Je préférerais découvrir dans une salle de réunion que personne ne peut autoriser l’arrêt d’un service plutôt que de le constater pendant qu’un système compromis continue d’accepter des commandes. Voilà le rôle que je donnerais à une répétition de crise cyber : mettre à l’épreuve les décisions que l’entreprise pense savoir prendre, puis vérifier que les personnes, les pouvoirs et les informations nécessaires se rejoignent effectivement. Le scénario crée la pression. Les décisions révèlent le fonctionnement de l’organisation.
Un exercice sur table peut devenir une lecture élaborée du plan de réponse. Chaque fonction expose ses responsabilités, les diapositives défilent et chacun repart avec une impression rassurante. J’en attendrais davantage. Les participants devraient choisir entre des solutions imparfaites, demander une action précise à une autre équipe et expliquer ce qu’ils feront si cette demande reste sans réponse. Savoir qu’un plan existe ne signifie pas pouvoir l’utiliser lorsque ses hypothèses cessent de tenir.
Je placerais donc l’incertitude au cœur de la préparation. Une sauvegarde indisponible, des informations contradictoires sur les clients touchés ou un dirigeant injoignable empêchent les participants d’emprunter leurs certitudes à l’animateur. Je choisirais une situation plausible, des rôles clairs et deux événements qui modifient réellement les choix. Je consignerais chaque décision laissée ouverte. Le résultat serait une courte liste d’actions attribuées, assorties d’échéances et de preuves attendues. L’exercice teste ainsi les décisions et les relais, bien au-delà des diapositives, et révèle les pouvoirs manquants dans un cadre sûr.
Choisir la promesse de l’entreprise qui sera mise sous tension
Je commencerais par un service que l’entreprise a de bonnes raisons de protéger, plutôt que par le portrait spectaculaire d’un attaquant. Sa promesse peut être de livrer des commandes, de fournir des soldes fiables ou de réserver l’accès aux informations sensibles aux seules personnes autorisées. Le scénario devient utile lorsque la perturbation oblige les dirigeants à déterminer quelle partie de cette promesse reste tenable et quelle partie doit être suspendue.
Situation hypothétique : Un distributeur découvre une activité suspecte liée à un compte privilégié dans les systèmes qui coordonnent les commandes des entrepôts. Certaines expéditions sont bloquées, d’autres continuent. L’équipe ignore encore si des instructions de livraison ont été modifiées. Le service client reçoit des réclamations contradictoires. La direction des opérations veut maintenir l’activité des entrepôts apparemment épargnés. La sécurité recommande d’isoler les accès communs pendant son enquête, ce qui pourrait aussi interrompre ces entrepôts.
Cette situation suffit à produire plusieurs décisions liées. Qui peut interrompre les expéditions ? Quelles preuves distinguent un entrepôt épargné d’un entrepôt où aucun symptôme n’est encore visible ? Peut-on vérifier les instructions par une procédure indépendante ? Quels clients doivent recevoir une information opérationnelle avant même que le périmètre soit connu ? Je construirais l’exercice autour de ces questions, en écartant les péripéties qui ne permettent pas de mieux y répondre.
Écrire ce que l’on veut tester avant d’écrire le récit
Mon premier document de préparation préciserait les décisions à examiner. Pour le distributeur, je retiendrais par exemple le pouvoir de suspendre les accès partagés, l’approbation de procédures temporaires d’expédition et la responsabilité des communications sur des conséquences encore incertaines. Ces objectifs guideraient les informations communiquées. Sans cette discipline, l’écriture du scénario peut absorber toute l’attention et produire du suspense sans tester une capacité dont l’entreprise a besoin.
Pour chaque objectif, je définirais un comportement observable. Tester le pouvoir d’arrêt suppose que quelqu’un identifie le décideur habilité, lui présente une recommandation délimitée, obtienne ou exerce l’autorisation, puis explique aux fonctions concernées ce que la décision implique. Dire « nous ferions remonter le sujet » ne termine pas cette séquence. À qui le transmet-on ? Quelle décision demande-t-on ? Avec quels éléments ? Et que fait-on si personne ne répond ?
Je préciserais aussi ce que l’exercice ne peut pas établir. Une discussion ne démontre ni qu’une sauvegarde se restaure correctement ni qu’un numéro d’urgence fonctionne hors de la salle. Elle peut révéler qu’une décision dépend de ces moyens et conduire à les tester séparément. Je distinguerais une décision répétée, une capacité affirmée et une capacité démontrée. Cette distinction évite qu’une conversation convaincante se transforme en assurance sans fondement.
