Exercices sur table en cybersécurité pour mettre votre plan d’intervention à l’épreuve

Ce qu’est un exercice sur table en cybersécurité

Un exercice sur table en cybersécurité est une répétition d’incident fondée sur la discussion. Les personnes nommées dans votre plan d’intervention se réunissent, un animateur présente un scénario et pose des questions, et le groupe clarifie les rôles, la coordination et les décisions. Le guide du NIST sur les programmes de tests, de formation et d’exercices, SP 800-84, le décrit ainsi et précise que l’exercice sur table repose uniquement sur la discussion, sans déploiement d’équipement ni d’autres ressources.¹

Vos systèmes restent intacts : l’exercice éprouve le plan, la liste de contacts et le jugement des personnes, un moyen économique, selon le NIST, de vérifier qu’un plan est viable et applicable en situation d’urgence.¹

• Format : une conversation guidée autour d’un scénario, avec de nouveaux faits introduits au fil de l’histoire
• Participants : les décideurs et les personnes qui appliqueraient le plan
• Durée : de deux à huit heures en général selon le NIST, de deux à quatre pour une séance de haute direction¹
• Résultat : un rapport après action et la liste des changements à apporter au plan

Plan d’intervention en cas d’incident : ce que demande le Centre pour la cybersécurité

Un plan d’intervention ne fait ses preuves qu’une fois répété par les personnes qu’il nomme. Le Centre canadien pour la cybersécurité demande : « Testez, revisitez et révisez chaque année votre plan d’intervention en cas d’incident afin d’en assurer l’efficacité. »² Son Guide sur les rançongiciels recommande un exercice sur table pour que chacun connaisse son rôle et les mesures à prendre lors d’une attaque.³

Le même guide résume l’enjeu : « un plan qui aura été mis en pratique au préalable vous aidera à prendre de bonnes décisions » sous la pression d’un incident réel.³ Les contrôles de base du Centre, destinés aux organisations de moins de 500 employés, commencent par un plan écrit qui désigne les responsables des incidents, avec une copie papier à jour.⁴

Secteur public de l’Ontario : répéter le rapport de 72 heures du Règl. de l’Ont. 51/26

Pour les conseils scolaires, collèges, universités, sociétés d’aide à l’enfance et hôpitaux publics visés par le Règlement de l’Ontario 51/26, l’exercice est l’endroit le plus sûr pour répéter le délai de déclaration. Un cyberincident critique doit être signalé au directeur général de la sécurité de l’information du ministère « dès que les circonstances le permettent, mais au plus tard 72 heures après en avoir fait la confirmation ».⁵

Le règlement fixe les obligations de déclaration et laisse le choix des exercices à chaque organisation. L’un de ses critères de cyberincident critique vise un incident qui nécessite ou entraîne des efforts considérables pour l’activation de « plans d’intervention en cas d’incident lié à la cybersécurité » : le plan et le rapport sont donc liés.⁵ Pendant l’exercice, nous chronométrons le moment de la confirmation, vérifions que la personne-ressource principale ou le suppléant peut faire la déclaration et passons en revue les renseignements exigés, de la date et l’heure de l’incident au type d’information touchée. La page sur le Règl. de l’Ont. 51/26 couvre le reste du règlement.

Simulation de cyberattaque : rançongiciel et autres scénarios

Vous choisissez le scénario; nous l’adaptons à vos systèmes et à vos fournisseurs. Un scénario court et concis fonctionne souvent mieux qu’un long, note le NIST, car les participants risquent sinon de disséquer l’histoire et de perdre de vue les objectifs.¹ Chaque scénario est écrit pour votre seule organisation.

Qui doit participer à l’exercice

Toute personne qui a un rôle dans le plan d’intervention doit participer, et la séance s’ajuste à son niveau. Le NIST recommande d’exercer d’abord séparément les équipes de haute direction et les équipes opérationnelles, dont les responsabilités diffèrent, puis de les réunir pour valider leur coordination.¹

Nous fournissons les deux rôles que décrit le NIST : un animateur qui mène la discussion et une personne qui consigne le déroulement, appelée collecteur de données dans SP 800-84.¹ Les trousses d’exercices de l’agence américaine CISA reprennent ces rôles et incluent un rapport après action.⁶

• La personne propriétaire, la direction générale ou le cadre qui tranche
• Les finances, pour les paiements, l’assureur et la question de la rançon
• Votre fournisseur TI ou votre responsable TI
• La personne responsable de la protection des renseignements personnels et, pour les organismes visés par le Règl. 51/26, la personne-ressource principale et son suppléant
• La personne qui parle au personnel, aux clients, aux parents ou aux médias

Le déroulement, du premier fait nouveau au rapport après action

Un exercice sur table se déroule en cinq étapes : préparation avec l’organisateur, courte séance d’information, scénario qui progresse par faits nouveaux, retour à chaud, puis rapport écrit qui alimente le plan. Chaque étape laisse une trace écrite.

Ce que vous avez en main après l’exercice

Vous repartez avec un plan éprouvé, la trace de ce que l’épreuve a montré et une courte liste de corrections, chacune avec un nom et une date.

• Un rapport après action : ce qui a fonctionné, les lacunes, qui fait quoi
• Votre plan de réponse aux incidents mis à jour ou complété, avec une liste de contacts qui comprend la ligne de réclamation de l’assureur, le Centre canadien pour la cybersécurité, la police locale et l’organisme de réglementation dont vous relevez
• Une liste de mesures avec responsables et dates cibles
• Une date proposée pour le prochain exercice

À quelle fréquence organiser un exercice sur table

Une fois par année constitue la base, puisque le Centre pour la cybersécurité demande de tester et de réviser le plan d’intervention chaque année.² Le NIST ajoute les moments où un exercice supplémentaire est utile : après des changements dans l’organisation, après une mise à jour du plan et après la publication de nouvelles lignes directrices.¹

Pour une petite organisation : un exercice de direction par année, plus une courte séance au départ d’une personne clé ou au changement de fournisseur TI. La date suivante figure dans le rapport, pour que le rythme survive au roulement du personnel.

Les limites de l’exercice

L’exercice sur table se déroule sur papier : nous n’attaquons, ne balayons et ne modifions rien dans vos systèmes. Le plan reste le vôtre, et votre direction en approuve la version finale.

Si un incident réel survient, l’exercice s’arrête et notre service de réponse aux incidents prend le relais. Les tests techniques comme le test d’intrusion sont un travail distinct, offert sur demande.