Animer un tabletop exercise cyber en cours : scénario, rôles et débrief pédagogique

Qu'est-ce qu'un tabletop exercise et pourquoi l'enseigner

Un tabletop exercise (ou exercice sur table) est une simulation de crise conduite sans infrastructure technique. Les participants — chacun incarnant un rôle précis dans une organisation fictive — réagissent verbalement à une séquence d'événements injectés par un facilitateur. Pas de terminal ouvert, pas de capture de trafic réseau, pas de flag à trouver : seulement des décisions à prendre, des communications à coordonner, et des priorités à arbitrer face à une situation qui se dégrade selon un rythme que le facilitateur contrôle.

C'est précisément ce qui le distingue des autres formats pédagogiques utilisés en cybersécurité.

Le CTF teste des compétences techniques dans un cadre compétitif et individuel. L'atelier purple team pédagogique confronte des équipes attaquantes et défenseurs sur une infrastructure réelle partagée. Le drill technique valide l'exécution correcte d'une procédure précise — basculement sur un backup, isolation d'un segment réseau, activation d'un plan de reprise. Le tabletop, lui, entraîne ce qu'aucun de ces formats n'aborde directement : la coordination décisionnelle sous pression, la gestion des conflits de priorités entre des rôles aux logiques distinctes, et la capacité à avancer sans attendre d'avoir toutes les informations.

En entreprise, les crises cyber se perdent rarement faute de compétence technique. La cellule de crise se bloque parce que personne ne sait qui décide quoi, à quel moment, avec quelle légitimité. L'incident responder le plus expérimenté sera inefficace si le RSSI n'a pas l'autorité pour escalader vers la direction. La communication externe part trop tôt ou trop tard. Le DPO découvre à H+10h qu'il aurait dû déclencher la notification CNIL depuis H+2h. Ces dysfonctionnements ne sont pas techniques — ils sont organisationnels, et le tabletop exercise entraîne exactement ce registre.

Pour l'enseignant, le format présente un avantage pratique considérable : aucune infrastructure lab n'est nécessaire. Un scénario projeté ou distribué sur papier, une salle de réunion avec un tableau blanc, et un facilitateur suffisent. C'est ce qui le rend adaptable à des contraintes matérielles et budgétaires très variables, et transposable dans des contextes où monter un lab serait impossible.

Choisir et construire un scénario adapté au niveau

Le scénario est la colonne vertébrale de l'exercice. Un scénario mal calibré — trop simple pour le groupe, trop opaque dans ses implications métier, ou trop éloigné du secteur d'activité des participants — produit un exercice mécanique sans tension réelle. Un bon scénario crée une progression naturelle, des décisions difficiles, et des moments d'incertitude délibérément construits pour forcer l'arbitrage.

Trois familles de scénarios

Ransomware avec double extorsion. Le scénario le plus accessible pour une première session : conséquences business immédiatement compréhensibles (systèmes bloqués, rançon, menace de publication de données), et rôles impliqués couvrant toute la cellule de crise. Exemple fictif utilisable tel quel : le groupe Auralys, fabricant de composants électroniques, découvre un lundi matin que 60 % de ses serveurs de production sont chiffrés. Un message sur le bureau des administrateurs annonce une demande de rançon et affirme que 120 Go de données clients ont été exfiltrés avant le chiffrement. La direction générale doit décider avant 48 heures.

Fuite de données personnelles. Centré sur les obligations légales et la communication externe, ce scénario convient aux formations intégrant une composante juridique ou DPO. Il active fortement les rôles DPO et communication sous contrainte de délai réglementaire. Exemple fictif : la clinique Sainte-Madeleine découvre qu'une API d'accès au dossier patient exposait des données de santé sans authentification depuis plusieurs semaines. L'étendue est inconnue, mais l'alerte provient d'un chercheur en sécurité qui a choisi de contacter l'établissement plutôt que les médias — pour l'instant.

Intrusion APT à progression lente. Réservé aux groupes M2 ou formation continue. L'intrusion est détectée tardivement, les attaquants sont présents depuis plusieurs semaines, et les équipes décident sans connaître l'étendue complète du compromis. La tension principale : isoler immédiatement (et impacter la production) ou observer discrètement pour cartographier l'adversaire. Exemple fictif : Stratelia Partners, cabinet de conseil stratégique, soupçonne une exfiltration de données sur plusieurs clients à fort enjeu. Les premières analyses suggèrent un accès persistant depuis six semaines.

