Exercice Simulation Incident Tabletop

Conception d'un exercice tabletop efficace

Les étapes de conception d'un exercice tabletop : (1) Définition des objectifs — que veut-on tester ? (procédure de notification réglementaire, coordination entre DSI et direction, décision de basculement vers le site de reprise, gestion de la communication externe) ; (2) Sélection du scénario — adapté aux risques réels de l'organisation (pour une hôpital : ransomware ciblant les systèmes cliniques ; pour une banque : compromission d'un accès SWIFT ; pour un e-commerçant : violation de données de carte bancaire) ; (3) Liste des participants — qui doit participer ? (RSSI, DSI, DPO, juriste, DRH, direction générale, communication, représentant assureur, représentant PRIS) ; (4) Injects — séquence de découvertes et d'événements qui alimentent l'exercice progressivement (« À H+2, une capture d'écran des données volées est postée sur un forum darkweb ») ; (5) Questions de discussion — questions préparées pour stimuler la réflexion sur des points précis (« Qui décide de notifier la CNIL ? Sur la base de quelles informations ? »).

Les injects (injections) sont les éléments qui font avancer l'exercice : nouveaux développements du scénario ajoutés par l'animateur pour forcer les participants à prendre de nouvelles décisions. Des injects bien conçus testent les zones de friction identifiées lors de l'exercice précédent ou dans les plans existants. Un exercice tabletop dure généralement 3-4 heures pour un scénario complet.

Scénarios types et focus par secteur

Scénarios fréquemment utilisés dans les exercices de simulation : Ransomware avec double extorsion — chiffrement des données ET menace de publication ; détection, confinement, décision de payer ou non, notification CNIL/ANSSI, communication clients. Compromission d'un accès privilégié (PAM) — un compte administrateur Active Directory est compromis, mouvements latéraux détectés ; scope de la compromission, reset des credentials, analyse forensique. Violation de données personnelles — base de données clients exfiltrée ; qualification RGPD (risque élevé ou non), notification CNIL 72h, communication clients. Compromission d'un prestataire clé (supply chain) — le fournisseur de sauvegarde est compromis ; impact sur les sauvegardes, activation du plan de reprise alternatif. Attaque DDoS ciblant le service en ligne — disponibilité impactée ; activation CDN/anti-DDoS, communication clients, SLA.

Les exercices sectoriels (ETACS — Exercice de Traitement des Alertes de Cybersécurité pour les établissements de santé, exercices ENISA pour les entités NIS2, exercices TIBER-EU pour les banques) sont organisés par les autorités sectorielles ou les ISAC pour tester la réponse collective d'un secteur à une menace partagée. La participation à ces exercices est recommandée pour bénéficier d'une perspective sectorielle et partager les enseignements avec les pairs.

Debriefing et amélioration continue

Le debriefing post-exercice (After-Action Review — AAR) est aussi important que l'exercice lui-même. Un AAR efficace : (1) identifie ce qui a bien fonctionné (à conserver et renforcer) ; (2) identifie ce qui n'a pas fonctionné ou les lacunes révélées (procédures manquantes, rôles ambigus, outils indisponibles, décisions difficiles sans processus établi) ; (3) produit un plan d'action concret pour chaque lacune identifiée, avec responsable et délai ; (4) met à jour les plans de réponse aux incidents et de continuité en intégrant les leçons apprises.

Les résultats des exercices de simulation alimentent directement l'amélioration des plans (mise à jour du PGC, du PRI, des procédures de notification), la formation ciblée (les participants qui ont montré des lacunes dans un domaine reçoivent une formation spécifique), et les décisions d'investissement en sécurité (si l'exercice révèle l'absence d'un SIEM ou d'une solution de sauvegarde hors-ligne, ces lacunes sont priorisées dans le budget sécurité). La traçabilité des exercices (rapports d'exercice, plans d'action, suivi des remédiations) constitue une preuve de conformité pour les audits NIS2 et DORA.