Exercice Table Top : le guide pratique pour préparer votre équipe

Qu'est-ce qu'un exercice Table Top et pourquoi maintenant ?

Réponse courte : un exercice Table Top est une simulation de crise sur table, sans manipulation de systèmes réels, où les décideurs déroulent leur réponse à un scénario d'incident animé par un facilitateur. Il dure de deux à quatre heures, ne nécessite aucun environnement technique, et révèle en une séance les angles morts qu'aucun audit documentaire ne détecte. Les assureurs le demandent de plus en plus au questionnaire de souscription.

La valeur d'un plan de réponse ne se mesure pas à son épaisseur. Elle se mesure à la vitesse à laquelle une équipe prend les six ou sept décisions qui comptent dans les premières heures : isoler ou observer, débrancher ou maintenir, notifier quand et qui, communiquer quoi, payer ou non, rappeler quel prestataire.

Dans nos interventions réelles, la différence entre une organisation qui repart en 48 heures et une autre qui perd trois semaines tient rarement à la technologie. Elle tient à la clarté de la chaîne de décision.

Qui doit être dans la salle

L'erreur la plus courante est d'en faire un exercice technique. Un Table Top réussi réunit :

Un facilitateur externe est fortement recommandé : il pose les questions dérangeantes que personne, en interne, n'ose adresser à la direction.

Déroulé type d'une séance de trois heures

Chaque injection doit tenir en cinq lignes et être remise à l'écrit. La discipline du facilitateur consiste à ne jamais répondre aux questions techniques à la place du groupe : le silence révèle les manques.

Trois scénarios adaptés au contexte canadien

Scénario A : Rançongiciel avec double extorsion

Chiffrement partiel du domaine un vendredi à 16 h, sauvegardes atteintes sur le partage réseau, message d'extorsion mentionnant 400 Go exfiltrés. Points de tension : décision d'arrêt de production, capacité de restauration réelle, gestion du délai de notification de la Loi 25, position sur le paiement.

Scénario B : Compromission d'un fournisseur

Votre prestataire infogérance vous informe qu'un de ses accès a été compromis et qu'il ne peut pas exclure une propagation vers ses clients. Points de tension : qui a quels accès chez vous, comment les révoquer sans paralyser l'exploitation, quelles obligations contractuelles s'appliquent, qui parle aux autres clients.

Scénario C : Fuite de renseignements personnels sans rançongiciel

Un chercheur externe vous signale qu'un espace de stockage infonuagique contenant des dossiers clients est accessible publiquement depuis une date indéterminée. Points de tension : évaluation du risque sérieux de préjudice, reconstitution des accès, notification, communication publique.

Ce qu'il faut mesurer

Après l'exercice : le livrable qui compte

Un Table Top sans plan d'action est un moment agréable et sans effet. Le rapport doit tenir en quelques pages et se terminer par un tableau d'actions : quoi, qui, pour quand. Trois à cinq actions correctives suffisent, à condition qu'elles soient réellement suivies et revalidées lors de l'exercice suivant.

Conservez le rapport : il documente votre maturité auprès de votre assureur, de vos clients et, le cas échéant, du régulateur.

Conclusion

Deux exercices par an suffisent à transformer un plan théorique en réflexe collectif. C'est l'investissement de cybersécurité au meilleur rapport coût-bénéfice qui existe, parce qu'il ne coûte que du temps et qu'il agit sur la seule variable qui détermine le coût final d'un incident : la vitesse de décision. ITCS Group conçoit et anime des exercices Table Top adaptés à votre secteur, avec scénarios sur mesure et rapport de maturité exploitable par votre assureur. Contactez-nous pour planifier votre prochaine séance.

Sources