Faire entrer les pouvoirs dans la salle, avec leurs remplaçants
J’attribuerais les rôles en fonction des décisions et des dépendances. La sécurité explique les possibilités de confinement et les limites des preuves. L’informatique décrit les dépendances des services et les contraintes de reprise. Les opérations exposent les conséquences sur les livraisons et la sécurité des activités. La finance examine la trésorerie, les dépenses exceptionnelles et les engagements commerciaux. Le juridique, la protection des données, la communication et les responsables clients reçoivent des rôles adaptés. Le dirigeant qui coordonne la réponse doit pouvoir arbitrer entre ces fonctions.
Chaque rôle disposerait d’une fiche courte : les décisions qu’il peut prendre, les recommandations qu’il doit soumettre, les informations qu’il tient à jour et les relais qu’il doit assurer. Je désignerais explicitement les suppléants. L’absence du directeur général ne devrait pas obliger la salle à inventer des pouvoirs d’urgence. À l’inverse, un suppléant ne reçoit pas une autorité illimitée simplement parce que l’exercice doit avancer. Des limites floues constituent un constat à traiter, même si tous font confiance à la personne.
Je délimiterais également le rôle du conseil d’administration. Quelles circonstances imposent de l’informer ou de solliciter une décision qui lui est réservée ? La coordination opérationnelle reste à la direction. Un administrateur peut demander si la reprise repose sur une base crédible sans prescrire des actions techniques individuelles. L’exercice doit rendre cette relation praticable : qui contacte le conseil, quel jugement lui demande-t-on et comment sa réponse revient-elle à l’équipe de crise ?
Donner une raison à l’incertitude
Je fournirais à l’animateur une explication cohérente de la situation, mais chaque fonction ne recevrait que les éléments qu’elle pourrait raisonnablement connaître à ce stade. La sécurité peut savoir qu’un compte a été détourné sans connaître les commandes touchées. Les opérations peuvent constater des écarts de livraison avant que l’enquête technique puisse les expliquer. Une question générale ne devrait pas suffire à obtenir soudain une vue complète.
J’introduirais deux événements qui contestent des hypothèses différentes. L’un fragiliserait le chemin de reprise privilégié ; l’autre éprouverait la gouvernance ou la communication. Multiplier les surprises toutes les quelques minutes peut récompenser la réaction permanente tout en empêchant de terminer une décision. Deux changements bien choisis laissent au groupe le temps d’adopter une position, de recevoir des éléments qui la rendent moins confortable et de décider s’il doit la réviser.
Donner une structure courte à chaque décision importante
Sous pression, j’utiliserais une fiche à six rubriques : le choix requis, son responsable, le dernier moment où l’on peut raisonnablement décider, les preuves et leurs limites, les options disponibles et la condition de réexamen. Ce format reste assez léger pour accompagner la discussion tout en révélant les échappatoires. « Poursuivre l’enquête » devient une option explicite, avec ses conséquences, plutôt qu’une manière automatique de différer sa responsabilité.
Dans le cas des entrepôts, le choix pourrait être de suspendre immédiatement les accès administratifs partagés. Les éléments disponibles comprennent un détournement confirmé de compte privilégié, une portée incertaine dans les systèmes d’expédition et aucune validation indépendante des instructions en cours. Les options peuvent être l’isolement complet, la coupure de certaines connexions ou la poursuite de l’activité avec des contrôles supplémentaires. Chacune doit exposer ses conséquences opérationnelles et l’exposition qui subsiste. La recommandation de la sécurité ne suffit pas à exprimer cet arbitrage dans son ensemble.
La réversibilité influencerait mon seuil de décision. Une connexion suspendue peut être rétablie, même si le temps d’activité perdu ne revient pas. Une déclaration publique définitive ou une livraison douteuse peut avoir des conséquences plus difficiles à défaire. Je demanderais des éléments plus solides à mesure que les effets deviennent moins réversibles, tout en gardant à l’esprit qu’attendre peut aussi causer un préjudice irréversible. Le cadre doit rendre cette tension visible, sans prescrire la prudence dans toutes les directions.
