Points clés à retenir
- La plupart des exercices sur table servent à valider les performances plutôt qu’à mettre en évidence les véritables lacunes dans la gestion des incidents.
- Pour que les exercices soient efficaces, ils doivent intégrer des éléments de friction, d’ambiguïté et de pression afin de refléter des situations réelles.
- Limiter la portée de l’exercice à quelques scénarios critiques et considérer que le succès consiste à identifier des problèmes plutôt qu’à faire bonne figure peut permettre d’obtenir des enseignements plus pertinents et plus exploitables.
- La participation de différents services, et pas seulement celle des équipes techniques, est essentielle pour évaluer avec précision la capacité de réaction de l’organisation.
- C’est par des tests de reprise réels, et non par de simples scénarios théoriques, que l’on peut démontrer une véritable résilience.
Cela fait un moment que la plupart des responsables de la sécurité le reconnaissent, même s’ils ne le disent pas à voix haute. L’exercice sur table vient de s’achever. L’équipe se disperse. Tout le monde semble raisonnablement satisfait. Et quelque part, au fond de votre esprit, une question silencieuse surgit : avons-nous réellement appris quelque chose ?
Si vous êtes honnête, la réponse est souvent « non ».
Ce n’est pas parce que les exercices sur table sont une mauvaise idée. Ils constituent l’un des outils les plus précieux dont dispose un responsable de la sécurité. Le problème réside dans la manière dont la plupart des organisations les mènent — et dans ce qu’elles mesurent réellement lorsqu’elles le font.
Le piège de la performance
L’erreur la plus courante dans les exercices sur table n’a rien à voir avec le scénario. Elle concerne l’objectif. La plupart des équipes, consciemment ou non, conçoivent des exercices destinés à démontrer leurs compétences plutôt qu’à mettre au jour des lacunes.
Le scénario suit généralement un déroulement sans accroc. Les informations arrivent dans un ordre logique. Les bonnes personnes disent ce qu’il faut. Tout le monde se sent prêt. Et ce sentiment… de confiance, de bonne préparation, presque de collégialité… est justement le problème. Les incidents réels ne se déroulent pas selon un scénario parfait. Ils se manifestent avec des informations incomplètes, des signaux contradictoires, des personnes injoignables et une entreprise qui exige des réponses plus rapidement que ne le permettent les faits. Si votre exercice sur table ne reproduit pas ce genre de difficultés, c’est que vous n’avez pas testé la réponse aux incidents. Vous vous êtes contenté de vous entraîner à mener une conversation.
Lorsque l’exercice est conçu pour valider plutôt que pour mettre à l’mettre à l’épreuve, un deuxième problème apparaît : les gens cessent d’être honnêtes. Personne ne dit : « Je ne sais pas à qui revient cette décision » ou « Nous n’avons en réalité jamais testé ce scénario de Recovery ». Ils disent ce qui semble correct. Et les lacunes qui devraient apparaître dans un environnement contrôlé restent cachées jusqu’à ce qu’elles se manifestent dans un environnement réel.
Ce qu’un bon exercice permet réellement d’évaluer
Avant de créer un scénario, vous devez répondre à une question plus simple : que souhaitez-vous vraiment apprendre ? Pas 20 choses. Trois ou quatre.
Votre équipe est-elle capable de prendre une décisionprendre une décision suffisamment rapidement, et tout le monde sait-il qui a l’autorité pour la prendre ? Lorsque les services de sécurité, informatique, juridique et communication se retrouvent tous dans la même pièce avec des priorités contradictoires, parviennent-ils réellement à prendre des décisions ensemble ? Pouvez-vous expliquer l’impact commercial d’un incident de manière suffisamment claire pour que la direction agisse — et pas seulement comprenne ? Et si vous deviez restaurer un système critique dans les quatre prochaines heures, pourriez-vous vraiment y parvenir ?
Une fois que vous savez ce que vous testez, élaborez un scénario comportant de réelles difficultés. Rendez une personne clé indisponible au cours de l’exercice. Introduisez une escalade de la part d’un client. Faites en sorte qu’un régulateur pose une question à laquelle l’équipe ne peut pas répondre à partir du guide d’intervention.
Donnez aux participants des informations incomplètes et observez comment ils prennent malgré tout des décisions. L’intérêt ne réside pas dans le fait de voir les gens réussir sous pression. Il réside dans l’identification des points de rupture du processus tant que les enjeux sont encore suffisamment faibles pour y remédier.
Dites ceci à voix haute dès le début : « Aujourd’hui, réussir, c’est identifier les problèmes, pas faire bonne impression. » Cette simple phrase change la façon dont les gens s’expriment dans la salle.
