La vision de Cyber Academy
Un exercice sur table est une simulation sous forme de discussion d'un scénario perturbateur, conduite avec l'équipe de réponse réunie autour d'une table. Peu coûteux, rapide, il révèle les lacunes qu'aucune revue documentaire ne détecte. Pratique exigée par ISO 22301, NIS 2 et DORA, et l'activité offrant le meilleur retour sur investissement dans un programme BCM. Planifiez-les trimestriellement, pas annuellement.
Ce qu'est réellement un exercice sur table
Un exercice sur table réunit dans une même salle les personnes qui auraient à répondre à une perturbation, leur déroule un scénario réaliste et leur demande d'expliquer ce qu'elles feraient, étape par étape. Personne ne touche aux systèmes de production. Personne ne bascule quoi que ce soit vers un site de secours. Tout l'intérêt réside dans la conversation : qui décide, qui est appelé, ce que dit le plan par rapport à ce que l'équipe ferait vraiment, et où le document reste muet précisément au moment où une décision s'impose. L'exercice est fondé sur la discussion par conception, ce qui le rend peu coûteux et rapide à mener.
Ce faible coût explique pourquoi il s'agit de l'activité au meilleur rendement d'un programme de continuité ou de réponse aux incidents. Un animateur présente une situation initiale, puis injecte de nouvelles informations à mesure que la discussion avance : la sauvegarde est elle aussi chiffrée, la presse a l'information, le responsable d'astreinte est injoignable. L'équipe raisonne à voix haute, et les lacunes apparaissent devant les personnes capables de les corriger. Une revue documentaire ne produit jamais cela. Lire un plan confirme qu'il existe. Dérouler un scénario révèle si quelqu'un le comprend, si la liste de contacts est à jour et si deux équipes supposent chacune que c'est l'autre qui déclare l'incident.
En quoi il diffère des autres types d'exercices
Les exercices sur table se situent à une extrémité d'un éventail de rigueur. Ils constituent délibérément le format le plus léger, ce qui les rend adaptés à une pratique fréquente. Les exercices plus lourds valident les mécanismes dont l'exercice sur table ne fait que parler, à un coût et un niveau de perturbation bien supérieurs.
| Type d'exercice | Ce qu'il fait | Coût et perturbation |
|---|---|---|
| Exercice sur table | Déroulé d'un scénario fondé sur la discussion, autour d'une table ; fait apparaître les lacunes de décision et de plan | Faible |
| Répétition / drill | Répétition étape par étape d'une procédure unique, comme un arbre d'appel ou une restauration | Faible à modéré |
| Exercice fonctionnel | Activation réelle de fonctions de réponse précises sans affecter la production | Modéré à élevé |
| Test grandeur nature / en conditions réelles | Bascule ou restauration réelle dans des conditions proches d'un véritable incident | Élevé |
L'erreur courante consiste à traiter l'exercice sur table comme un substitut au test en conditions réelles. Il ne l'est pas. Un exercice sur table prouve que les personnes connaissent le plan et savent décider ; seul un test fonctionnel ou grandeur nature prouve que les sauvegardes se restaurent réellement et que les objectifs de reprise sont atteignables. Un programme mature utilise les deux : des exercices sur table fréquents alimentent les enseignements qui rendent les tests réels, rares et coûteux, dignes d'être menés.
La place des exercices sur table dans les normes et la réglementation
Réaliser des exercices n'est pas facultatif au regard des référentiels qui régissent la résilience. ISO 22301, la norme internationale relative aux systèmes de management de la continuité d'activité, exige que les dispositifs de continuité fassent l'objet d'exercices et de tests, et l'exercice sur table est le moyen le plus courant par lequel les organisations satisfont cette exigence entre deux tests réels. Dans l'Union européenne, la directive NIS 2 attend des mesures de continuité d'activité et de gestion de crise de la part des opérateurs des secteurs essentiels et importants, et le Digital Operational Resilience Act fixe des attentes de test explicites pour les entités financières, où les exercices fondés sur des scénarios font partie du programme de tests de résilience.
Ce que recherchent les auditeurs et les régulateurs, ce n'est pas seulement qu'un exercice ait eu lieu, mais qu'il ait été documenté et suivi d'effet. Un exercice sur table qui ne produit aucun compte rendu ni aucune action corrective relève du spectacle. La valeur se concrétise dans le rapport de retour d'expérience : ce qui a échoué, qui est responsable de la correction et quand elle sera retestée. C'est cette boucle, du scénario au constat, puis à la correction et à l'exercice suivant, qui transforme un exercice sur table d'une simple case à cocher en moteur qui maintient un programme de continuité à jour.
Questions fréquentes
01Quelle est la différence entre un exercice sur table et un test grandeur nature ?
Un exercice sur table est un déroulé fondé sur la discussion, où l'équipe parcourt un scénario sans toucher aux systèmes en production ; il est donc peu coûteux et rapide. Un test grandeur nature bascule ou restaure réellement les systèmes dans des conditions proches du réel, ce qui est bien plus coûteux mais constitue le seul moyen de prouver que la reprise technique fonctionne.
02À quelle fréquence faut-il mener un exercice sur table ?
Plus souvent qu'une fois par an. Les plans se périment vite à mesure que les personnes, les fournisseurs et les systèmes changent ; de nombreux programmes mènent donc des exercices sur table trimestriels et réservent les tests réels, plus rares et plus coûteux, à la validation de la reprise technique.
03Qui doit participer à un exercice sur table ?
Les personnes qui répondraient réellement : le responsable d'incident ou de crise, les intervenants informatiques et sécurité, les responsables métier des activités touchées, ainsi que la communication et le juridique lorsque le scénario le justifie. La direction doit participer aux décisions qui lui reviennent, car c'est souvent là qu'apparaissent les véritables lacunes.
04Un exercice sur table satisfait-il aux exigences de test d'ISO 22301 ou de DORA ?
Il y contribue mais les satisfait rarement à lui seul. ISO 22301 et DORA attendent que les dispositifs de continuité et de résilience fassent l'objet d'exercices, et un exercice sur table documenté aide à le démontrer, mais les régulateurs attendent aussi des tests fonctionnels et réels qui prouvent que la reprise fonctionne réellement.
05Qu'est-ce qui rend un exercice sur table efficace ?
Un scénario réaliste, des injections bien minutées qui forcent des décisions, une discussion honnête plutôt qu'une récitation du plan, et un rapport de retour d'expérience qui attribue des actions correctives avec des responsables et des échéances. Sans ce suivi documenté, les lacunes que vous avez trouvées ne sont jamais comblées.