No Defined Authority to Isolate Production

Personne ne détient le mandat explicite, préalable et déjà exercé de couper ou d’isoler un système de production pendant un incident. La décision existe en creux : elle « remonte à la direction », qui n’est pas joignable au milieu de la nuit, ou se dilue entre l’exploitant (qui voit la menace), le propriétaire métier (qui voit l’arrêt de service) et le prestataire (qui n’a pas mandat pour dégrader le service d’autrui).

C’est structurel parce qu’aucun document ne crée cette autorité : les plans de réponse décrivent des rôles d’analyse et de communication, rarement le pouvoir de dégrader volontairement la production, ses conditions d’exercice, ses limites et sa suppléance. Décider d’un arrêt est un acte qui engage — en l’absence de mandat écrit, chacun a une raison rationnelle de ne pas le prendre sur soi.

Pendant un chiffrement actif ou une exfiltration en cours, le délai de décision se convertit directement en impact supplémentaire. Le mécanisme est récurrent : l’analyste identifie le besoin d’isolement en minutes ; la décision prend des heures — retrouver le décideur, lui expliquer le contexte de zéro, obtenir un arbitrage sous incertitude de quelqu’un qui découvre le sujet et mesure surtout le coût de l’arrêt.

L’asymétrie fondamentale est ignorée dans la délibération : un isolement inutile coûte des heures d’exploitation ; un isolement tardif coûte des semaines de reconstruction. Le premier coût est visible et attribuable à celui qui décide, le second est diffus — la structure d’incitation pousse donc systématiquement vers l’attente.

Résultat observable en post-mortem : l’isolement intervient après l’impact, c’est-à-dire quand il ne sert plus à rien.

Le pattern est difficile à voir de l’intérieur parce que chacun croit la question réglée (« on appellera la direction »). L’absence d’autorité ne se voit pas dans un document — elle se voit dans la divergence des réponses.

Le test : poser séparément, à trois personnes impliquées dans la gestion d’incident, la question précise : « qui peut décider seul, à deux heures du matin un jour férié, de couper l’accès Internet du site ou d’arrêter le système central ? En vertu de quel document ? ». Trois réponses différentes — ou trois désignations mutuelles — signent le pattern.

Vérifier ensuite les cas limites :

• la suppléance : que se passe-t-il si le décideur désigné est injoignable ?
• le conflit d’intérêt : qui décide quand le système à isoler est celui qui génère le revenu ?
• la délégation externe : un prestataire d’exploitation a-t-il un mandat écrit pour des actions conservatoires immédiates, ou doit-il réveiller quelqu’un pour chaque geste ?

Écrire une matrice de décision courte — une page suffit :

• les actions conservatoires types : isolement réseau d’une machine, blocage d’un compte, coupure d’un flux externe, arrêt d’un service ;
• pour chacune : qui peut la décider, avec quelle suppléance (deux niveaux), et selon quel principe — « agir puis informer » pour les actions réversibles, validation préalable pour les irréversibles ;
• le seuil d’engagement du prestataire d’exploitation, s’il y en a un : ce qu’il peut faire de sa propre initiative en conservatoire.

Faire signer ce document par la direction : son objet réel est de transférer la responsabilité de la décision de l’individu vers l’organisation, pour que l’analyste de garde n’ait pas à choisir entre la prudence et sa position.

Exercer l’autorité au moins une fois en exercice (voir MFL-011) : un mandat jamais utilisé redevient une question ouverte sous stress.

Ne pas gérer la crise en demandes d’autorisation successives — obtenir un mandat de période :

• faire valider par le décideur joignable, par écrit même sommaire (un message horodaté suffit), une délégation couvrant les actions conservatoires réversibles pour la durée de l’incident ;
• formuler chaque demande de décision en alternative binaire avec le coût des deux branches (« isoler maintenant : N heures d’interruption ; attendre : le chiffrement continue ») — c’est le format qui permet à un décideur non technique de trancher vite ;
• journaliser chaque décision, son auteur et son heure : la chronologie décisionnelle protège tout le monde, et rend les décisions suivantes plus rapides parce que le cadre est établi ;
• si personne ne tranche : exécuter les actions réversibles et documentées plutôt que d’attendre — et le noter. L’inaction est aussi une décision, la moins défendable des deux.