# Exercice sur table de rançongiciel pour les dirigeants https://fr.kinlevi.com/resources/ransomware-tabletop-exercise Ce scénario original permet d’examiner la coordination dans l’incertitude. Il vise à révéler les pouvoirs manquants, les hypothèses sans preuves et les dépendances de restauration. Un accord en réunion démontre une discussion, mais pas le fonctionnement d’un contrôle technique ou d’une restauration. ## Préparer la séance - Désignez un animateur pour présenter les évolutions et un observateur pour consigner les actions réelles. Représentez coordination d’incident, sécurité, exploitation plateforme, responsabilité métier et communication. - Délimitez un service et la version du plan de réponse exercée. Apportez la matrice de décision, les contacts et une carte des dépendances. Utilisez des noms et documents fictifs. - Prévoyez environ 90 minutes à titre indicatif : 10 pour le cadre, 60 pour quatre séquences et 20 pour le retour d’expérience. Adaptez le rythme aux objectifs ; n’évaluez pas seulement la rapidité. ## Limites et conditions d’arrêt - Il s’agit d’un exercice de discussion. Ne modifiez pas les accès réels, n’exécutez pas de fichiers, n’envoyez pas de messages externes et n’utilisez pas de données clients réelles pour jouer le scénario. - Tout participant peut demander une pause si une action proposée touche un système réel ou dépasse le cadre convenu. Clarifiez cette limite avant de poursuivre. - En cas d’incident opérationnel réel, arrêtez l’exercice et appliquez le processus effectif. Identifiez clairement notes d’exercice et messages simulés. ## Situation de départ fictive Un fournisseur B2B dépend d’un service de confirmation des commandes pendant son pic de livraisons. Les clients signalent des échecs et les équipes ignorent quelles commandes ont été acceptées. La cause et le périmètre sont inconnus. Les évolutions suivantes sont des éléments fictifs présentés par l’animateur, sans décrire une organisation réelle. ## Service, participants et cadre de l’exercice Consignez service, version du plan, animateur, observateur, rôles présents et limites convenues. [À compléter pendant l’exercice] ## Présenter les évolutions dans l’ordre Ouvrez une séquence à la fois. Les créneaux de 15 minutes facilitent l’animation sans imposer un délai de réponse. Consignez choix, autorité, preuves disponibles et prochaine vérification avant de continuer. ### 00 min — Interruption du service Le service de commandes est indisponible. Le support a reçu trois signalements, mais aucun décompte fiable des commandes touchées. Le pilote d’incident habituel est injoignable. - Qui déclare l’incident, coordonne la réponse et active le suppléant ? - Que faut-il savoir avant un traitement manuel ou une suspension des nouvelles commandes ? #### Décision, autorité et raisonnement Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action. [À compléter pendant l’exercice] #### Preuves manquantes et prochaine vérification Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ? [À compléter pendant l’exercice] ### 15 min — Une revendication d’extorsion non vérifiée L’animateur introduit une demande de rançon simulée et un signalement de session privilégiée inhabituelle. Aucune preuve ne confirme encore un vol de données ni le périmètre complet de l’accès. - Quel confinement est autorisé et quelles preuves pourrait-il supprimer ? - Qui évalue la revendication et maintient une communication exacte tant que sa validité est inconnue ? #### Décision, autorité et raisonnement Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action. [À compléter pendant l’exercice] #### Preuves manquantes et prochaine vérification Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ? [À compléter pendant l’exercice] ### 30 min — Une dépendance de restauration L’inventaire des sauvegardes mentionne une copie récente, sans restauration démontrée dans cet exercice. La reprise nécessite aussi un service d’identité dont la fiabilité est contestée. L’exploitation demande un redémarrage rapide. - Quelles preuves faut-il avant de restaurer identités, données et service ? - Qui accepte un fonctionnement restreint et quel critère de surveillance ou de retour arrière l’arrêterait ? #### Décision, autorité et raisonnement Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action. [À compléter pendant l’exercice] #### Preuves manquantes et prochaine vérification Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ? [À compléter pendant l’exercice] ### 45 min — La pression de communiquer Un client important demande une heure de reprise et un journaliste cite une capture non vérifiée. La relève arrive avec un journal incomplet des décisions. - Qui approuve un message exposant impact et incertitude sans promesses infondées ? - Quelles décisions, preuves et obligations transmettre à la relève et au responsable exécutif ? #### Décision, autorité et raisonnement Quel choix a été fait, par quel rôle habilité, avec quelles alternatives et conséquences clients ? Précisez qui porte la prochaine action. [À compléter pendant l’exercice] #### Preuves manquantes et prochaine vérification Séparez faits fournis, hypothèses des participants et preuves absentes. Que vérifier, par qui et avant quelle décision ? [À compléter pendant l’exercice] ## Transformer le retour d’expérience en actions ### Forces et lacunes observées Distinguez ce qui a été démontré dans la discussion, simplement déclaré ou non traité. Citez un journal ou une action observée ; évitez une note de préparation sans fondement. [À compléter pendant l’exercice] ### Actions correctives et vérification Pour chaque lacune, consignez responsable, prochaine action, échéance et preuve d’achèvement. Gardez visibles les dépendances ouvertes. [À compléter pendant l’exercice] ### Condition d’un nouvel exercice Définissez le changement ou l’action terminée qui déclenchera un nouvel exercice et ce qu’il devra démontrer. Convenez du suivi. [À compléter pendant l’exercice] Une discussion ne prouve pas que restauration, détection ou communication fonctionneront lors d’un incident réel. Vérifiez séparément les affirmations techniques par des tests autorisés. Conservez le fichier téléchargé et examinez les actions avant de les déclarer terminées. ## Méthode et références Scénario et fiche originaux s’appuyant sur des références primaires d’exercice. Ce n’est pas un dossier officiel de la CISA ou du NIST. - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)