Exercice sur table

Définition

L'exercice sur table, ou tabletop exercise, est une simulation discursive de gestion de crise cyber au cours de laquelle les parties prenantes d'une organisation se réunissent pour discuter, sans action technique réelle, de leur réponse à un scénario d'incident préétabli. Animé par un facilitateur, l'exercice présente une chronologie d'événements simulés, comme la détection d'un rançongiciel ou une fuite de données, et invite les participants, souvent issus du comité de direction, du RSSI, du service juridique, de la communication et des équipes techniques, à décrire les décisions qu'ils prendraient à chaque étape. Cette approche permet de tester la clarté du plan de réponse à incident, la répartition des responsabilités, les circuits d'escalade et de communication de crise, ainsi que la conformité aux obligations réglementaires de notification, par exemple dans un délai de soixante-douze heures pour une violation de données sensibles sous le RGPD. L'exercice sur table présente l'avantage d'un coût et d'une complexité logistique réduits par rapport à une simulation technique complète, tout en révélant efficacement les zones d'ombre organisationnelles et les lacunes de gouvernance. Il est recommandé à intervalle régulier, souvent annuel, par les référentiels de continuité d'activité et de gestion de crise, et constitue fréquemment la première étape avant des exercices plus poussés comme une simulation de brèche et d'attaque.