-mêmes, le leadership, la préparation et la prise de décision coordonnée peuvent très bien constituer les défenses les plus solides d’une organisation face à une violation inévitable.