Exercice de crise cyber : comment le préparer pour qu’il serve

Un exercice de crise dont tout le monde sort satisfait n’a probablement rien appris. Le but n’est pas de démontrer que le dispositif fonctionne : c’est de trouver où il casse, pendant que cela ne coûte rien.

Les trois formats

L’exercice sur table. Deux à trois heures, autour d’une table, sur un scénario déroulé par un animateur. Aucun système n’est touché. C’est le format le plus rentable et celui par lequel commencer.

L’exercice fonctionnel. Une demi-journée à une journée, avec mobilisation réelle des équipes et manipulation partielle des outils — restaurer une sauvegarde, activer un moyen de communication de secours.

La simulation grandeur nature. Plusieurs jours, avec bascule effective en mode dégradé. Coûteux, réservé aux organisations matures et aux secteurs qui l’exigent — c’est notamment l’esprit des tests avancés prévus par DORA.

Une organisation qui n’a jamais fait d’exercice sur table n’a rien à gagner à commencer par le troisième format.

Construire un scénario qui apprend quelque chose

Un bon scénario est plausible, progressif et inconfortable.

Plausible : il s’appuie sur vos vulnérabilités réelles, issues de votre analyse de risques. Un scénario de science-fiction ne mobilise personne.

Progressif : l’information arrive par fragments, contradictoires, comme dans la réalité. Donner tout le contexte au début supprime la difficulté principale — décider sans savoir.

Inconfortable : il doit toucher un point que l’organisation évite. Le dirigeant est injoignable. La sauvegarde du système critique est corrompue. Un journaliste appelle avant que la cellule ne se soit réunie. Un client demande une attestation écrite sous deux heures.

Un scénario qui n’expose aucun angle mort n’était pas un exercice.

Qui doit participer

L’erreur la plus fréquente est de faire un exercice entre techniciens. Or les décisions bloquantes sont ailleurs.

Au minimum : un décideur ayant autorité pour arrêter un service, la DSI, le RSSI, la communication, le juridique, et un représentant métier de l’activité touchée.

La direction générale doit y être. C’est aussi ce que suggère l’obligation de formation des dirigeants de l’article 20 de NIS 2.

Ce que l’exercice révèle presque toujours

• Personne ne sait qui décide d’isoler un système sans validation supplémentaire.
• L’annuaire de crise est dans le système d’information, donc inaccessible dans le scénario.
• Les délais de notification réglementaire ne sont pas connus des personnes qui devraient les tenir.
• Aucun modèle de communication n’est prêt.
• Le contrat d’assurance n’a jamais été lu sous cet angle.
• La restauration n’a jamais été chronométrée — voir tests de restauration.

Ces six constats reviennent dans la majorité des premiers exercices que nous animons. Aucun n’est une surprise technique ; tous coûtent des heures le jour réel.

L’animation

Un animateur extérieur au dispositif, qui déroule le scénario et injecte les événements sans participer aux décisions.

Un observateur qui note tout et n’intervient jamais — c’est lui qui produira la valeur.

Une règle à poser d’emblée : on ne cherche pas de coupable. Si les participants craignent d’être jugés, ils joueront la procédure au lieu de jouer la situation, et l’exercice ne révélera rien.

Le compte rendu

Le livrable n’est pas « l’exercice s’est bien passé ». Ce sont les écarts constatés, chacun assorti d’une action, d’un responsable et d’une échéance.

Ce document sert aussi de preuve pour un auditeur ISO 22301 ou ISO 27001, pour un assureur, et pour une autorité de contrôle.

À quelle fréquence

Un exercice sur table par an au minimum, avec des participants et un scénario différents. Un exercice fonctionnel tous les deux ans. Et systématiquement après une réorganisation ou un changement majeur d’architecture.

Le premier révélera beaucoup. Le troisième révélera l’essentiel — c’est-à-dire ce qui n’a pas été corrigé entre-temps.

Sources

• ISO 22301:2019 — exercices et tests
• ISO/IEC 27002:2022, mesures 5.24 à 5.28
• ANSSI — guides sur l’organisation d’exercices de crise cyber

Aller plus loin

Nous concevons et animons ces exercices dans le cadre de missions de gouvernance, risques et conformité. Voir aussi PCA, PRA et gestion de crise.