Exercice sur table de rançongiciel pour les dirigeants
Animez un exercice de crise avec quatre évolutions du scénario, un journal des décisions et un plan d’amélioration. Téléchargez un dossier modifiable pour l’animateur.
Ce scénario original permet d’examiner la coordination dans l’incertitude. Il vise à révéler les pouvoirs manquants, les hypothèses sans preuves et les dépendances de restauration. Un accord en réunion démontre une discussion, mais pas le fonctionnement d’un contrôle technique ou d’une restauration.
Préparer la séance
Désignez un animateur pour présenter les évolutions et un observateur pour consigner les actions réelles. Représentez coordination d’incident, sécurité, exploitation plateforme, responsabilité métier et communication.
Délimitez un service et la version du plan de réponse exercée. Apportez la matrice de décision, les contacts et une carte des dépendances. Utilisez des noms et documents fictifs.
Prévoyez environ 90 minutes à titre indicatif : 10 pour le cadre, 60 pour quatre séquences et 20 pour le retour d’expérience. Adaptez le rythme aux objectifs ; n’évaluez pas seulement la rapidité.
Limites et conditions d’arrêt
- Il s’agit d’un exercice de discussion. Ne modifiez pas les accès réels, n’exécutez pas de fichiers, n’envoyez pas de messages externes et n’utilisez pas de données clients réelles pour jouer le scénario.
- Tout participant peut demander une pause si une action proposée touche un système réel ou dépasse le cadre convenu. Clarifiez cette limite avant de poursuivre.
- En cas d’incident opérationnel réel, arrêtez l’exercice et appliquez le processus effectif. Identifiez clairement notes d’exercice et messages simulés.
Situation de départ fictive
Un fournisseur B2B dépend d’un service de confirmation des commandes pendant son pic de livraisons. Les clients signalent des échecs et les équipes ignorent quelles commandes ont été acceptées. La cause et le périmètre sont inconnus. Les évolutions suivantes sont des éléments fictifs présentés par l’animateur, sans décrire une organisation réelle.
Présenter les évolutions dans l’ordre
Ouvrez une séquence à la fois. Les créneaux de 15 minutes facilitent l’animation sans imposer un délai de réponse. Consignez choix, autorité, preuves disponibles et prochaine vérification avant de continuer.
Vos réponses restent sur cette page et servent à créer le fichier dans votre navigateur. Téléchargez-le avant de fermer ou de recharger : le site n’enregistre pas cette fiche remplie.
Consignez service, version du plan, animateur, observateur, rôles présents et limites convenues.
00 minInterruption du service
Le service de commandes est indisponible. Le support a reçu trois signalements, mais aucun décompte fiable des commandes touchées. Le pilote d’incident habituel est injoignable.
- Qui déclare l’incident, coordonne la réponse et active le suppléant ?
- Que faut-il savoir avant un traitement manuel ou une suspension des nouvelles commandes ?
Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action.
Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ?
15 minUne revendication d’extorsion non vérifiée
L’animateur introduit une demande de rançon simulée et un signalement de session privilégiée inhabituelle. Aucune preuve ne confirme encore un vol de données ni le périmètre complet de l’accès.
- Quel confinement est autorisé et quelles preuves pourrait-il supprimer ?
- Qui évalue la revendication et maintient une communication exacte tant que sa validité est inconnue ?
Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action.
Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ?
30 minUne dépendance de restauration
L’inventaire des sauvegardes mentionne une copie récente, sans restauration démontrée dans cet exercice. La reprise nécessite aussi un service d’identité dont la fiabilité est contestée. L’exploitation demande un redémarrage rapide.
- Quelles preuves faut-il avant de restaurer identités, données et service ?
- Qui accepte un fonctionnement restreint et quel critère de surveillance ou de retour arrière l’arrêterait ?
Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action.
Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ?
45 minLa pression de communiquer
Un client important demande une heure de reprise et un journaliste cite une capture non vérifiée. La relève arrive avec un journal incomplet des décisions.
- Qui approuve un message exposant impact et incertitude sans promesses infondées ?
- Quelles décisions, preuves et obligations transmettre à la relève et au responsable exécutif ?
Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action.
Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ?
Transformer le retour d’expérience en actions
Distinguez ce qui a été démontré dans la discussion, simplement déclaré ou non traité. Citez un journal ou une action observée ; évitez une note de préparation sans fondement.
Pour chaque lacune, consignez responsable, prochaine action, échéance et preuve d’achèvement. Gardez visibles les dépendances ouvertes.
Définissez le changement ou l’action terminée qui déclenchera un nouvel exercice et ce qu’il devra démontrer. Convenez du suivi.
Une discussion ne prouve pas que restauration, détection ou communication fonctionneront lors d’un incident réel. Vérifiez séparément les affirmations techniques par des tests autorisés. Conservez le fichier téléchargé et examinez les actions avant de les déclarer terminées.
Méthode et références
Scénario et fiche originaux s’appuyant sur des références primaires d’exercice. Ce n’est pas un dossier officiel de la CISA ou du NIST.