EXERCICE UNIQUEMENT — KIT DE L'ANIMATEUR POUR EXERCICE SUR TABLE SUR LES RANÇONGICIELS Équipe éditoriale CyberPlay | 13 septembre 2026 Exercice fictif original. Durée suggérée : 60 minutes. Avant utilisation, renseignez le canal de signalement local, le contact de gestion d'incident, le contact de secours, le responsable de la continuité d'activité et le circuit de validation de la communication. N'inscrivez aucune donnée confidentielle réelle dans les supports d'entraînement. PRÉPARATION LOCALE Date et animateur : ____________________ Canal de signalement d'incident : ____________________ Canal de contact de secours : ____________________ Responsable de la continuité d'activité : ____________________ Responsable de la validation des communications : ____________________ Contacts spécialisés requis : ____________________ 1. DÉFINIR TROIS OBJECTIFS AVANT LA SESSION Définissez un périmètre raisonnable : savoir quand escalader, se coordonner lorsque le canal de communication habituel est indisponible, et autoriser un mode de fonctionnement temporaire. Décrivez ce qu'un échange constructif permettrait de valider pour chaque objectif. Évitez de vouloir tester l'ensemble de l'architecture de reprise et chaque obligation réglementaire au cours d'une seule session d'introduction. Le document NIST SP 800-61 Rev. 3 inscrit la réponse aux incidents dans le cadre plus large de la gestion des risques cyber. Appuyez-vous sur cet exercice sur table pour faire le lien entre les décisions quotidiennes des équipes et cette structure de réponse. La CISA publie également des scénarios d'exercices de cybersécurité, notamment sur les rançongiciels. Ces ressources seront précieuses pour bâtir un programme d'entraînement plus formel une fois que l'équipe aura assimilé ces enjeux fondamentaux de coordination. 2. ATTRIBUER LES RÔLES ET LES POUVOIRS DE DÉCISION Réunissez un animateur, un secrétaire de séance, le contact d'incident, un représentant des opérations métier, un responsable de la communication client et un manager référent. Associez les personnes chargées des obligations de confidentialité, juridiques ou sectorielles lorsque le scénario l'exige. Une même personne peut endosser plusieurs rôles au sein d'une petite structure, mais les responsabilités doivent rester explicitement définies. Rôle | Responsabilité durant l'exercice Animateur | Présenter les éléments fictifs, veiller au respect du temps et maintenir les échanges dans le cadre imparti. Secrétaire de séance | Consigner les décisions, les hypothèses formulées, les lacunes constatées, les porteurs d'action et les échéances. Coordinateur d'incident | Expliquer la procédure d'escalade et coordonner le processus de réponse officiel. Responsable des opérations métier | Identifier les activités critiques et les modes dégradés de continuité autorisés. Responsable de la communication | Définir les circuits d'approbation des messages internes et externes. Direction et experts référents | Trancher les questions d'arbitrage décisionnel et cerner les obligations réglementaires ou contractuelles à examiner. 3. PRÉPARER LA SALLE ET LE CADRE DE L'EXERCICE Munissez-vous de la liste à jour des contacts d'incident, des consignes de signalement, du plan de continuité d'activité et du circuit d'approbation des communications. Utilisez des copies papier ou hors ligne si nécessaire, afin de simuler l'indisponibilité des systèmes habituels. Vérifiez les coordonnées lors d'une étape de préparation concertée ; ne surprenez pas les équipes d'intervention réelles en passant un appel d'exercice inopiné. Indiquez clairement sur tous les documents qu'il s'agit d'un exercice. Énoncez les règles à voix haute : les participants décrivent leurs actions au lieu de les exécuter concrètement ; aucune modification sur les environnements de production, réinitialisation de compte ou notification à des clients réels n'est effectuée ; la survenue d'un incident réel interrompt immédiatement l'exercice. Les incertitudes doivent être consignées, et non comblées par de simples suppositions arrangeantes. Si quelqu'un affirme que « l'informatique va tout restaurer », demandez sur quel plan approuvé et quel responsable repose cette certitude. 