Points clés à retenir
- La plupart des exercices sur table servent à valider les performances plutôt qu’à mettre en évidence les véritables lacunes dans la gestion des incidents.
- Pour que les exercices soient efficaces, ils doivent intégrer des éléments de friction, d’ambiguïté et de pression afin de refléter des situations réelles.
- Limiter la portée de l’exercice à quelques scénarios critiques et considérer que le succès consiste à identifier des problèmes plutôt qu’à faire bonne figure peut permettre d’obtenir des enseignements plus pertinents et plus exploitables.
- La participation de différents services, et pas seulement celle des équipes techniques, est essentielle pour évaluer avec précision la capacité de réaction de l’organisation.
- C’est par des tests de reprise réels, et non par de simples scénarios théoriques, que l’on peut démontrer une véritable résilience.
La plupart des responsables de la sécurité le reconnaissent depuis un certain temps déjà, même s’ils ne le disent pas à voix haute. L’exercice sur table vient de s’achever. L’équipe se disperse. Tout le monde semble raisonnablement satisfait. Et quelque part, au fond de votre esprit, une question silencieuse surgit : avons-nous réellement appris quelque chose ?
Si vous êtes honnête, la réponse est souvent « non ».
Ce n’est pas parce que les exercices sur table sont une mauvaise idée. Ils constituent l’un des outils les plus précieux dont dispose un responsable de la sécurité. Le problème réside dans la manière dont la plupart des organisations les mènent – et dans ce qu’elles mesurent réellement lorsqu’elles le font.
Le piège de la performance
L’erreur la plus courante dans les exercices sur table n’a rien à voir avec le scénario. Elle concerne l’objectif. La plupart des équipes, consciemment ou non, conçoivent des exercices destinés à démontrer leurs compétences plutôt qu’à mettre au jour des lacunes.
Le scénario se déroule généralement sans accroc. Les informations arrivent dans un ordre logique. Les bonnes personnes disent ce qu’il faut. Tout le monde se sent prêt. Et ce sentiment – de confiance, de maîtrise, presque de collégialité – est précisément le problème. Les incidents réels ne se déroulent pas selon un scénario parfait. Ils se manifestent avec des informations incomplètes, des signaux contradictoires, des personnes injoignables et une entreprise qui exige des réponses plus rapidement que ne le permettent les faits. Si votre exercice sur table ne reproduit pas ce genre de difficultés, c’est que vous n’avez pas testé la réponse aux incidents. Vous vous êtes contenté de vous entraîner à mener une conversation.
Lorsque l’exercice est conçu pour valider plutôt que pour mettre à l’épreuve, un deuxième problème apparaît : les gens cessent d’être honnêtes. Personne ne dit : « Je ne sais pas à qui revient cette décision » ou « En réalité, nous n’avons jamais testé ce plan de Recovery ». Ils disent ce qui semble correct. Et les lacunes qui devraient apparaître dans un environnement contrôlé restent cachées jusqu’à ce qu’elles se manifestent dans un environnement réel.
Ce qu’un bon exercice permet réellement d’évaluer
Avant de créer un scénario, vous devez répondre à une question plus simple : que souhaitez-vous réellement apprendre ? Pas 20 choses. Trois ou quatre.
Votre équipe est-elle capable de prendre une décision d’arrêt suffisamment rapidement, et tout le monde sait-il qui a le pouvoir de la prendre ? Lorsque les services de sécurité, informatique, juridique et de communication sont tous réunis dans une même pièce avec des priorités contradictoires, parviennent-ils réellement à prendre des décisions ensemble ? Pouvez-vous expliquer l’impact métier d’un incident de manière suffisamment claire pour que la direction agisse – et pas seulement comprenne ? Et si vous deviez restaurer un système critique dans les quatre prochaines heures, seriez-vous vraiment capable de le faire ?
Une fois que vous savez ce que vous testez, élaborez un scénario comportant de réelles difficultés. Rendez une personne clé indisponible au cours de l’exercice. Introduisez une escalade de la part d’un client. Faites en sorte qu’un régulateur pose une question à laquelle l’équipe ne peut pas répondre à partir du manuel d’intervention.
Donnez aux participants des informations incomplètes et observez comment ils prennent malgré tout des décisions. L’intérêt ne réside pas dans le fait de voir les gens réussir sous pression. Il réside dans l’identification des points de rupture du processus tant que les enjeux sont encore suffisamment faibles pour pouvoir y remédier.
Dites ceci à voix haute dès le début : « Aujourd’hui, réussir, c’est identifier les problèmes, pas faire bonne impression. » Cette simple phrase change la façon dont les gens s’expriment dans la salle.