Première surprise : le chemin de reprise ne tient plus sa promesse
Suite hypothétique : Le responsable informatique prévoit d’abord de restaurer le service de coordination des commandes à partir d’une sauvegarde récente. Il apparaît ensuite que cette copie dépend d’un service d’accès toujours sous investigation. Une copie indépendante plus ancienne existe, mais sa restauration omettrait les commandes saisies depuis sa création. L’estimation initiale de reprise ne permet donc plus de faire une promesse fiable aux clients.
Je demanderais de séparer trois questions. La source de restauration est-elle suffisamment digne de confiance ? Le service restauré peut-il fonctionner avec les dépendances disponibles ? L’entreprise peut-elle rapprocher les transactions manquantes ? L’existence d’une sauvegarde ne répond à aucune de ces questions. L’informatique peut décrire la méthode, mais les opérations et les équipes clients doivent contribuer à déterminer si le service obtenu peut tenir une promesse commerciale cohérente.
L’arbitrage de direction devient précis. Attendre la copie récente peut préserver davantage d’historique, mais prolonge l’interruption sans échéance fiable. Utiliser l’ancienne peut permettre une reprise partielle plus tôt, au prix d’un travail de rapprochement et du risque de commandes dupliquées ou omises. Un traitement manuel peut préserver des livraisons urgentes tout en dépassant la capacité de vérifier les instructions. Pour chaque option, je demanderais un périmètre d’activité restreint, avec les opérations qu’il faudra refuser.
Deuxième surprise : la personne attendue est injoignable
Suite hypothétique : Le groupe estime que la prolongation de l’interruption exige une décision de direction sur des dépenses exceptionnelles et sur les priorités de service. La personne normalement chargée de l’autoriser ne peut pas être jointe pendant le délai utile. Au même moment, les équipes en contact avec les clients ont besoin d’une autorisation pour expliquer l’interruption. La disparition de l’approbateur ne rend pas les faits plus clairs.
J’observerais si l’équipe active une suppléance existante, réduit sa demande à une décision déjà permise à quelqu’un ou reste bloquée. Affirmer que le dirigeant est « toujours joignable » deviendrait une hypothèse à examiner, pas une raison d’annuler la surprise. L’objectif est de tester la continuité de l’autorité. Une entreprise qui possède de la redondance technique mais aucune délégation utilisable conserve une dépendance capable de paralyser sa réponse.
Le suppléant a besoin de limites qui rendent son action légitime. Peut-il engager des dépenses d’urgence dans un plafond défini, suspendre un service, approuver une procédure provisoire ou autoriser un message d’attente factuel ? Quelles décisions restent réservées ? Quelle mesure intermédiaire protège l’entreprise pendant leur attente ? Je consignerais aussi bien la concentration excessive des pouvoirs que leur dépassement involontaire. Une approbation improvisée peut débloquer le scénario tout en révélant une lacune de gouvernance inacceptable.
Suivre le relais jusqu’à ce que quelqu’un puisse agir
Je prêterais une attention particulière à l’espace entre une recommandation et sa réception effective. « La sécurité informe les opérations » paraît complet sur une diapositive. En pratique, les opérations doivent savoir quelles connexions sont concernées, quand la modification prend effet, quels travaux s’arrêtent et comment demander une exception. La sécurité doit recevoir confirmation que la consigne est comprise, ainsi que les conséquences susceptibles de modifier le choix de confinement.
Pour un relais critique, je demanderais à l’émetteur de formuler l’action attendue, puis au destinataire d’en reformuler le sens. Tous deux conviendraient du prochain retour. C’est particulièrement utile lorsqu’une fonction utilise une description technique et qu’une autre a besoin d’une instruction de travail. Si le destinataire ne peut agir sans une autorisation supplémentaire, l’exercice doit suivre cette dépendance. Déposer un message dans une boîte de réception ne démontre pas que l’entreprise a changé de comportement.
Un observateur devrait suivre les demandes non résolues aussi attentivement que les décisions formelles. Une liste de clients touchés, une approbation de dépense ou une estimation fiable de reprise peut rester en attente alors que la conversation passe à autre chose. Qui doit répondre ? Que fera le demandeur si la réponse arrive trop tard ? Ces échanges inachevés expliquent souvent pourquoi un plan correct sur le papier ne produit pas une action coordonnée à temps.
