Industrial Cybersecurity Tabletop Exercise

Fonctionnement d'un exercice tabletop OT ransomware

Un exercice tabletop OT ransomware pour une usine pharmaceutique se déroule ainsi : Participants : RSSI, responsable OT, directeur de production, équipe SOC, responsable communication, DRH, et DSI. Scénario initial (inject 1) : "À 14h30, le SOC reçoit une alerte d'un système de surveillance OT signalant des connexions anormales depuis un serveur historian vers plusieurs HMI de la zone de production." Discussion : qui est contacté, quelle est la procédure d'escalade, est-ce qu'on isole le historian immédiatement ? Inject 2 (30 min plus tard) : "Des opérateurs signalent que leurs HMI affichent des messages de ransomware et ne répondent plus." Discussion : déclenchement du plan de réponse OT, passage en mode dégradé, communication avec les équipes de quart, notification du management. Inject 3 : "Le laboratoire d'analyse identifie que le ransomware a chiffré les sauvegardes SCADA." Discussion : évaluation du délai de rétablissement, communication avec les clients, notification aux autorités. Debrief : identification de 8 lacunes (contacts fournisseurs SCADA absents de l'annuaire d'urgence, procédure de mode dégradé non testée, décision d'isolation non pré-approuvée bloquant l'action pendant 45 min).

Contexte OT/ICS et fréquence des exercices

La fréquence recommandée des exercices tabletop OT varie selon les standards : NERC CIP-008 impose aux opérateurs électriques de tester leurs plans de réponse aux incidents au moins une fois par an, NIS2 recommande des tests réguliers des plans de réponse aux incidents pour les entités essentielles, et IEC 62443-2-1 inclut les tests des plans de réponse comme exigence du ISMS OT. Hors obligations réglementaires, une fréquence annuelle minimum est recommandée, avec des exercices semi-annuels pour les organisations ayant des processus à risque élevé.

Sécurité et mitigation

Organisation efficace d'un exercice tabletop OT : choisir des scénarios réalistes basés sur des incidents documentés dans le secteur (pas des scénarios trop théoriques ou trop catastrophistes), impliquer les équipes opérationnelles OT au même titre que les équipes cybersécurité (les décisions de passage en mode dégradé nécessitent leur expertise), documenter précisément les lacunes identifiées pendant l'exercice et créer un plan d'action avec responsabilités et délais, et répéter l'exercice après la remédiation des lacunes identifiées pour valider les améliorations.