Exercice de simulation de cyberattaque pour PME : mode d'emploi

Vendredi, 7 h 50. Chez un distributeur de pièces de Saint-Jérôme, la répartitrice ne peut plus ouvrir le fichier des commandes. Dans chaque dossier du serveur, un nouveau fichier texte : « Vos fichiers sont chiffrés. »

Qui appelle qui ? Qui décide de débrancher le serveur ? Qui a le numéro de l'assureur ? Que dit-on aux clients qui attendent leurs pièces lundi ?

Si votre équipe ne peut pas y répondre un mardi tranquille, elle aura du mal un vendredi en pleine crise. Un exercice sur table sert à jouer la crise à blanc pour trouver les trous. Voici un mode d'emploi et un scénario prêt à jouer, conçu pour une PME québécoise de 20 à 50 employés.

Qu'est-ce qu'un exercice sur table ?

Un exercice sur table est une séance où les décideurs déroulent, étape par étape, un scénario fictif de cyberattaque pour vérifier que leur plan de réponse tient la route.

Dans sa publication ITSAP.40.003, mise à jour en janvier 2026, le Centre canadien pour la cybersécurité demande de concevoir des exercices pour mettre à l'essai le plan et l'intervention, et de le tester, le revoir et le réviser chaque année. Son guide ITSM.10.014 va dans le même sens : « Exécutez un exercice de simulation avec les employées et employés clés ».

Ce n'est ni un test d'intrusion ni une simulation d'hameçonnage : on teste les décisions, les rôles et les communications. Pas encore de plan ? Partez de notre modèle de plan de réponse aux incidents ; l'exercice peut aussi servir à le bâtir.

Préparer l'exercice : rôles et logistique

Une préparation légère de deux ou trois semaines suffit : choisir les objectifs, réunir les bonnes personnes et imprimer ce dont vous auriez besoin si le réseau tombait.

Avant la séance :

• Fixez deux ou trois objectifs, par exemple : joindre l'assureur en moins de 30 minutes, localiser la dernière sauvegarde hors ligne, savoir qui décide d'aviser la CAI.
• Imprimez le plan d'intervention et la liste de contacts. Le Centre recommande des moyens de communication de rechange, comme des numéros de cellulaire.
• Invitez votre fournisseur TI et, si possible, votre courtier d'assurance.
• Bloquez deux heures, téléphones rangés.
• Annoncez la règle : on évalue le plan, pas les personnes.

Le scénario prêt à jouer : « Le rançongiciel du vendredi »

Ce scénario de deux heures suit un rançongiciel avec vol de données, un type d'incident dont le coût moyen atteint 330 000 $, selon des données de l'industrie citées par Insurance Business Canada en octobre 2025.

Contexte (fictif) : Pièces Laurentides inc., 35 employés à Saint-Jérôme. Serveur de fichiers sur place, Microsoft 365, logiciel comptable, paie aux deux semaines, fournisseur TI externe, police d'assurance cyber.

Comptez de 10 à 15 minutes par rebondissement. Pour comparer les réponses de l'équipe aux bons réflexes, gardez sous la main notre article sur les 24 premières heures d'un rançongiciel.

Animer sans piéger : les règles du jeu

L'animateur fait parler, il ne corrige pas : le but est de révéler ce que l'équipe ferait vraiment, y compris les « je ne sais pas ».

• On joue avec ce qu'on a. Si personne ne connaît le numéro de l'assureur, on le cherche pour vrai, et on note le temps que ça prend.
• On creuse. Un « on restaurerait les sauvegardes » appelle la question : lesquelles, testées quand, par qui ?
• On tranche. Chaque rebondissement se termine par une décision, même provisoire, et le nom de qui l'a prise.
• On respecte l'horaire. Mieux vaut couper un débat et le noter que d'escamoter la fin.

Le rebondissement de lundi est le moment Loi 25. Le responsable de la protection des renseignements personnels doit expliquer comment il inscrirait l'incident au registre (art. 3.8), comment il évaluerait le risque de préjudice sérieux, et comment il aviserait la Commission d'accès à l'information et les personnes concernées « avec diligence » (art. 3.5). Il n'y a pas de délai fixe de 72 heures dans la Loi 25. Pour rendre l'exercice concret, remplissez une ligne fictive dans notre modèle de registre des incidents. En vrai, validez cette analyse avec votre conseiller juridique.

Après l'exercice : le rapport et les actions

Un exercice ne vaut que par ce qui change ensuite : rédigez un court rapport dans la semaine, avec trois à cinq actions, chacune avec un responsable et une date.

Le Centre canadien pour la cybersécurité recommande un document des leçons apprises, et les trousses de la CISA incluent un modèle de rapport après action. Une page suffit : ce qui a fonctionné, les trous, les actions.

Actions typiques après ce scénario :

• Imprimer la liste des contacts d'urgence et le numéro de la ligne d'urgence de l'assureur.
• Créer un deuxième compte administrateur Microsoft 365, protégé par une clé de sécurité.
• Tester la restauration complète d'une sauvegarde hors ligne.
• Préparer un message type pour les clients et un autre pour les employés.
• Mettre par écrit qui décide en l'absence du président.

Planifiez le prochain exercice dans 12 mois, avec un autre scénario : fraude au virement, compte Microsoft 365 compromis ou fournisseur TI piraté.

Faut-il un animateur externe ?

Ce n'est pas obligatoire, mais un animateur externe ose poser les questions qui dérangent, et il permet au dirigeant de jouer son vrai rôle au lieu d'animer.

Sans ressource en sécurité à l'interne, notre comparatif MSP, MSSP, vCISO ou ressource interne aide à choisir qui devrait porter ces exercices. Notre service d'accompagnement continu tient votre feuille de route et vos politiques d'incident à jour au fil de l'année ; parlez-nous-en si vous voulez y prévoir un exercice. La séance se tient idéalement en personne : demandez une rencontre sur place.