Rendre le désaccord utile avant de le résoudre
Je m’attendrais à ce que les opérations résistent à un arrêt étendu et que la sécurité s’oppose à la poursuite de l’activité par une dépendance incertaine. Ce désaccord peut améliorer la décision si chaque partie précise la conséquence qu’elle cherche à éviter. Il devient stérile lorsque l’une est présentée comme prudente et l’autre comme réaliste sur le plan commercial. Les deux peuvent protéger des intérêts légitimes en s’appuyant sur des preuves et des horizons différents.
L’animateur peut demander une recommandation délimitée à chaque partie : quelle action proposez-vous, quel inconvénient crée-t-elle, quelle hypothèse soutient votre raisonnement et qu’est-ce qui vous ferait changer d’avis ? Le dirigeant qui coordonne décide ensuite si l’information supplémentaire justifie le délai ou si le conflit exige un choix immédiat. Je conserverais les objections importantes dans le dossier afin que le raisonnement reste compréhensible lorsque de nouveaux éléments apparaissent.
Une répétition doit permettre d’avouer que l’on ignore l’étendue de ses pouvoirs ou que l’on ne peut pas fournir une capacité demandée. Je distinguerais cette franchise d’un manque évitable de préparation. La séance sert à faire apparaître la lacune ; le suivi sert à la faire traiter par un responsable. Humilier publiquement la première personne qui reconnaît une limite encourage les formulations assurées à remplacer l’incertitude honnête, ce qui détruit l’utilité de l’exercice.
Terminer avec des preuves de ce qui reste inachevé
Je conclurais en reconstituant les décisions importantes, plutôt qu’en demandant si la séance s’est bien passée. Qu’a-t-on choisi ? Qui avait le pouvoir de décider ? Quelle hypothèse justifiait le choix ? Quelle conséquence a été acceptée ? Quelles demandes sont restées sans réponse ? Les participants doivent pouvoir corriger le compte rendu pendant que leur raisonnement est encore présent. Un récit élégant rédigé plus tard peut effacer les hésitations qui ont précisément rendu la séance utile.
Les constats n’appellent pas tous le même remède. Un plafond de dépense flou exige une décision de gouvernance. Une dépendance de restauration non vérifiée exige un contrôle technique. L’absence de procédure de rapprochement exige une conception opérationnelle. Un blocage de communication peut nécessiter une délégation d’approbation et des formulations factuelles préparées. Classer ces sujets sous « mettre à jour le plan de réponse » reviendrait à demander du papier là où l’entreprise a besoin d’autres pouvoirs, de capacités ou de comportements.
Je garderais une liste d’actions assez courte pour que son commanditaire puisse réellement la suivre, tout en conservant le journal complet des décisions. Chaque action doit avoir un responsable capable de produire le changement, une échéance et une preuve adaptée d’achèvement. Une fiche de contacts est validée lorsque les contacts et les suppléants ont fait l’objet d’une vérification appropriée. Une délégation est utilisable lorsque le pouvoir a été approuvé et que son titulaire peut en expliquer les limites.
Répéter la correction
Mon étape suivante serait une reprise ciblée de la décision ou du relais qui a échoué. Si le groupe ne pouvait pas autoriser une activité restreinte sans le directeur général, je reviendrais sur ce point avec la délégation approuvée et le suppléant concerné. Si la reprise dépendait d’une sauvegarde non testée, je demanderais une démonstration de restauration appropriée en dehors de l’exercice sur table. Rejouer tout le scénario peut consommer l’attention sans répondre à la question précise restée ouverte.
Avant de commander une répétition, je me poserais trois questions. Quelle promesse de l’entreprise suis-je prêt à mettre sous pression ? Quelle hypothèse sur les pouvoirs ou la reprise serait coûteuse à découvrir pendant un incident réel ? Quel changement soutiendrai-je personnellement si l’exercice le rend nécessaire ? Les réponses déterminent si la séance fait partie du travail de direction ou simplement du calendrier.
Une crise cyber ne suivra pas l’ordre des révélations prévu par l’animateur. C’est justement pourquoi je répéterais les décisions avec des informations incomplètes, assez de structure pour rendre le raisonnement visible et assez de perturbation pour exposer ses dépendances fragiles. La valeur vient du travail qui suit : une décision avec un responsable, un relais qui atteint une personne capable d’agir et une promesse que l’entreprise peut défendre avec des preuves.