Un exercice de crise dont tout le monde sort satisfait n’a probablement rien appris. Le but n’est pas de démontrer que le dispositif fonctionne : c’est de trouver où il casse, pendant que cela ne coûte rien.
L’exercice sur table. Deux à trois heures, autour d’une table, sur un scénario déroulé par un animateur. Aucun système n’est touché. C’est le format le plus rentable et celui par lequel commencer.
L’exercice fonctionnel. Une demi-journée à une journée, avec mobilisation réelle des équipes et manipulation partielle des outils — restaurer une sauvegarde, activer un moyen de communication de secours.
La simulation grandeur nature. Plusieurs jours, avec bascule effective en mode dégradé. Coûteux, réservé aux organisations matures et aux secteurs qui l’exigent — c’est notamment l’esprit des tests avancés prévus par DORA.
Une organisation qui n’a jamais fait d’exercice sur table n’a rien à gagner à commencer par le troisième format.
Un bon scénario est plausible, progressif et inconfortable.
Plausible : il s’appuie sur vos vulnérabilités réelles, issues de votre analyse de risques. Un scénario de science-fiction ne mobilise personne.
Progressif : l’information arrive par fragments, contradictoires, comme dans la réalité. Donner tout le contexte au début supprime la difficulté principale — décider sans savoir.
Inconfortable : il doit toucher un point que l’organisation évite. Le dirigeant est injoignable. La sauvegarde du système critique est corrompue. Un journaliste appelle avant que la cellule ne se soit réunie. Un client demande une attestation écrite sous deux heures.
Un scénario qui n’expose aucun angle mort n’était pas un exercice.
L’erreur la plus fréquente est de faire un exercice entre techniciens. Or les décisions bloquantes sont ailleurs.
Au minimum : un décideur ayant autorité pour arrêter un service, la DSI, le RSSI, la communication, le juridique, et un représentant métier de l’activité touchée.
La direction générale doit y être. C’est aussi ce que suggère l’obligation de formation des dirigeants de l’article 20 de NIS 2.
Ces six constats reviennent dans la majorité des premiers exercices que nous animons. Aucun n’est une surprise technique ; tous coûtent des heures le jour réel.
Un animateur extérieur au dispositif, qui déroule le scénario et injecte les événements sans participer aux décisions.
Un observateur qui note tout et n’intervient jamais — c’est lui qui produira la valeur.
Une règle à poser d’emblée : on ne cherche pas de coupable. Si les participants craignent d’être jugés, ils joueront la procédure au lieu de jouer la situation, et l’exercice ne révélera rien.
Le livrable n’est pas « l’exercice s’est bien passé ». Ce sont les écarts constatés, chacun assorti d’une action, d’un responsable et d’une échéance.
Ce document sert aussi de preuve pour un auditeur ISO 22301 ou ISO 27001, pour un assureur, et pour une autorité de contrôle.
Un exercice sur table par an au minimum, avec des participants et un scénario différents. Un exercice fonctionnel tous les deux ans. Et systématiquement après une réorganisation ou un changement majeur d’architecture.
Le premier révélera beaucoup. Le troisième révélera l’essentiel — c’est-à-dire ce qui n’a pas été corrigé entre-temps.
Nous concevons et animons ces exercices dans le cadre de missions de gouvernance, risques et conformité. Voir aussi PCA, PRA et gestion de crise.
Le règlement européen sur l’intelligence artificielle est souvent lu comme un texte pour les concepteurs de modèles. Il concerne aussi, et plus largement, ceux qui se contentent d’utiliser des systèmes ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
