Exercice de crise cyber : préparer, jouer et tirer les leçons

Un exercice de crise cyber est une simulation au cours de laquelle les personnes qui géreraient une vraie crise (direction, métiers, communication, équipes techniques) affrontent un scénario fictif d'attaque. Il vérifie que les rôles sont clairs, que les procédures et annuaires sont utilisables, que les décisions se prennent au bon niveau et que la communication suit.

Les référentiels l'exigent de plus en plus : ISO 22301 demande un programme d'exercices (article 8.5) ; DORA impose aux entités financières de tester leurs plans au moins une fois par an, y compris sur des scénarios de cyberattaque et leurs plans de communication de crise ; et le guide de crise de l'ANSSI fait de l'entraînement l'une des sept fiches de préparation. Pour une première démarche, l'exercice est aussi le meilleur moyen de rendre la continuité concrète pour la direction.

Le guide distingue aussi les exercices planifiés, dont la date est connue, et les exercices inopinés, qu'il réserve aux organisations déjà expérimentées. Pour un niveau décisionnel, il estime qu'une simulation idéale dure environ une journée, du début de la crise au début de la sortie de crise, et qu'elle dépasse rarement deux jours.

Étape 1 : concevoir l'exercice

On constitue un petit groupe de planificateurs, puis on fixe le cadre : objectifs (le guide en conseille trois ou quatre par exercice), format, thème, durée, logistique et date. Le résultat est un cahier des charges. On identifie ensuite les parties prenantes : experts, animateurs, observateurs et joueurs. Annoncez la date plusieurs mois à l'avance et évitez de la reporter, ce qui démotive les participants.

Étape 2 : préparer l'exercice

• écrire le scénario, à partir d'entretiens avec les experts et d'une menace réaliste ; le rançongiciel est le cas le plus courant, et c'est celui de l'exemple du guide ;
• rédiger le chronogramme : le déroulé minute par minute, du début à la fin de l'exercice, avec les réactions attendues des joueurs ;
• préparer les stimuli : messages, appels, fausses dépêches, questions de journalistes, en variant le rythme pour alterner tension et attente ;
• produire les documents : dossier de mise en situation pour les joueurs, grille d'observation ;
• briefer séparément animateurs, observateurs et joueurs.

Étape 3 : dérouler l'exercice

Le jour J, la cellule d'animation met les joueurs en situation, suit le chronogramme et rend les impacts concrets (« les urgences n'ont plus accès aux dossiers »). Elle s'adapte au rythme des joueurs : si une décision inattendue est prise, on improvise plutôt que de forcer le scénario. L'exercice se joue avec les vrais outils de crise : salle, annuaire papier, téléphones de secours, main courante.

Étape 4 : tirer les enseignements

Le guide prévoit un retour d'expérience à chaud, idéalement juste après la fin du jeu, puis un retour d'expérience à froid, deux à quatre semaines plus tard, appuyé sur les notes des observateurs. Un rapport écrit et une restitution à la direction clôturent l'exercice. Les actions qui en sortent doivent être suivies comme n'importe quel plan d'action, faute de quoi le même défaut ressortira à l'exercice suivant.

Un an plus tard, lors de la vraie attaque décrite dans le chapitre gestion de crise cyber, ces trois actions ont fait gagner des heures. Après la crise, l'hôpital a programmé une simulation complète, avec une cellule d'animation, pour tester cette fois la reprise informatique et la relation avec les prestataires.

Le guide de l'ANSSI comprend onze fiches pratiques (objectifs, cahier des charges, scénario, chronogramme, pression médiatique, observation, retour d'expérience…) illustrées par un exercice complet sur un rançongiciel. L'ANSSI met aussi à disposition des kits d'exercice prêts à l'emploi pour certains publics, dont les collectivités territoriales et l'enseignement supérieur et la recherche. Pour structurer le reste de votre démarche, revenez à l'accueil du guide ou consultez le glossaire.