Exercices sur table consacrés à la cybersécurité
La plupart des exercices sur table auxquels j’ai assisté en tant qu’observateur extérieur ne sont que de la mise en scène. Tout le monde connaît déjà le plan, le scénario est suffisamment vague pour qu’il ne se passe rien de surprenant, et le débriefing se résume à une série de félicitations. Ce n’est pas un exercice sur table, c’est la répétition d’un scénario. L’intérêt d’en organiser un est de découvrir ce qui ne fonctionne pas lorsque les participants ne disposent pas d’une réponse toute faite.
Un exercice sur table est une simulation guidée, basée sur un scénario, d’un incident, menée avec les personnes qui se trouveraient effectivement présentes dans la salle si cela se produisait réellement : les services informatiques, le service juridique, le service de communication, un chef d’entreprise, parfois un cadre dirigeant. Aucun système n’est sollicité. L’intérêt réside entièrement dans les décisions que les participants doivent prendre à voix haute, sous la pression du temps, avec des informations incomplètes, ainsi que dans l’observation des divergences entre le plan sur papier et celui qui se trouve dans l’esprit de chacun.
Ce que je fais concrètement
Je construis le scénario en fonction de votre environnement, et non à partir d’un modèle générique de ransomware. Si vous êtes un établissement de santé, le scénario porte sur les données des patients et les délais de notification des violations. Si vous êtes un fabricant, il s’agit d’une compromission introduite par un fournisseur au sein de l’usine. J’introduis des complications au fur et à mesure que l’exercice se déroule, du genre de celles qui n’apparaissent jamais dans un plan de réponse aux incidents bien ficelé : l’ingénieur de garde est en déplacement, l’assureur souhaite être mis au courant avant que l’avocat ne soit prêt, un journaliste appelle au cours de la deuxième heure. Je repère les cas où les pouvoirs de décision ne sont pas clairement définis, où la chaîne d’escalade comporte un point de défaillance unique, et où l’expression « quelqu’un s’en chargera » revient en réalité à dire que personne ne s’en chargera.
À l’issue de l’exercice, vous recevez un véritable compte-rendu, et non un simple certificat de participation. Je consigne par écrit ce que l’exercice a réellement mis en évidence : les écarts entre le plan documenté et ce que les participants ont réellement fait dans la salle, les décisions qui ont pris trop de temps à être prises car personne n’avait l’autorité nécessaire pour les prendre, ainsi qu’une liste concise et hiérarchisée des points à corriger avant le prochain exercice. Je préfère vous proposer trois mesures concrètes plutôt que vingt recommandations vagues que vous ne mettrez jamais en œuvre.
À qui s'adresse ce document ?
Si vous disposez d’un plan de réponse aux incidents qui n’a jamais été testé avec les personnes qui seraient réellement présentes sur place, ou si plus d’un an s’est écoulé depuis le dernier exercice, c’est un signal d’alerte. Cela vaut également la peine de le faire après une réorganisation, après avoir intégré un nouveau MSSP ou un nouvel assureur, ou avant un audit qui vous demandera si votre plan a été mis en pratique.
Si vous souhaitez un atelier qui vous apporte des informations que vous ne connaissiez pas encore, contactez-moi et discutons ensemble de votre environnement et des personnes qui doivent être présentes.