4. SUIVRE LE DÉROULÉ RECOMMANDÉ DE 60 MINUTES L'organisation fictive est une entreprise de services de taille modeste disposant d'un espace de travail documentaire partagé, d'une file d'attente d'assistance client et de livrables prévus dans l'après-midi. Remplacez ces éléments par des fonctions métier fictives comparables si nécessaire. Évitez d'utiliser le nom d'un client réel ou des données sensibles existantes. L'animateur distille les informations de manière progressive, obligeant le groupe à prendre des décisions en situation d'incertitude. Durée | Étape | Question à trancher 0 à 10 minutes | Cadrage et rôles | Quelles sont les prérogatives de chacun, et comment les lacunes seront-elles consignées ? 10 à 20 minutes | Événement 1 : fichiers indisponibles | Comment l'alerte est-elle signalée et escaladée ? 20 à 30 minutes | Événement 2 : messagerie d'équipe compromise | Comment les équipes se coordonnent-elles par le biais du canal de secours approuvé ? 30 à 40 minutes | Événement 3 : les clients exigent des réponses | Qui valide le message à transmettre et le mode de fonctionnement temporaire ? 40 à 50 minutes | Événement 4 : incertitude sur les délais de reprise | Quelles priorités d'activité et quelles informations guident la réponse ? 50 à 60 minutes | Débriefing | Quelles actions d'amélioration nécessitent un responsable, une échéance et des modalités de vérification ? 5. ÉVÉNEMENT 1 : UN COLLABORATEUR NE PEUT PLUS OUVRIR LES FICHIERS PARTAGÉS Lisez cette mise en situation fictive : « À 09 h 10, un membre de l'équipe signale que plusieurs fichiers partagés portent des noms anormaux et sont illisibles. Un autre collaborateur indique qu'un message exigeant une rançon s'affiche sur son écran de travail. Le canal habituel de signalement fonctionne toujours. » Demandez au groupe de décrire le premier signalement, qui le reçoit et comment le responsable métier est informé du risque d'interruption d'activité. Le rôle du collaborateur consiste à appliquer scrupuleusement les consignes de signalement et de réaction immédiate approuvées, en fournissant des observations précises. Le groupe ne doit pas improviser de mesures techniques de confinement. Les directives de la CISA sur les rançongiciels prévoient une isolation coordonnée et la préservation des éléments de preuve ; déconnecter ou éteindre des équipements entraîne des répercussions opérationnelles qui relèvent exclusivement de la procédure officielle et de l'équipe d'intervention. - Quels sont les faits avérés, et qu'est-ce qui relève de simples suppositions ? - Qui est habilité à déclarer ou coordonner la gestion d'un incident ? - Que doit faire le collaborateur qui donne l'alerte en attendant les instructions ? - Comment le signalement est-il pris en charge si le contact principal ne répond pas ? 6. ÉVÉNEMENT 2 : LA MESSAGERIE HABITUELLE DEVIENT INACCESSIBLE OU DOUTEUSE Lisez cette mise en situation fictive : « À 09 h 25, certains collaborateurs ne parviennent plus à utiliser le service de messagerie interne habituel. Un message publié dans un groupe existant affirme provenir du support informatique et demande à tout le monde de rejoindre un nouveau salon de discussion public pour obtenir les consignes de reprise. » Demandez comment les participants vérifient cette directive et à quel endroit le canal de secours approuvé est documenté. Ne partez pas du principe qu'une discussion de groupe familière rend toute nouvelle consigne digne de confiance. Le coordinateur d'incident doit expliquer l'alternative formellement établie et la façon dont l'équipe authentifiera les directives officielles. Si aucun canal de secours n'est prévu, notez ce point de blocage et déterminez qui doit le définir. Veillez à ne pas créer de groupe d'urgence improvisé pendant l'exercice sans suivre les circuits de validation et de gestion des accès de l'organisation. 7. ÉVÉNEMENT 3 : LA PRESSION DU CLIENT INCITE À CONTOURNER LES RÈGLES Lisez cette mise en situation fictive : « À 09 h 40, un client demande un point de situation urgent. Un membre de l'équipe propose de transférer l'export de données clients d'hier sur un compte cloud personnel afin de poursuivre les travaux. Cet export pourrait comporter des informations qui ne sont plus à jour. » Demandez qui a l'autorité nécessaire pour autoriser un mode dégradé, quelles informations peuvent être exploitées sans risque et comment le message externe adressé au client est approuvé. Une solution de contournement tentante L'équipe souhaite rétablir le service au plus vite mais ne dispose d'aucune autorisation pour utiliser un stockage cloud personnel. 1. Transférer l'export immédiatement et le formaliser par écrit plus tard. 2. Attendre en silence que l'ensemble des systèmes soient restaurés. 