Exercice de crise cyber : s’entraîner sur l’outil qui servira le jour J

Beaucoup d’organisations disposent aujourd’hui d’un plan de continuité d’activité, d’une liste de numéros d’astreinte et de fiches réflexes rangées sur un serveur de fichiers. Le jour d’une cyberattaque, une partie de ce dispositif devient souvent inutilisable, parce que le serveur est chiffré, que la messagerie est compromise ou que personne ne sait plus où trouver la dernière version de l’annuaire de crise. L’exercice de crise sert à découvrir ces failles avant qu’un attaquant ne les révèle, à condition de le mener sur les moyens qui serviront réellement le jour venu.
 

Pourquoi s’entraîner sur l’outil de secours

 
L’ANSSI et le Club de la continuité d’activité ont publié un guide de référence consacré à l’organisation d’un exercice de gestion de crise cyber. On y retrouve une idée centrale : un exercice n’a de valeur que s’il fait travailler les participants dans des conditions proches de la réalité. Une cellule de crise qui s’entraîne dans sa salle de réunion habituelle, avec ses ordinateurs et sa messagerie d’entreprise, apprend peu de choses sur sa capacité à fonctionner quand ces outils ne sont plus disponibles.

Les réglementations vont dans le même sens. DORA impose aux entités financières de tester régulièrement leurs plans de continuité, et NIS2 demande aux entités essentielles et importantes de prévoir la gestion des crises et la continuité des activités parmi leurs mesures de sécurité. Dans les deux cas, l’organisation doit pouvoir montrer que ses dispositifs ont été éprouvés.
 

Préparer la plateforme avant l’exercice

 
Whaller RESILIENCE est une plateforme collaborative indépendante de votre système d’information, préparée en temps calme et activable à tout moment. Avant de lancer un exercice, quelques réglages méritent d’être faits avec soin, car ce sont eux qui feront gagner du temps le jour d’une vraie crise.

Les annuaires sont importés par lots, sans synchronisation automatique avec votre système d’information, ce qui évite qu’une compromission se propage à la plateforme de secours. Il faut donc décider qui importe ces listes et à quel rythme, pour que les départs et les arrivées soient pris en compte. Les sphères se configurent ensuite par cercle de décision : une sphère pour la cellule stratégique, une pour l’équipe technique, une pour le juridique et la communication, une autre pour les référents de vos principaux fournisseurs. Chaque sphère n’est visible que des personnes habilitées.

Enfin, tout ce qui doit rester accessible quand le serveur de fichiers est chiffré gagne à être déposé à l’avance : fiches réflexes, annuaire de crise avec des numéros joignables hors des outils de l’entreprise, messages types par public, trame de notification à la CNIL ou à l’autorité compétente, coordonnées de l’assureur et du prestataire de réponse à incident.

Dérouler l’exercice sur Whaller RESILIENCE

 
Le scénario peut rester simple : un rançongiciel qui chiffre les serveurs un vendredi soir, une fuite de données annoncée par un attaquant sur un forum, ou l’indisponibilité prolongée d’un prestataire critique. L’essentiel est que les participants découvrent la situation au fil de l’eau, à partir de messages injectés par l’équipe d’animation dans les sphères de la plateforme.

Pendant l’exercice, la cellule utilise les outils qu’elle aurait le jour d’une vraie crise : les fils de discussion et la messagerie instantanée pour échanger, la visioconférence pour les points de situation, la coédition pour tenir une version unique de la main courante et des éléments de langage, les tâches pour répartir les actions. Comme chaque échange est horodaté, l’équipe d’animation peut ensuite reconstituer la chronologie précise des décisions.

Les délais réglementaires constituent de bons jalons. On peut demander à la cellule de préparer une alerte précoce NIS2 dans les 24 heures, puis une notification à la CNIL et un dépôt de plainte dans les 72 heures, ce dernier conditionnant l’indemnisation par l’assurance. L’exercice montre alors si les informations nécessaires sont disponibles et si les bonnes personnes sont joignables.
 

Exploiter le retour d’expérience

 
Le débriefing a lieu à chaud, juste après l’exercice, puis à froid quelques jours plus tard. La chronologie conservée dans Whaller RESILIENCE sert de base objective à la discussion, qu’il s’agisse du temps nécessaire pour réunir la cellule, des informations qui ont manqué ou des décisions prises trop tard. Le plan d’action qui en découle peut être suivi dans une sphère dédiée, jusqu’au prochain exercice.

La même plateforme sert aussi pour les crises qui ne relèvent pas du numérique, comme un accident industriel, une catastrophe naturelle ou la mise en sécurité d’un collaborateur à l’étranger. Un exercice réussi bénéficie donc à l’ensemble du plan de continuité d’activité. Whaller RESILIENCE est développée et hébergée en France, et Whaller est titulaire du label Numérique France Garanti.

Préparer votre prochain exercice avec Whaller RESILIENCE

Pour aller plus loin

• Whaller RESILIENCE : la présentation complète
• Communication de crise cyber : sécurisez d’abord le canal
• Directive DORA : sécurisez votre PCA avec Whaller RESILIENCE
• ANSSI : organiser un exercice de gestion de crise cyber