Une attaque par ransomware verrouille les dossiers paie, les contrats de travail et les données sensibles des salariés. Le RSSI isole les serveurs, le DSI active les sauvegardes, mais c’est au DRH de répondre à des questions immédiates : qui peut encore accéder aux fichiers RH ?, faut-il suspendre les entretiens d’embauche en cours ?, comment annoncer un retard de salaire sans déclencher une crise sociale ?. Ces décisions, prises dans un brouillard d’incertitude, déterminent autant la résilience de l’entreprise que les mesures techniques.
Les 72 heures qui font basculer une crise RH
Les premières heures d’une cyberattaque sont un moment de vérité pour les DRH. Trois enjeux critiques émergent systématiquement :
- La continuité des processus vitaux : paie, contrats, déclarations sociales. Une interruption de 48 heures peut entraîner des pénalités légales, mais aussi une perte de confiance durable des équipes.
- La protection des données sensibles : les fichiers RH contiennent des informations hautement exploitables (numéros de sécurité sociale, coordonnées bancaires). Leur exposition peut engager la responsabilité pénale de l’entreprise.
- La communication en mode dégradé : un message maladroit peut amplifier la panique. Exemple : annoncer un « problème technique » sans préciser si les salaires seront versés à temps équivaut à une déclaration de crise.
Dans l’urgence, les DRH doivent arbitrer entre ces priorités sans disposer de toutes les informations. C’est là que l’arc savoir-comprendre-agir du PCL intervient : il structure une réponse humaine face à l’imprévu, là où les procédures classiques échouent.
Savoir : cartographier les risques RH invisibles
La plupart des plans de continuité d’activité (PCA) négligent les risques spécifiques aux ressources humaines. Pourtant, une cyberattaque peut :
- Bloquer l’accès aux fiches de paie, rendant impossible le versement des salaires à la date légale.
- Exposer des données de santé (arrêts maladie, visites médicales), déclenchant des obligations de notification à la CNIL sous 72 heures.
- Paralyser les processus de recrutement, avec des conséquences financières (pénalités de retard pour les contrats signés) et réputationnelles (candidats perdus).
L’attestation PCL exige des DRH qu’ils identifient ces vulnérabilités avant la crise. Un exercice concret : simuler une attaque sur un jeu de données RH fictif, puis évaluer l’impact sur les processus métiers. Cette approche révèle des angles morts, comme l’absence de sauvegardes papier pour les contrats en cours de signature.
Comprendre : les biais qui faussent les décisions en urgence
Sous pression, le cerveau humain active des raccourcis cognitifs qui peuvent aggraver la crise :
- Le biais de normalité : « Ça n’arrive qu’aux autres ». Résultat, les DRH minimisent les signaux faibles (ex. : un retard de paie « exceptionnel » qui se répète).
- L’effet tunnel : se focaliser sur un problème (ex. : débloquer les salaires) au détriment d’un autre (ex. : sécuriser les données exposées).
- La paralysie par l’analyse : attendre des informations parfaites pour agir, alors que l’urgence impose des décisions avec 70 % des données.
Le PCL forme les DRH à reconnaître ces biais via des scénarios immersifs. Exemple : un exercice où le participant doit choisir entre trois actions en 10 minutes, avec des conséquences simulées en temps réel. L’objectif n’est pas de trouver la « bonne » réponse, mais d’apprendre à décider malgré l’incertitude.
Agir : les trois leviers d’une réponse RH efficace
Face à une cybercrise, les DRH doivent activer trois leviers simultanément :
- Isoler sans paralyser : identifier les processus RH critiques (paie, déclarations sociales) et les basculer en mode manuel ou sur des systèmes de secours. Exemple : utiliser des fichiers Excel chiffrés pour les virements urgents, en attendant la restauration des systèmes.
- Communiquer sans mentir : éviter les messages flous (« nous subissons une attaque ») qui alimentent les rumeurs. Préférer une transparence contrôlée : « Les salaires seront versés avec 48h de retard, voici le plan de rattrapage ».
- Protéger les données exposées : prioriser la sécurisation des fichiers RH compromis, même si cela retarde d’autres actions. Exemple : bloquer l’accès aux dossiers médicaux avant de restaurer les plannings de congés.
L’attestation PCL valide cette capacité à agir en mode dégradé. Elle ne se contente pas de vérifier des connaissances théoriques : elle évalue la capacité du DRH à prendre des décisions sous contrainte, en s’appuyant sur des simulations réalistes.
Pourquoi les PCA classiques échouent sur le volet RH
Les plans de continuité d’activité (PCA) traditionnels se concentrent sur la reprise technique (RTO, RPO), mais ignorent souvent :
- Les obligations légales RH : délais de paie, déclarations sociales, notifications CNIL en cas de fuite de données.
- Les risques psychosociaux : stress des salariés, perte de confiance, turnover post-crise.
- Les dépendances externes : prestataires de paie, cabinets de recrutement, mutuelles. Une attaque chez un sous-traitant peut paralyser vos propres processus RH.
Le PCL comble cette lacune en intégrant le volet RH dans une approche globale. Exemple : un exercice où le DRH doit coordonner sa réponse avec le RSSI (pour sécuriser les données) et le DAF (pour débloquer des fonds en urgence). Cette collaboration, souvent absente des PCA, est cruciale pour éviter les décisions contradictoires.
L’attestation PCL : une compétence, pas un diplôme
Contrairement aux certifications classiques, l’attestation PCL ne se limite pas à un QCM. Elle repose sur :
- Des scénarios immersifs : le participant incarne un DRH confronté à une cyberattaque simulée, avec des conséquences réalistes (ex. : un salarié mécontent qui alerte la presse).
- Une évaluation par les pairs : les décisions sont analysées par un jury composé de DRH, de RSSI et de juristes, pour garantir leur pertinence opérationnelle.
- Un plan d’action personnalisé : à l’issue de la formation, le participant reçoit une feuille de route pour adapter son PCA aux risques RH identifiés.
Cette approche répond à un besoin concret : former des décideurs capables d’agir en situation réelle, pas seulement de cocher des cases. Comme le souligne un DRH ayant suivi le programme : « Avant, je savais que les cyberrisques existaient. Maintenant, je sais quoi faire quand ils se matérialisent. »
En intégrant l’arc savoir-comprendre-agir dans leur stratégie de résilience, les DRH transforment une vulnérabilité (l’humain comme maillon faible) en un atout : la capacité à décider sous le feu, là où les procédures standardisées échouent.