3. Faire remonter le besoin de continuité d'activité au responsable habilité et n'appliquer qu'une procédure temporaire approuvée. Réponse de l'animateur : Escalader le besoin métier et obtenir un arbitrage validé pour la continuité d'activité. La nécessité de maintenir le travail n'autorise pas d'elle-même à transférer des données vers une destination non homologuée. Débriefing : Demandez quel niveau minimal de service peut être maintenu en toute sécurité, quel message client peut être validé à ce stade et quelle décision demeure de la compétence exclusive de l'équipe d'intervention. 8. ÉVÉNEMENT 4 : LE DÉLAI DE RESTAURATION ET LA FUITE DE DONNÉES SONT INCERTAINS Lisez cette mise en situation fictive : « À 10 h 00, l'équipe d'intervention n'est pas en mesure de confirmer l'heure de rétablissement de l'espace partagé. Un tiers malveillant prétend avoir exfiltré des données de l'entreprise. Cette allégation n'est pas encore vérifiée. La direction demande quels services rétablir en priorité et quelles déclarations peuvent être communiquées aux clients. » Demandez au groupe de bien dissocier les faits vérifiés, les prétentions de l'attaquant et les zones d'inconnu dans son registre de décisions. Le responsable métier est à même d'expliquer les dépendances et les priorités ; l'équipe technique évalue les options de reprise d'activité. Les référents désignés examinent les obligations de notification ainsi que les exigences juridiques ou contractuelles applicables. Ne fixez pas de délai de déclaration arbitraire et n'autorisez aucun collaborateur non habilité à engager des pourparlers avec l'attaquant. L'exercice doit déterminer qui porte ces décisions et de quelles informations ces interlocuteurs ont besoin. 9. DÉBRIEFING À L'AIDE DU REGISTRE DES DÉCISIONS ET DES AXES D'AMÉLIORATION Analysez ce qui a bien fonctionné, les points sur lesquels l'équipe s'est reposée sur des suppositions et les manques procéduraux qui ont ralenti les décisions. Consignez chaque lacune sous une forme directement exploitable. Une mention telle que « la communication a manqué de clarté » est trop imprécise. Préférez une action concrète comme : « Publier et valider le canal de contact de secours pour les incidents, sous la responsabilité du coordinateur d'incident, avant le prochain exercice ». Champ du registre | Contenu attendu Observation | L'endroit précis où une décision ou un passage de relais s'est avéré problématique. Conséquence | L'activité métier ou l'action de réponse qui risquerait d'être retardée ou compromise. Action | La modification concrète requise pour combler la lacune. Responsable et échéance | La personne chargée de mener à bien l'action et la date limite convenue. Vérification | La méthode retenue pour s'assurer de l'efficacité de la nouvelle procédure. 10. VALIDER LES AMÉLIORATIONS ET ARTICULER LES ENTRAÎNEMENTS INDIVIDUELS Transmettez le registre des décisions en suivant le circuit interne convenu au sein de votre organisation et planifiez une revue d'avancement des actions. Ne conservez dans les comptes rendus d'exercice que les éléments strictement nécessaires à ce suivi. Lors d'une prochaine session, modifiez un paramètre — par exemple un contact inaccessible ou un service applicatif différent touché — afin de vérifier si la procédure actualisée tient la route. Une simulation sur table ne démontre pas à elle seule que les sauvegardes se restaurent correctement ni qu'un plan de reprise technique a été éprouvé. Les scénarios sur les rançongiciels de CyberPlay offrent un entraînement individuel idéal, en amont ou à l'issue de la séance collective. Consultez le catalogue thématique pour choisir un jeu adapté, puis reliez l'un des choix proposés au circuit d'escalade réel de votre organisation. Gardez la distinction à l'esprit : un jeu permet d'exercer ses réflexes décisionnels, l'exercice sur table répète la coordination d'équipe, et la reprise opérationnelle technique nécessite ses propres validations formelles. FICHE D'ACTION VIERGE Observation : ____________________ Conséquence : ____________________ Action : ____________________ Responsable : ____________________ Échéance : ____________________ Méthode de vérification : ____________________ SOURCES ET RÉFÉRENCES Recommandations et considérations sur la réponse aux incidents (Incident Response Recommendations and Considerations), SP 800-61 Rev. 3 — https://csrc.nist.gov/pubs/sp/800/61/r3/final Scénarios de cybersécurité (Cybersecurity Scenarios) — https://www.cisa.gov/resources-tools/resources/cybersecurity-scenarios Guide #StopRansomware (#StopRansomware Guide) — https://www.cisa.gov/stopransomware/ransomware-guide