Le problème des personnes
Une simulation qui se limite aux services de sécurité et informatiques relève d’une discussion technique, et non d’un exercice de gestion d’incident. Si le service juridique n’est pas présent, si le service de communication n’est pas présent, si les responsables métier et la direction générale sont absents, vous ne testez pas la manière dont votre organisation réagit réellement à une crise. Vous testez simplement la façon dont un groupe de personnes compétentes analyse un scénario hypothétique. Les incidents réels sont gérés à tous les niveaux de l’entreprise. L’exercice doit refléter cette réalité.
Il ne suffit pas d’en parler
C’est là que la plupart des organisations s’arrêtent. Un exercice théorique est important, mais il ne suffit pas à inspirer confiance. Discuter d’un scénario de Recovery vous apporte certaines informations. Restaurer réellement un système vous en apporte d’autres. Pouvez-vous rétablir l’état du système à un moment précis où celui-ci était en bon état de fonctionnement ? Pouvez-vous vérifier que ce que vous restaurez est fiable ? Pouvez-vous restaurer une application de niveau 1 et confirmer qu’elle fonctionne à nouveau correctement, sans propager l’infection ?
Ce ne sont pas des questions auxquelles on peut répondre dans une salle de réunion. À un moment donné, le projet doit être confronté à son environnement — et il faut savoir s’ils sont compatibles.
Une fois l’exercice terminé
Le débriefing permet de déterminer si l’exercice a été utile. Si le débriefing « à chaud » est silencieux, vague ou truffé de « bons rappels », c’est que l’exercice n’a pas été suffisamment exigeant. Un exercice sur table bien mené devrait vous fournir une liste concise de conclusions concrètes, des responsables clairement identifiés et des échéances précises. Si vous ne pouvez pas répondre aux questions « qu’est-ce qui a échoué ? », « qui va y remédier ? » et « d’ici quand ? », c’est que vous avez organisé un événement, pas un exercice.
Le but n’a jamais été de réussir cet exercice. Il s’agissait d’apprendre quelque chose d’important alors que le prix à payer en cas d’erreur n’était encore que du temps. Écoutez notre dernier épisode du podcast STRIVE, dans lequel je m’entretiens avec mon collègue Chris Mierzwa, directeur senior du marketing de portefeuille, pourune discussion approfondie sur les exercices théoriques.
FAQ
Q : Pourquoi la plupart des exercices théoriques ne parviennent-ils pas à apporter une réelle valeur ajoutée ?
R : De nombreux exercices sont conçus pour donner l’impression que les équipes sont bien préparées, plutôt que pour mettre en évidence leurs faiblesses. Cela conduit à des discussions « scénarisées » qui ne reflètent ni l’imprévisibilité ni la pression des incidents réels.
Q : Quel devrait être l’objectif d’un exercice théorique ?
R : Il convient de se concentrer sur un petit nombre de questions essentielles, telles que la rapidité de la prise de décision, la clarté des responsabilités et la capacité de reprise. Cette approche permet aux équipes de mettre en évidence des lacunes significatives plutôt que de se contenter d’observations superficielles.
Q : Comment les organisations peuvent-elles rendre leurs exercices plus réalistes ?
R : Intégrez des éléments d’incertitude, des informations manquantes et des perturbations imprévues au cours du scénario. Ces éléments obligent les équipes à faire preuve d’esprit critique et à agir sous pression, dans des conditions plus proches de celles d’un incident réel.
Q : Qui devrait participer à un exercice théorique ?
R : Outre les équipes chargées de la sécurité et de l’informatique, les équipes juridiques et de communication, ainsi que les responsables opérationnels et les cadres dirigeants, devraient y participer. Cela permet à l’exercice de refléter la manière dont les incidents réels sont gérés à l’échelle de l’organisation.
Q : Pourquoi ne suffit-il pas de parler de son rétablissement ?
R : Les discussions peuvent mettre en évidence les plans, mais seuls des tests concrets permettent de vérifier si les systèmes peuvent réellement être restaurés de manière propre et rapide. Une validation pratique est nécessaire pour confirmer que la reprise est prête.
Q : Qu’est-ce qui permet de considérer qu’un exercice théorique a été couronné de succès ?
R : Un exercice efficace débouche sur des conclusions claires, la désignation des responsables et la définition d’un calendrier précis pour la mise en œuvre des mesures correctives. Si ces éléments font défaut, c’est que l’exercice n’a probablement pas suffisamment mis l’équipe à l’épreuve.
Chris Bevilest directeur du département « Cyber-résilience mondiale et IA » chez Commvault.
