Simulations : exercices sur table et projet final
Bonne lecture et bon apprentissage ! Junior TSAFACK – 26/09/2026 ⏱️ Temps de lecture estimé : 12 minutes (hors animation des exercices)
On ne découvre pas son plan de réponse le jour de l’incident : on le répète. Les exercices sont d’ailleurs une exigence de la plupart des référentiels (ISO 27001, NIS2) et une preuve de conformité très appréciée des auditeurs et des assureurs.
Ce chapitre propose deux niveaux de simulation :
- Un simulateur interactif pour s’entraîner seul sur le scénario LogiTrans.
- Trois exercices sur table (tabletop exercises) à animer en équipe.
1. Simulateur interactif : rejouez l’incident LogiTrans
Section titled “1. Simulateur interactif : rejouez l’incident LogiTrans”Vous êtes l’Incident Manager. À chaque étape, choisissez une décision. Trois jauges évoluent :
- Maîtrise de l’attaque : l’attaque est-elle stoppée et le risque de retour écarté ?
- Preuves : pourra-t-on encore reconstituer les faits, porter plainte, faire jouer l’assurance ?
- Conformité : respecte-t-on les obligations légales et la politique interne ?
2. Animer un exercice sur table
Section titled “2. Animer un exercice sur table”Le principe
Section titled “Le principe”Un exercice sur table réunit les acteurs de la réponse autour d’un scénario fictif. L’animateur distribue des injects (nouvelles informations) à intervalles réguliers ; les participants discutent et décident comme s’ils y étaient. Aucun système n’est touché : on teste les processus, les rôles et les décisions, pas les outils.
Les rôles
Section titled “Les rôles”| Rôle | Mission |
|---|---|
| Animateur | Présente le scénario, distribue les injects, relance, fait respecter le temps |
| Joueurs | Tiennent leur rôle réel (IM, RSSI, DPO, DG, communication…) |
| Observateurs | Notent les décisions, les hésitations et les écarts avec la politique |
| Secrétaire | Tient la main courante de l’exercice, exactement comme en situation réelle |
Le déroulé type (2 h)
Section titled “Le déroulé type (2 h)”| Temps | Séquence |
|---|---|
| 0:00 – 0:10 | Règles du jeu : environnement sans jugement, scénario fictif, on joue son vrai rôle |
| 0:10 – 1:30 | Déroulé des injects et prises de décision |
| 1:30 – 1:50 | « Hot wash » : retour à chaud, chacun donne un point positif et un point à améliorer |
| 1:50 – 2:00 | Clôture et prochaines étapes |
| Sous 15 jours | Rapport d’exercice et plan d’action |
Les règles d’or
Section titled “Les règles d’or”- Le scénario doit être plausible pour l’organisation (utilisez votre registre des risques pour le choisir).
- Les participants utilisent les vrais documents : politique, RACI, annuaire de crise, playbooks.
- On ne « gagne » pas un exercice : un exercice réussi est un exercice qui révèle des failles avant l’attaquant.
Exercice A — Rançongiciel après un hameçonnage de la comptabilité
Section titled “Exercice A — Rançongiciel après un hameçonnage de la comptabilité”Risque du registre : R-05 · Durée : 1 h 30 · Joueurs : IM, RSSI, DPO, DG, DAF, Communication
Situation initiale : mardi, 09 h 10. Une comptable appelle le support : ses fichiers ont une extension inconnue et un message s’affiche à l’écran.
| T+ | Inject | Questions à poser aux joueurs |
|---|---|---|
| 0 min | Le poste de la comptable affiche une note de rançon | Qualification ? Gravité ? Premier geste sur le poste ? |
| 10 min | Deux autres postes de la comptabilité présentent les mêmes symptômes | La gravité change-t-elle ? Qui prévenir ? Isoler quoi ? |
| 20 min | Le partage réseau de la comptabilité sur srv-files01 est en partie chiffré | Isoler srv-files01 ? Qui décide ? Impact métier ? |
| 35 min | L’EDR signale que la comptable avait ouvert, la veille, une pièce jointe « facture fournisseur » | Quels autres destinataires ? Comment les retrouver et les prévenir ? |
| 50 min | La paie doit être envoyée à la banque demain | Mode dégradé ? Priorisation de la restauration ? |
| 65 min | Un journaliste local appelle le standard | Qui répond ? Quel message ? |
| 80 min | La note de rançon menace de publier des bulletins de paie | Notification ? Personnes concernées (salariés) ? Paiement ? |
Corrigé indicatif (animateur)
- T+0 : P3 au départ (un poste) ; isoler le poste du réseau sans l’éteindre (EDR ou câble), ne pas le redémarrer.
- T+10 : passage en P2, voire P1 si des serveurs sont touchés ; RSSI prévenu ; isolement des trois postes ; recherche d’autres postes via l’EDR.
- T+20 : P1 ; isolement de srv-files01 selon la délégation du RACI, DG informé ; vérification immédiate que les sauvegardes hors ligne sont intactes et déconnectées.
- T+35 : recherche de tous les destinataires du courriel dans la passerelle de messagerie, suppression du message dans les boîtes, réinitialisation des mots de passe des personnes qui ont cliqué.
- T+50 : la paie est une valeur métier critique : restauration prioritaire ou procédure de secours convenue avec la banque.
- T+65 : aucun commentaire improvisé ; renvoi vers le porte-parole unique ; déclaration courte validée par le DG.
- T+80 : bulletins de paie = données personnelles de salariés → analyse du DPO, notification sous 72 h si risque, information des salariés ; pas de paiement, information des autorités et de l’assureur.
