Preparation et Entrainement

Exercices de Crise Cyber

Preparez votre organisation a faire face aux cyberattaques. Exercices de simulation ransomware, test de votre PCA/PRA, entrainement de votre cellule de crise.

Organiser un exerciceResponse a incident
72h
delai moyen avant detection d'une intrusion
60%
des PME ferment apres une cyberattaque majeure
x3
temps de reprise sans exercice prealable

Pourquoi realiser des exercices de crise ?

La gestion d'une crise cyber ne s'improvise pas. Selon l'ANSSI, les organisations qui n'ont jamais realise d'exercice mettent en moyenne trois fois plus de temps a reprendre leurs activites apres une attaque. Les premiers reflexes sont souvent les mauvais : extinction precipitee des systemes, perte de preuves forensiques, communication de crise desorganisee.

Un exercice de crise permet de confronter votre organisation a une attaque simulee dans un cadre maitrise. Il transforme la gestion theorique en reflexes concrets : qui fait quoi, dans quel ordre, avec quels outils. Il revele les failles dans vos procedures, vos plans de continuite et votre communication.

Le guide de l'ANSSI "Organiser un exercice de gestion de crise cyber", co-realise avec le Club de la Continuite d'Activite (CCA), propose une methodologie basee sur la norme ISO 22398:2013. Nos exercices suivent ce referentiel.

Types d'exercices proposes

Exercice sur table (Tabletop)

Discussion structuree autour d'un scenario de crise. Les participants analysent la situation, identifient les actions a mener et les decisions a prendre. Ideal pour sensibiliser la direction et tester les procedures sans mobiliser les systemes.

2-3hDirectionSensibilisation

Exercice fonctionnel

Simulation en temps reel avec injection de stimuli (faux emails, appels, alertes). La cellule de crise est activee et doit reagir comme en situation reelle. Test des communications internes et externes, de la coordination entre equipes.

4-8hCellule criseOperationnel

Exercice technique (Red Team / Blue Team)

Simulation d'attaque reelle sur vos systemes de test. L'equipe Red Team lance des attaques pendant que l'equipe Blue Team detecte et repond. Test des capacites de detection SOC, des procedures de reponse et de la coordination technique.

1-5 joursEquipe IT/SOCTechnique

Test PCA/PRA Cyber

Validation de vos plans de continuite et de reprise d'activite face a un scenario cyber (ransomware, destruction de donnees). Test des sauvegardes, des procedures de restauration, des sites de repli, des delais de remise en service.

1-2 joursDSI + MetiersResilience

Scenarios de crise

Ransomware

Chiffrement massif des donnees, demande de rancon, serveurs inaccessibles. Decision de paiement, communication publique, restauration.

Fuite de donnees

Exfiltration de donnees clients, publication sur le Dark Web. Notification CNIL, communication clients, gestion de la reputation.

Compromission fournisseur

Attaque supply chain via un prestataire. Evaluation de l'impact, isolation des systemes, communication avec les partenaires.

Attaque DDoS

Indisponibilite des services en ligne, impact business. Activation des protections, communication clients, plan B.

Notre methodologie

01
Cadrage et objectifs

Definition du perimetre, des participants, des objectifs pedagogiques

02
Conception du scenario

Scenario realiste adapte a votre contexte, chronogramme, stimuli

03
Animation de l'exercice

Facilitation, injection des stimuli, observation des reactions

04
Debriefing a chaud

Retour immediat avec les participants, premieres impressions

05
Rapport et plan d'action

Analyse detaillee, points forts, axes d'amelioration, recommandations

Preparez votre organisation

Organisez un exercice de crise cyber adapte a votre contexte. De l'exercice sur table a la simulation technique Red Team / Blue Team.

Planifier un exercice

Questions fréquentes

Qu'est-ce qu'un exercice de crise cyber ?

C'est une simulation d'attaque jouée par les équipes réelles, dans les conditions de décision d'une vraie crise, sans toucher aux systèmes de production. L'objectif n'est pas de tester la technique mais l'organisation : qui décide, avec quelles informations, dans quels délais, et qui communique.

Quelle différence avec un test technique ?

Un test technique évalue des machines, un exercice de crise évalue des humains et des procédures. La plupart des entreprises découvrent lors du premier exercice que leur plan existe sur le papier mais qu'aucune des personnes citées ne le connaît, ou que les numéros de téléphone sont stockés sur le système qui vient d'être chiffré.

Combien de temps dure un exercice ?

Une demi-journée pour un format sur table, deux jours pour un exercice complet incluant la communication de crise et la reprise. Le format sur table est le bon point de départ : il coûte peu, mobilise le comité de direction quelques heures, et révèle déjà l'essentiel des lacunes organisationnelles.

Qui doit participer ?

La direction générale d'abord, parce que les décisions de crise lui reviennent : payer ou non, communiquer ou non, arrêter ou non l'activité. Puis l'informatique, le juridique, les ressources humaines et la communication. Un exercice réservé aux équipes techniques passe à côté de l'essentiel des blocages réels.

Quels scénarios sont les plus utiles ?

Le rançongiciel avec exfiltration de données reste le plus formateur, parce qu'il combine indisponibilité, chantier juridique et pression médiatique. La fraude au virement et la compromission d'un prestataire viennent ensuite. Le scénario doit être plausible pour votre activité, sinon les participants n'entrent pas dans le jeu.

Est-ce exigé par NIS2 ou ISO 27001 ?

Les deux exigent de tester la continuité d'activité et l'efficacité des mesures, sans imposer nommément un exercice. Dans les faits, l'exercice de crise est la preuve la plus lisible qu'un auditeur puisse examiner, avec son compte rendu, ses écarts constatés et son plan d'action.

Que produit concrètement un exercice ?

Un compte rendu qui liste les écarts observés, classés par gravité, et un plan d'action daté. Les constats les plus fréquents sont toujours les mêmes : annuaire de crise introuvable, absence de décision claire sur qui parle aux clients, et méconnaissance des délais de 72 heures pour notifier la CNIL et déposer plainte.

À quelle fréquence faut-il renouveler ?

Une fois par an suffit pour maintenir les réflexes, avec un scénario différent à chaque fois. Un exercice unique produit un plan, la répétition produit une capacité. Les entreprises qui gèrent le mieux les crises réelles sont celles qui en ont joué plusieurs, pas celles qui ont le plus beau document.

Voir aussi

Cybersécurité près de chez vous

Nos autres services