5 min de lecture
L’exercice tabletop révèle ce que votre plan oublie
Un vendredi, à 18 h, la responsable de la planification d’une entreprise industrielle de 400 personnes découvre sur un serveur de fichiers des documents renommés et une demande de rançon. L’entreprise est fictive, et cette soirée imaginaire, six de ses responsables l’ont jouée un mardi matin autour d’une même table, ce qu’on appelle un exercice tabletop. Aucun système n’a été touché et personne n’a couru. En trois heures, pourtant, l’exercice a fait apparaître des lacunes que la relecture du plan de crise n’avait jamais montrées, et c’est cette capacité à révéler ce qu’un plan oublie qui fait de l’exercice tabletop l’outil de préparation le moins cher dont on dispose.
Trois heures autour d’une table
Le principe tient en peu de mots. Les personnes qui siégeraient réellement dans la cellule de crise, ici la direction générale, l’informatique, la production, les ressources humaines, le juridique et la communication, se retrouvent. Un animateur annonce ce qui se passe, le groupe dit ce qu’il ferait, et l’animateur fait évoluer la situation. Dans notre entreprise fictive, la soirée se déroule par petites touches. À 18 h 10, la note de rançon est confirmée. À 18 h 25, le responsable des achats d’un grand client écrit que les commandes automatiques de la semaine ne sont pas arrivées. À 18 h 40, le prestataire informatique constate que le serveur de sauvegarde est chiffré lui aussi. À 19 h, un journaliste local appelle la standardiste pour savoir si l’entreprise est victime d’une cyberattaque.
Chaque information arrive quand l’animateur la donne, et non quand le groupe est prêt, ce qui oblige à décider avec ce qu’on sait. Cette contrainte, légère autour d’une table, suffit à faire ressortir ce que la lecture tranquille du plan laissait dans l’ombre.
Ce que l’exercice met au jour
Ce que le groupe découvre ce mardi-là ressemble à ce que découvrent beaucoup d’organisations. La liste des contacts de crise est périmée : deux des numéros ne répondent plus. Personne ne sait avec certitude qui a le droit de couper un système critique un vendredi soir, la production tournant en trois équipes. La juriste apprend l’incident tard, à 19 h 30, alors que des délais courent déjà. Le règlement général sur la protection des données prévoit une notification à l’autorité dans les 72 heures après la prise de connaissance d’une violation de données personnelles, lorsqu’elle est requise, et la directive NIS2 demande aux entités concernées une alerte précoce dans les 24 heures pour un incident important. Dans la salle, personne ne sait à qui appartient la décision de notifier, ni à quelle heure le compte à rebours a commencé.
La communication, de son côté, ne sait pas ce qu’elle a le droit de dire au journaliste, ni à qui le demander. Chacun de ces points a l’air mineur pris seul, et aucun ne figurait dans le plan comme un risque. Ils ont pourtant un point commun : ils ne se voient pas dans un document, ils se voient quand quelqu’un doit agir. L’exercice oblige à traduire chaque phrase du plan en geste. « La cellule de crise est activée » devient une question concrète : activée par qui, et comment les autres le savent-ils ?
Comment le conduire pour qu’il serve
Quelques choix déterminent la valeur d’un exercice. Le premier est le scénario : un rançongiciel découvert un vendredi soir sur des serveurs de fichiers parle davantage aux participants qu’une attaque d’État improbable, parce qu’ils peuvent s’y projeter. Le deuxième est l’objectif, qui doit être posé dès le début : on teste la prise de décision et la coordination, pas les personnes, et chacun doit pouvoir dire « je ne sais pas » sans que cela soit noté contre lui. Le troisième est la distribution des rôles, confiée à ceux qui les tiendraient vraiment, car un directeur qui joue le technicien n’apprend rien sur sa propre fonction.
L’animateur, enfin, tient le temps et prend des notes. Juste après la dernière information, un débriefing à chaud permet de dire ce qui a fonctionné, ce qui n’a pas fonctionné, et de fixer pour chaque écart une action, un responsable et une date. Cette dernière étape est celle qu’on bâcle le plus souvent, alors qu’elle porte l’essentiel de la valeur : un constat sans responsable est oublié en un mois.
Ses limites, et ce qui vient après
L’exercice tabletop a des limites qu’il vaut mieux connaître. Préparer un bon scénario prend plusieurs jours de travail, et les notes de l’animateur sont souvent la seule trace de ce qui s’est dit. Surtout, un groupe réuni dans une salle calme dit ce qu’il ferait, ce qui n’est pas ce qu’il fait à trois heures du matin avec quarante messages en attente : la discussion se substitue parfois à l’action, et la voix la plus forte du groupe finit par trancher pour les autres. Enfin, on le pratique en général une fois par an, ce qui laisse un plan vieillir onze mois entre deux épreuves.
Ces limites ne retirent rien à son intérêt, elles indiquent ce qu’il faut lui ajouter. Après l’exercice, chaque constat devient une action, le plan est relu, et une partie de la soirée est rejouée quelques semaines plus tard pour vérifier que le correctif tient. Pour l’entreprise fictive, cela veut dire une liste de contacts refaite, un responsable de la notification nommé, et une phrase prête pour le journaliste. C’est peu, et c’est précisément ce qui manquait ce vendredi à 18 h.