Exercice B — Fuite du portail client signalée par un tiers
Section titled “Exercice B — Fuite du portail client signalée par un tiers”Risques du registre : R-04, R-06 · Durée : 1 h 15 · Joueurs : IM, RSSI, DPO, Directeur commercial, Juridique
Situation initiale : jeudi, 16 h 00. Un chercheur en sécurité écrit à l’adresse de contact : il affirme qu’un fichier contenant des identifiants de clients du portail de suivi (srv-web01) circule sur un forum.
| T+ | Inject | Questions à poser aux joueurs |
|---|---|---|
| 0 min | Courriel du chercheur avec un extrait de 10 lignes (adresses et identifiants de clients réels) | Comment vérifier sans aggraver la fuite ? Qui répond au chercheur ? |
| 15 min | Les journaux du portail montrent des milliers de connexions réussies depuis des IP variées la semaine passée | Qualification ? Gravité ? Que protéger en premier ? |
| 30 min | Le portail est maintenu par un prestataire web ; son contrat ne prévoit aucune clause sécurité | Que peut-on exiger ? Que manque-t-il au contrat ? |
| 45 min | Un gros client européen demande par écrit si ses données sont concernées | Que répondre, qui valide, dans quel délai ? |
| 60 min | L’enquête montre que les mots de passe du portail étaient stockés de façon réversible | Impact sur la notification ? Sur le plan d’action ? |
Corrigé indicatif (animateur)
- T+0 : remercier le chercheur, lui demander de ne pas diffuser davantage ; manipuler l’extrait comme une preuve (chaîne de conservation) ; ne pas tester les identifiants sur le portail.
- T+15 : P1 (données clients, activité avérée) ; réinitialisation forcée de tous les mots de passe du portail, blocage des IP suspectes, ajout d’une limitation de tentatives et du MFA pour les clients.
- T+30 : exiger du prestataire les journaux et un rapport ; au RETEX, ajouter des clauses sécurité (notification sous 24 h, droit d’audit, exigences minimales) à tous les contrats de sous-traitance → nouveau risque au registre.
- T+45 : réponse factuelle, validée par le juridique et le DG, sans affirmation non vérifiée ; engagement sur une date de mise à jour.
- T+60 : stockage réversible = risque élevé pour les personnes (réutilisation des mots de passe ailleurs) → notification de l’autorité et information des clients, avec conseil de changer leur mot de passe partout où il est réutilisé ; action corrective : hachage adapté (Argon2, bcrypt).
Exercice C — Cellule de crise de direction
Section titled “Exercice C — Cellule de crise de direction”Durée : 45 min · Joueurs : DG, DAF, DRH, Directeur commercial, RSSI, DPO, Juridique, Communication
Exercice purement décisionnel, à partir de l’incident LogiTrans (chapitres 3 à 7), pour entraîner la direction.
| T+ | Inject | Décision attendue |
|---|---|---|
| 0 min | Synthèse de l’incident en 5 lignes par le RSSI | Activer la cellule de crise ? Qui la pilote ? |
| 10 min | ERP arrêté, 25 M FCFA de pertes par jour, reconstruction estimée à 10 h | Reconstruire ou attendre ? Mode dégradé ? |
| 20 min | Le DPO rappelle l’échéance des 72 h | Valider la notification initiale ? |
| 30 min | Demande de rançon avec menace de publication | Payer ? Qui prévenir ? |
| 40 min | Un client majeur menace de résilier son contrat | Qui l’appelle ? Avec quel message ? |
Livrable : un registre des décisions complet (modèle au chapitre 6) avec, pour chaque décision, les options écartées et la justification.
Grille d’évaluation d’un exercice
Section titled “Grille d’évaluation d’un exercice”À remplir par les observateurs (1 = insuffisant, 4 = maîtrisé) :
| Critère | 1 | 2 | 3 | 4 | Observations |
|---|---|---|---|---|---|
| Qualification et gravité correctes et rapides | |||||
| Escalade conforme au RACI | |||||
| Main courante tenue, horodatée, faits ≠ hypothèses | |||||
| Préservation des preuves prise en compte | |||||
| Confinement adapté (ni trop tard, ni destructeur de preuves) | |||||
| Obligations de notification identifiées avec leurs délais | |||||
| Communication maîtrisée (porte-parole, messages validés) | |||||
| Décisions documentées avec justification | |||||
| Utilisation des documents existants (politique, playbooks) | |||||
| Enseignements et actions identifiés |
Projet final du module
Section titled “Projet final du module”Choisissez une organisation (la vôtre, une organisation réelle anonymisée ou LogiTrans) et produisez :
| # | Livrable | Chapitre de référence |
|---|---|---|
| 1 | Politique de gestion des incidents (3–5 pages) | 2 |
| 2 | Matrice RACI et grille de gravité | 2 |
| 3 | Inventaire des actifs avec criticité, RTO et RPO | 3 |
| 4 | Registre des risques (au moins 5 scénarios) | 2, 3 |
| 5 | Un playbook pour votre risque le plus élevé (détection → RETEX) | 4 à 7 |
| 6 | Le tableau de vos obligations de notification avec leurs délais | 7 |
| 7 | Un exercice sur table animé, avec main courante, grille d’évaluation remplie et rapport d’exercice | Ce chapitre |
| 8 | Plan d’action daté et mise à jour du registre des risques après l’exercice | 7 |
🎯 Pour aller plus loin : une fois ces processus maîtrisés, entraînez-vous côté technique dans des environnements prévus pour cela (plateformes de formation blue team, laboratoires de votre organisation), toujours avec une autorisation écrite.
Retour au sommaire : Formation Cybersécurité →