La plupart des organisations ont un plan d'intervention en cas d'incident. Très peu l'ont déroulé une seule fois, du début à la fin, avec les personnes qui devront l'appliquer. Le jour où il sert pour la première fois, c'est donc aussi le jour où l'on découvre ce qui manque : le numéro du prestataire TI que personne n'a en dehors de la messagerie, la personne qui peut décider d'arrêter la production, le contrat d'assurance dont personne ne connaît la marche à suivre.
Un plan qui n'a jamais été testé n'est pas un plan. C'est une hypothèse. La bonne nouvelle, c'est qu'il suffit d'une heure, d'une salle et de cinq personnes pour la vérifier.
Pourquoi l'exercice sur table d'abord
Dans notre guide sur le plan de continuité, nous recommandions de tester la restauration, pas la sauvegarde, et de commencer par l'exercice sur table. C'est le format le moins coûteux et souvent le plus révélateur : on ne touche à aucun système, on déroule un scénario autour d'une table, et l'on regarde où les décisions bloquent.
Le Centre canadien pour la cybersécurité, dans ses contrôles de base pour les petites et moyennes organisations, demande un plan d'intervention officiel qui liste les responsables internes, les parties externes et les organismes de réglementation à joindre, avec une copie papier au cas où la version numérique serait inaccessible. L'exercice sur table est le moyen le plus simple de vérifier que cette liste existe, qu'elle est à jour et que chacun sait la trouver. La CISA, l'agence américaine de cybersécurité, met à disposition plus de cent trousses d'exercices sur table prêtes à l'emploi, avec scénarios, questions de discussion et gabarit de rapport : on n'a pas besoin de tout inventer.
Ce que ça change : l'exercice ne mesure pas la technique, il mesure les décisions. Qui décide, avec quelle information, en combien de temps, et qui prévient qui.
Qui inviter : votre communauté, pas seulement votre équipe
Octobre se termine, et avec lui le Mois de la sensibilisation à la cybersécurité, dont la dernière semaine porte cette année sur la communauté. Pour une organisation, la communauté de crise dépasse largement l'organigramme. Le jour d'un incident, vous dépendrez de personnes que vous ne payez pas toutes, ou pas directement.
Le NIST Cybersecurity Framework 2.0 en fait une exigence explicite : les fournisseurs et autres tiers concernés sont inclus dans la planification, la réponse et la reprise en cas d'incident (GV.SC-08). Concrètement, pour une PME, la table réunit cinq à sept personnes :
- La personne qui décide : le dirigeant ou son remplaçant désigné. Sans elle, l'exercice ne teste rien.
- Les finances : paiements, trésorerie, assurance.
- Les opérations : ce qui s'arrête, ce qui peut continuer en mode dégradé.
- La TI interne, et le prestataire TI externe s'il y en a un. C'est souvent la première fois que le prestataire voit le plan du client.
- La personne responsable des communications, ou celle qui parlera aux clients et aux employés.
- Une personne qui ne joue pas : elle anime, lance chaque étape et note les décisions et les trous.
Si vous avez une assurance cyber, ayez sous la main le numéro de déclaration de sinistre et ce que le contrat exige dans les premières heures. Si vous détenez des renseignements personnels, ayez la personne responsable de leur protection, ou au minimum son nom et son numéro.
Le déroulé : 60 minutes, quatre temps
L'animateur lit chaque étape à voix haute, puis laisse la table décider. Il ne donne pas la réponse. Il pose les questions et note.
Temps 1, minute 0 à 15 : la découverte. Lundi, 7 h. Le prestataire TI appelle : son outil de gestion à distance a été compromis pendant la fin de semaine, et plusieurs de ses clients ont des fichiers chiffrés. Chez vous, la messagerie ne répond plus et un poste affiche une note de rançon. Questions : qui est prévenu en premier, et comment, si la messagerie est hors service ? Qui a le pouvoir d'isoler le réseau ou d'arrêter un système ? Où est la copie papier du plan ?
Temps 2, minute 15 à 30 : l'étendue. 8 h 30. Le logiciel de gestion est inaccessible, la facturation et les expéditions sont arrêtées. Les sauvegardes existent, mais personne ne sait encore si elles ont été touchées. Questions : qu'est-ce qui peut tourner en mode dégradé aujourd'hui, et sur papier ? Qui appelle l'assureur ? Combien de temps tient-on avant que l'arrêt coûte un client ?
Temps 3, minute 30 à 45 : l'extérieur. 10 h. Un client important appelle : il a reçu un courriel suspect qui semble venir de votre comptabilité. Un employé demande s'il doit venir travailler demain. Questions : qui parle aux clients, et que dit-on quand on ne sait pas encore tout ? Des renseignements personnels ont-ils pu être consultés ? Au Québec, un incident de confidentialité doit être consigné à un registre et, s'il présente un risque de préjudice sérieux, déclaré à la Commission d'accès à l'information et aux personnes concernées, comme le prévoit la Loi 25 : qui fait cette évaluation, et sur quelle base ?
Temps 4, minute 45 à 60 : le retour d'expérience. On arrête le scénario. Chacun dit en une phrase ce qui l'a surpris. L'animateur relit les trous notés. La table choisit trois actions, pas plus, chacune avec un propriétaire nommé et une date.
Les trois pièges
Jouer la technique. La discussion dérive vers le type de rançongiciel ou la configuration du pare-feu. Ramenez-la aux décisions : qui décide, quand, avec quoi.
Chercher un coupable. L'exercice sert à trouver des trous dans le plan, pas dans les personnes. Si quelqu'un ne savait pas quoi faire, c'est le plan qui ne le lui disait pas.
Repartir sans actions. Un exercice qui finit sur « c'était intéressant » ne change rien. Trois actions, trois noms, trois dates : c'est le seul livrable qui compte.
Le test de la fin de semaine
Avant même d'organiser l'exercice, répondez seul à trois questions, sur une feuille :
- Si la messagerie et le réseau tombaient lundi à 7 h, comment joindriez-vous les quatre personnes clés ? Avez-vous leur numéro ailleurs que dans votre téléphone de travail ?
- Votre prestataire TI et votre assureur ont-ils déjà vu votre plan d'intervention ?
- Quand votre plan a-t-il été déroulé pour la dernière fois, du début à la fin ?
Si la réponse à la troisième question est « jamais », vous savez quoi mettre à l'agenda du mois prochain.
Ce que vous devriez avoir après l'exercice
Une page. Le scénario joué, la date, les personnes présentes, les trous notés et trois actions avec leur propriétaire et leur date. Refaites l'exercice dans six mois avec un autre scénario, par exemple la panne d'un fournisseur critique ou une fraude au paiement, et comparez les deux pages. Le vocabulaire de la continuité est dans notre fiche sur la continuité des activités.
Sources : Centre canadien pour la cybersécurité, contrôles de cybersécurité de base pour les petites et moyennes organisations · CISA, trousses d'exercices sur table (CTEP) · NIST, Cybersecurity Framework 2.0 (CSWP 29) · CST, Mois de la sensibilisation à la cybersécurité 2026