Il est 3h47 du matin. Le DSI reçoit une alerte critique. En moins d'une heure, la moitié du système d'information est chiffrée. À 6h, le DG est réveillé. À 8h, il faut répondre aux équipes, aux clients, peut-être aux journalistes. À 10h, l'avocat demande ce qui a été notifié à la CNIL, et quand.
Qui décide quoi ? Qui parle à la presse ? Qui autorise, ou interdit, le paiement de la rançon ?
La plupart des COMEX n'ont jamais répondu à ces questions avant d'en avoir besoin. Ce jour-là, il est trop tard pour répéter. C'est précisément ce que l'équipe Piirates permet de tester avant qu'une vraie crise ne survienne, grâce à un exercice de simulation conduit avec votre COMEX.
Ce n'est pas une crise IT, c'est une crise de gouvernance
Une cyberattaque ressemble à un problème technique. Dans les faits, la majorité des décisions qui comptent pendant une crise sont des décisions business, pas techniques. Paie-t-on la rançon ? Quand et comment prévient-on les clients ? Arrête-t-on la production ? Qui a le mandat pour trancher, un dimanche à 4h du matin ?
Aucune de ces questions n'a de réponse technique. Elles demandent une chaîne de commandement claire et des dirigeants qui ont déjà vécu une crise, même simulée.
Le principe du tabletop exercise
Un exercice de crise, ou tabletop exercise, se conduit en salle, sans toucher à un seul système réel. Un facilitateur présente un scénario d'attaque crédible, injecte des informations selon un chrono précis, et observe comment le COMEX réagit et décide.
Même logique qu'un exercice d'évacuation incendie : on n'allume pas de vrai feu, on vérifie que chacun sait quoi faire, dans quel ordre, avec qui.
Chaque exercice de crise est spécifique
Parce que votre gouvernance l'est aussi !
La gestion de crise est avant tout une philosophie qui, couplée à nos compétences techniques multiples, s'adapte à chaque organisation.
Indépendance totale
Expertise
Professionnalisme
5 scénarios qui fonctionnent
| Scénario | Ce qu'il teste |
|---|---|
| Ransomware total à 3h du matin | Chaîne de commandement, gestion de l'incertitude |
| Exfiltration de données clients | Notification CNIL, relation clients/presse |
| Fraude au président (deepfake vocal) | Process de validation financière |
| Compromission via un prestataire | Gestion des tiers, résilience contractuelle |
| Menace de publication si rançon non payée | Décision de payer ou non, coordination juridique/assurance |
Pour un premier exercice, le ransomware à 3h du matin reste le scénario le plus efficace. Impact immédiat, décisions multiples, pression temporelle : les trois ingrédients qui révèlent les vrais comportements sous stress.
Structurer un exercice en 6 étapes
1. Définir l'objectif. Sans objectif clair, l'exercice devient une réunion de plus. Que veut-on tester : la chaîne de commandement ? la communication de crise ? la connaissance du plan de continuité d'activité ?
2. Réunir les bonnes personnes. DG, DAF, Juridique, DRH, DirCom, DSI/RSSI. Le COMEX doit être majoritaire, la DSI informe, elle ne décide pas.
3. Construire le chrono d'injection. Le script précis de l'attaque : quelle information arrive à quel moment, quelle décision elle force.
| Heure | Événement | Décision attendue |
|---|---|---|
| T+0 | Alerte DSI, anomalie critique | Qui déclenche la cellule de crise ? |
| T+1h | Revendication, rançon exigée | Négociation ? Assurance ? |
| T+1h30 | Un journaliste appelle | Qui répond, et que dit-on ? |
| T+2h | Données clients potentiellement exfiltrées | Notification CNIL sous 72h : prêts ? |
4. Conduire l'exercice sans filet. Pas de téléphone, pas de consultation extérieure : le COMEX travaille avec ce qu'il sait réellement. Et pas de jugement pendant l'exercice, l'objectif est de révéler les lacunes, pas de piéger les gens.
5. Débriefer à chaud. C'est l'étape qui génère la valeur : ce qui a marché, ce qui a bloqué (rôles flous, procédures inconnues), ce qui manquait.
6. Transformer en plan d'action. Chaîne de commandement clarifiée, contrat d'assurance relu, PCA testé pour de vrai, prochain exercice planifié. Un exercice sans plan d'action est une réunion oubliée deux semaines plus tard.
Ce qu'un vrai exercice révèle (cas réel, groupe industriel, 800 salariés)
Ransomware simulé un lundi à 6h sur les lignes de production. Revendication à 8h. Un employé anonyme informe les clients sur les réseaux sociaux à 9h. Un journaliste appelle à 10h.
Le débriefing a mis à nu plusieurs failles majeures. Aucune chaîne de commandement nocturne n'était documentée, le DG n'étant joignable que via un assistant lui-même absent le week-end. Personne au COMEX ne connaissait le délai légal de notification CNIL de 72 heures. Le contrat d'assurance cyber n'avait jamais été lu, alors que certaines clauses exigeaient une notification en 24 heures. Le débat sur le paiement de la rançon a duré 40 minutes, sans conclusion.
« Je pensais qu'on était prêts. On ne l'était pas du tout. Et mieux vaut l'avoir découvert ici que le 6 janvier à 4h du matin. »
— DG, groupe industriel
5 erreurs fréquentes
1. Faire l'exercice uniquement avec la DSI. Ça teste la technique, pas la gouvernance.
2. Choisir un scénario trop confortable. Si le COMEX ressort en disant qu'il gère plutôt bien, le scénario n'était pas assez dur.
3. Oublier le Juridique et la Communication. RGPD, contrats, réputation : les angles morts classiques.
4. Traiter le débriefing comme une formalité. C'est là que se joue la valeur de l'exercice.
5. Le faire une seule fois. Un exercice donne un instantané. La résilience se construit dans la répétition.
La question à se poser
Votre COMEX a-t-il déjà été testé sur une vraie décision de crise, pas sur un audit de firewall, mais sur qui décide, et dans quel délai ?
Si la réponse est non, ça vaut la discussion !
Tester votre gouvernance de crise
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Un exercice complet, incluant le déroulé du scénario et le débriefing, dure généralement entre trois et quatre heures. Cette durée permet d'injecter suffisamment d'événements pour mettre le COMEX face à des décisions réelles, sans épuiser l'attention des participants, condition indispensable pour un débriefing de qualité.
Un scénario trop confortable ne révèle rien. L'objectif d'un exercice de crise est de mettre le COMEX en difficulté sur des points précis : incertitude, pression temporelle, absence d'information complète. Si les dirigeants ressortent de l'exercice en estimant avoir bien géré, c'est souvent le signe que le scénario n'était pas assez exigeant.
Un test d'intrusion évalue la résistance technique des systèmes face à une attaque réelle. Un tabletop exercise évalue la gouvernance : la capacité des dirigeants à décider vite et bien face à une crise, sans toucher à un seul système. Les deux approches sont complémentaires et répondent à des questions différentes au sein d'une même stratégie de sécurité.
Un exercice donne un instantané de la préparation du COMEX à un moment donné. La résilience se construit dans la répétition, avec un rythme généralement annuel, ajusté selon les évolutions de l'organisation : changement de dirigeants, nouvelle réglementation, nouveaux prestataires critiques.