Le problème des personnes
Une simulation qui se limite aux services de sécurité et informatiques relève d’une discussion technique, et non d’un exercice de gestion d’incident. Si le service juridique n’est pas présent, si le service de communication n’est pas présent, si les responsables métier et la direction générale sont absents, vous ne testez pas la manière dont votre organisation réagit réellement à une crise. Vous testez simplement la manière dont un groupe de personnes compétentes analyse un scénario hypothétique. Les incidents réels sont gérés à tous les niveaux de l’entreprise. L’exercice doit refléter cette réalité.
Il ne suffit pas d’en parler
C’est là que la plupart des organisations s’arrêtent. Un exercice théorique est important, mais il ne suffit pas à inspirer confiance. Discuter d’un scénario de Recovery vous apporte certaines informations. La restauration concrète d’un système vous en apporte d’autres. Pouvez-vous rétablir l’état du système à un moment précis où il fonctionnait correctement ? Pouvez-vous vérifier que ce que vous restaurez est fiable ? Pouvez-vous restaurer une application de niveau 1 et confirmer qu’elle redémarre correctement, sans propager l’infection ?
Ce ne sont pas des questions auxquelles on peut répondre dans une salle de réunion. À un moment donné, le projet doit être confronté à son environnement – et il faut savoir s’ils sont compatibles.
Une fois l’exercice terminé
Le débriefing vous indique si l’exercice a été utile. Si le débriefing à chaud est silencieux, vague ou truffé de « bons rappels », c’est que l’exercice n’a pas été suffisamment poussé. Un exercice sur table bien mené devrait vous laisser une liste concise de constats concrets, des responsables clairement identifiés et des échéances précises. Si vous ne pouvez pas répondre aux questions suivantes : qu’est-ce qui a échoué, qui va y remédier et dans quel délai ?, c’est que vous avez organisé un événement, pas un exercice.
Le but n’a jamais été de réussir cet exercice. Il s’agissait d’apprendre quelque chose d’important alors que le prix à payer en cas d’erreur n’était encore que du temps. Écoutez notre dernier épisode du podcast STRIVE, dans lequel je m’entretiens avec mon collègue Chris Mierzwa, directeur senior du marketing de portefeuille, pour une discussion approfondie sur les exercices sur table.
FAQ
Q : Pourquoi la plupart des exercices sur table ne parviennent-ils pas à apporter une réelle valeur ajoutée ?
R : De nombreux exercices sont conçus pour donner l’impression que les équipes sont bien préparées, plutôt que pour mettre en évidence leurs faiblesses. Cela conduit à des discussions « scénarisées » qui ne reflètent ni l’imprévisibilité ni la pression des incidents réels.
Q : Quel devrait être l’objectif d’un exercice sur table ?
R : Il convient de se concentrer sur un petit nombre de questions essentielles, telles que la rapidité de la prise de décision, la clarté des responsabilités et la capacité de reprise. Cette approche permet aux équipes de mettre en évidence des lacunes significatives plutôt que de se contenter d’observations superficielles.
Q : Comment les organisations peuvent-elles rendre leurs exercices plus réalistes ?
R : Intégrez des éléments d’incertitude, des informations manquantes et des perturbations imprévues au cours du scénario. Ces éléments obligent les équipes à faire preuve d’esprit critique et à agir sous pression, dans des conditions plus proches de celles d’un incident réel.
Q : Qui devrait participer à un exercice sur table ?
R : Outre les équipes chargées de la sécurité et de l’informatique, les équipes juridiques et de communication, ainsi que les responsables opérationnels et les cadres dirigeants, devraient y participer. Cela permet à l’exercice de refléter la manière dont les incidents réels sont gérés à l’échelle de l’organisation.
Q : Pourquoi ne suffit-il pas de parler de reprise après sinistre ?
R : Les discussions peuvent mettre en évidence les plans, mais seuls des tests concrets permettent de vérifier si les systèmes peuvent réellement être restaurés de manière efficace et rapide. Une validation pratique est nécessaire pour confirmer que la reprise est prête.
Q : Qu’est-ce qui permet de considérer qu’un exercice sur table a été couronné de succès ?
R : Un exercice efficace aboutit à des conclusions claires, à la désignation de responsables et à la définition d’un calendrier précis pour la mise en œuvre des mesures correctives. Si ces éléments font défaut, c’est que l’exercice n’a probablement pas suffisamment mis l’équipe à l’épreuve.
Chris Bevil est directeur du département « Cyber-résilience mondiale et IA » chez Commvault.
