Tabletop Exercise

Définition

Un Tabletop Exercise (exercice sur table ou simulation de crise sur table) est une méthode de test du plan de réponse aux incidents ou du plan de continuité d'activité dans laquelle les participants discutent oralement de leurs rôles et actions face à un scénario de crise simulé, sans activation réelle des systèmes ou processus. C'est une approche peu coûteuse mais très efficace pour identifier les lacunes dans les plans, tester la prise de décision, et vérifier la coordination entre les équipes. Contrairement aux exercices techniques (tests de basculement, restaurations réelles), un tabletop exercise implique les décideurs — RSSI, DSI, DG, DRH, Directeur Juridique, Directeur de la Communication, DPO — dans une discussion structurée. Le facilitateur présente un scénario (ransomware, violation de données, incident OT, crise RH) qui évolue progressivement avec des "injects" (nouvelles informations qui modifient la situation) et guide les participants dans leurs décisions. Les objectifs d'un tabletop exercise incluent : tester les procédures écrites dans les conditions d'une vraie crise (vérifier qu'elles sont applicables, compréhensibles, et complètes), identifier les gaps dans les plans (qui contacter en premier ? qui décide du paiement d'une rançon ? comment communiquer avec les médias ?), améliorer la coordination inter-équipes (IT, RH, Juridique, Communication doivent travailler ensemble), former les participants à leurs rôles dans la cellule de crise, et valider les procédures de communication de crise (clients, partenaires, régulateurs, médias). Les scénarios de tabletop exercise pour la cybersécurité incluent : intrusion ransomware avec exfiltration de données (implique DPO pour la notification RGPD, Communication pour les clients, Juridique pour les implications légales), attaque DDoS sur les services critiques, compromission d'un prestataire clé, perte d'un datacenter, attaque sur la chaîne d'approvisionnement, et crise médiatique suite à une violation de données. La durée standard d'un tabletop exercise est de 2 à 4 heures pour les exercices standards, et d'une journée complète pour les exercices de direction incluant la gestion de crise stratégique. Les résultats doivent être documentés, les lacunes identifiées, et un plan d'action établi pour améliorer les plans avant le prochain exercice. Les tabletops sont recommandés au moins annuellement, avec des tests techniques semestriels.