Exercice de crise cyber
Simulation d'une attaque, sur table ou en conditions réelles, qui éprouve les décisions de la direction et des équipes avant l'incident, et que les assureurs regardent comme un indicateur de sévérité maîtrisée.
Un exercice de crise cyber met une organisation face à un scénario d'attaque fictif pour éprouver sa capacité à décider et à coordonner. Dans sa forme la plus courante, l'exercice sur table, les dirigeants et les responsables concernés réagissent à des informations injectées au fil d'un scénario, sans toucher aux systèmes : faut-il couper le réseau, prévenir les autorités, payer, communiquer, et qui décide ? Les formes plus lourdes simulent l'attaque sur les systèmes ou mobilisent plusieurs organisations, voire plusieurs pays. L'exercice révèle ce qu'aucun audit technique ne montre : les numéros de téléphone qui ne sont plus à jour, le plan de continuité stocké sur le serveur chiffré, la décision que personne ne se sent autorisé à prendre, l'ignorance du délai de plainte ou de notification. Pour l'assureur, c'est un indicateur de la sévérité future, parce que les premières heures d'un incident déterminent une grande part de son coût. Les questionnaires demandent la date du dernier exercice et la participation de la direction, et plusieurs réglementations en font désormais une obligation, notamment pour les entités financières soumises au règlement sur la résilience opérationnelle numérique.
L'agence européenne pour la cybersécurité organise tous les deux ans depuis 2010 l'exercice Cyber Europe, qui réunit des centaines d'organisations de plusieurs dizaines de pays autour d'un scénario sectoriel : le secteur de la santé en 2022, celui de l'énergie en 2024.
tabletop exercise, exercice sur table, simulation de crise cyber
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.