Exercice sur table (tabletop exercise)

Définition

L'exercice sur table, ou tabletop exercise, désigne une simulation d'incident de sécurité menée de manière purement discursive, réunissant les parties prenantes concernées, équipe de sécurité, direction, communication, juridique, autour d'un scénario d'attaque hypothétique décrit progressivement par un animateur, sans qu'aucune action technique réelle ne soit exécutée sur les systèmes de l'organisation. Contrairement à un exercice red team ou à une simulation d'attaque technique, l'exercice sur table teste avant tout les processus organisationnels de gestion de crise : qui décide de quoi, dans quel délai, selon quelle chaîne d'escalade, avec quelle communication interne et externe, plutôt que la robustesse technique des contrôles de sécurité eux-mêmes. Il permet d'identifier des lacunes de gouvernance souvent invisibles dans un exercice purement technique, comme une procédure de décision mal définie en cas d'incident majeur, une confusion sur les responsabilités entre équipes, ou une communication de crise insuffisamment préparée avec les instances dirigeantes et les autorités réglementaires compétentes. Son coût de mise en œuvre est faible comparé à un exercice technique complet, ce qui permet de le répéter plus fréquemment, par exemple à chaque évolution significative de l'organigramme de crise. Pour une organisation, l'exercice sur table constitue un complément indispensable et peu coûteux aux exercices techniques, testant la dimension humaine et organisationnelle de la réponse à incident que ces derniers ne couvrent que partiellement.