Gestion de crise : l’ANSSI met à disposition des kits d’exercices sectoriels

Face à une menace informatique toujours croissante et en mutation, l’amélioration de la résilience numérique par l’entraînement à la gestion de crise cyber n’est plus seulement une opportunité, mais bien une nécessité pour toutes les organisations.

Demain, l’organisation responsable et génératrice de confiance sera celle qui s’attache à maîtriser le risque numérique et fait preuve de sa capacité à se relever d'une crise d'origine cyber. Or, les crises cyber ont leurs spécificités : technicité du sujet, impacts fulgurants, évolutivité, sortie de crise longue, etc. Il est donc essentiel de s'y préparer. Pour cela, l'organisation d'exercices de gestion de crise cyber est fondamentale.

Des kits sectoriels prêts à l’emploi pour faciliter l’organisation d’exercices

Pour faciliter l’organisation d’exercice, l’ANSSI a élaboré des kits d'exercices de gestion de crise cyber prêts à l'emploi.

Ces kits d’exercices sont adaptés selon 3 degrés de complexité correspondant au niveau de maturité qui peuvent être identifiés en réalisant une auto-évaluation du niveau de préparation à la gestion de crise d’origine cyber à partir de l’outil mis à disposition par l’ANSSI. Les organisations pourront ainsi s’assurer de conduire un exercice adapté à leur besoin.

Selon le niveau de maturité, un exercice sur table (niveau 1), une simulation (niveau 2) ou une simulation avancée (niveau 3) sont proposés.

Les kits sont composés de 4 parties :

1. Un kit animateur/planificateur : ce kit permet à tout animateur (interne ou externe) de pouvoir animer l’exercice au sein de la structure. Il est conseillé que seule l’équipe animation puisse consulter le kit animateur pour assurer la bonne tenue du test et ne pas biaiser la réussite de l’exercice.
2. Un kit joueur : ce kit comporte les règles du jeu, les fiches de bonnes pratiques, ainsi qu’un glossaire pour permettre aux participants de se familiariser avec les concepts. Il doit être partagé avec eux en amont de l’exercice ;
3. Un kit observateur : ce kit permet d’appréhender au mieux le rôle d’observateur et propose un modèle de grille d’observation ;
4. Un chronogramme : ce chronogramme prend la forme d’un tableau qui, ligne par ligne, décrit tout le déroulement chronologique de l’exercice du début (DEBEX) à la fin (FINEX). Il précise également les modalités de transmission des « stimuli » (mail, appel téléphonique, SMS, etc.) et les réactions attendues des joueurs afin de définir et de cadrer les actions directement jouées par les joueurs et celles simulées par l’équipe d’animation.

Un premier kit d’exercice mis à disposition des collectivités territoriales

Un premier kit, téléchargeable ici, est désormais disponible pour permettre aux collectivités territoriales et aux acteurs qui les composent (directions métiers, DSI, etc.) d’organiser un exercice de gestion de crise d’origine cyber. Les scénarios proposés adressent les problématiques clés pour les collectivités territoriales en cas de crise cyber : continuité de la paie des agents, de la gestion de l’état civil, collecte des ordures ménagères, etc. Les kits facilitent également la réalisation d’un exercice sur-mesure en facilitant l'intégrité des données de la recherche propres à chaque type de collectivités.

D'autres kits d'exercices sectoriels seront prochainement proposés par l'ANSSI. Retrouvez ici le guide et toutes les informations liées à l'organisation d'un exercice de gestion de crise cyber. 

L’ANSSI met à disposition un kit d’exercice dédié au secteur de l’Enseignement Supérieur et de la Recherche (ESR)

L’ANSSI met à disposition un kit d’exercice à destination des établissements de l’Enseignement Supérieur et de la Recherche (ESR) disponible ici. Les scénarios proposés adressent les problématiques clés pour les établissements de l’ESR en cas de crise cyber : continuité pédagogique, confidentialité et intégrité de la recherche, gestion administrative (paie, emploi du temps…), etc. Les kits facilitent également la réalisation d’un exercice sur-mesure en facilitant l’intégrité des données de la recherche propres à chaque type de d’établissements.