No 042 — 17 octobre 2026
Stress-tests de résilience, trouver les limites avant l'attaquant
PCA jamais éprouvés, exercices trop sages : comment concevoir un stress-test sévère mais plausible qui révèle ce qui casse en premier, avant l'attaquant.
Plan R
Chronique sur la résilience organisationnelle, la cybersécurité, la continuité d'activité et la gestion de crise.
Des chroniques depuis le 8 janvier 2025, des cadres de référence et des études en accès libre. Continuité d'activité, gestion de crise, réglementation, risque tiers, intelligence artificielle. 94 chroniques et 4 publications à ce jour.
La dernière chronique
Publications en accès libre
- Cadre de référence Mesures d'Isolation Rapide Un cadre de référence pour décider de couper — segment, site ou système d'information entier — assez vite pour enrayer une propagation, et pour savoir rallumer ensuite.
- Cadre de référence Construire une stratégie de sauvegarde : la méthode et le modèle Une méthode en huit étapes pour bâtir une stratégie de sauvegarde tenable, adossée à l'analyse d'impact et alignée sur l'état de l'art, et un modèle de document prêt à adapter.
- Guide Ce que les mots engagent — lexique de la résilience opérationnelle Cinquante-sept termes pour dire ce qu'est la résilience opérationnelle, et ce qu'elle n'est pas : une prise de position adossée aux chroniques Plan R, confrontée aux référentiels.
- Cadre de référence Déléguer à un agent IA sans perdre la main : méthode, cas pratiques et kit Une méthode en quatre couches et huit étapes pour confier du travail à un agent IA sans perdre le contrôle de ce qu'il produit, cinq cas réels et un kit à adapter.
Les chroniques récentes
- 041 Quand votre PCA rencontre le réel, ce que 2026 a cassé dans nos hypothèses Black-out, cyberattaque en cascade, dépendance au cloud : cinq hypothèses du PCA que le réel a fait tomber, et une méthode pour en faire un document vivant.
- 040 Culture de résilience, transformer la contrainte en engagement collectif Sensibilisation, contournements, droit à l'erreur, exemplarité : six leviers concrets pour ancrer une culture de résilience durable. Grille de maturité incluse.
- 039 Le CISO stratège, de la salle serveur au COMEX Rattachement, langage, posture, leviers : comment le CISO passe de l'avis technique à l'arbitrage en comité de direction. Grille de maturité incluse.
- 038 Auditer la résilience de ses tiers sans rupture DORA, NIS2 : comment évaluer la robustesse de vos tiers critiques sans casser la relation, tester les interfaces et préparer leur défaillance comme une crise.
- 037 Le reporting ESG Cyber, valoriser la résilience auprès des investisseurs CSRD allégée, ESRS révisés : où loger la cyber dans un état de durabilité, ce que le marché price vraiment, et huit indicateurs crédibles face aux investisseurs.
- 036 Responsabilité du dirigeant, ce que le nouveau cadre change vraiment NIS2, DORA, droit français : ce que le cadre change réellement pour la responsabilité personnelle des décideurs. Grille d'imputation et dossier de preuve.
Qui écrit
Sébastien, une vingtaine d'années en production informatique, cybersécurité, gestion de crise et continuité d'activité. Plan R est une chronique indépendante : les analyses n'engagent aucun employeur ni client.
- Gouvernance et gestion des risquesdepuis 2018 Construire un cadre de groupe, et obtenir qu'il soit appliqué sans autorité hiérarchique.
- Résilience opérationnelledepuis 2019 Des plans de continuité éprouvés par l'exercice, pas par la relecture.
- Gestion de crisedepuis 2019 Décider vite, à plusieurs niveaux, et s'entraîner avant d'en avoir besoin.
- Conformité réglementairedepuis 2019 NIS2, CRA et AI Act ramenés à une trajectoire exécutable.
- Économie du risquedepuis 2019 Faire arbitrer plutôt que faire peur.
- Chaîne d'approvisionnementdepuis 2020 Le risque qui entre par le contrat du fournisseur.
- Sécurité opérationnelle2007 – 2015 Huit ans de production avant la gouvernance : savoir ce qu'une exigence coûte.
- Souveraineté numériquedepuis 2022 Une dépendance s'instruit comme un risque, pas comme une opinion.