Calibrer le périmètre au niveau du groupe

Pour une L3 : scénario ransomware, 3 à 4 rôles, décisions binaires formulées explicitement dans les injects (payer / ne pas payer, isoler / ne pas isoler, communiquer / ne pas communiquer). Le nombre de variables doit rester maîtrisable.

Pour un M1 : scénario ransomware ou fuite de données, 5 à 6 rôles, injects incluant des parties prenantes externes (journaliste, client majeur, prestataire technique, autorité de contrôle). L'incertitude informationnelle commence à jouer un rôle.

Pour un M2 ou formation continue : scénario APT multi-phase, 6 à 8 rôles, injects qui se contredisent délibérément pour simuler l'ambiguïté réelle d'une crise — une source dit que les attaquants sont partis, une autre indique une activité persistante détectée la nuit précédente.

Le cours de gestion de crise constitue un prérequis naturel : les participants doivent avoir une représentation minimale des mécanismes de cellule de crise avant d'en simuler une. Sans ce socle, une partie du temps d'exercice est consommée à expliquer ce qu'est une cellule de crise — ce qui est le rôle du cours, pas du tabletop.

Définir les rôles et les responsabilités

Le tabletop exercise fonctionne uniquement si chaque participant comprend clairement son rôle avant le début de la session. L'attribution des rôles doit être faite en amont, par écrit, via une fiche de rôle distribuée au minimum 10 minutes avant le départ — idéalement la veille pour permettre une préparation minimale.

La distribution tient compte du nombre de participants et de la complexité du scénario. Un groupe de 8 peut tenir 6 rôles avec deux binômes sur les postes les plus sollicités (RSSI, communication). Au-delà de 10, des observateurs désignés assurent la prise de notes et tiennent une timeline visible de tous.

Tableau des rôles types

La fiche de rôle doit tenir sur une page A4 : intitulé, position dans l'organigramme fictif, responsabilités générales, 2 à 3 éléments de contexte (budget, périmètre technique, niveau d'autorité sur les décisions clés). Préciser également les canaux de communication autorisés : simule-t-on les appels téléphoniques verbalement ? Les emails sont-ils représentés par des injects écrits ? L'exercice se déroule-t-il en temps réel ou avec des sauts temporels annoncés ?

Les « injects » : comment faire progresser le scénario pas à pas

Un inject est un événement externe que le facilitateur introduit pour faire évoluer la situation de crise. C'est le moteur du scénario. Sans injects programmés, les participants épuisent rapidement les informations du contexte initial et l'exercice s'essouffle en 30 minutes.

Structure d'un inject

Chaque inject doit comporter quatre éléments :

• L'heure fictive dans la chronologie de la crise (H+1h30, H+4h00...) pour ancrer les participants dans une progression temporelle réaliste
• La source de l'information (appel téléphonique du responsable de production, message entrant du CERT, article paru sur un forum cybercriminel, email d'un client)
• Le contenu de l'information — une nouvelle donnée, une complication, ou la confirmation ou l'infirmation d'une hypothèse précédemment formulée par les participants
• Le destinataire direct (quel rôle reçoit l'inject en premier, même si l'information est ensuite partagée)

En amont, le facilitateur note l'effet attendu sur la dynamique de chaque inject — pas pour forcer un résultat, mais pour identifier rapidement si un second inject de relance est nécessaire.

Exemples d'injects pour un scénario ransomware (groupe Auralys)

H+1h30 — Appel du responsable production : deux lignes de fabrication sont à l'arrêt complet. Les commandes clients en attente représentent trois jours de production. Un client industriel majeur attend une livraison critique demain matin.

H+3h00 — Un journaliste d'une publication spécialisée contacte le service communication. Il dispose d'une information partielle publiée sur un forum cybercriminel, avec un nom d'entreprise tronqué mais suffisamment identifiable. Il demande une confirmation et donne une heure de bouclage dans 90 minutes.

H+5h00 — Le prestataire mandaté pour la réponse à incident annonce qu'il lui faudra 48 à 72 heures pour évaluer complètement l'étendue du compromis et valider l'intégrité des sauvegardes. Les attaquants ont fixé une limite de 36 heures pour le paiement de la rançon.

H+7h00 — L'assureur cyber contacte le responsable juridique : la déclaration de sinistre doit être déposée dans les 24 heures avec la liste des systèmes impactés et une première évaluation du préjudice. La DSI n'est pas encore en mesure de fournir cette liste.

La force des injects réside dans leur effet de cascade : chaque nouvelle information force une réévaluation des décisions précédentes et crée de nouvelles frictions entre les rôles. L'inject du journaliste, par exemple, va provoquer un désaccord entre la communication (qui veut répondre pour maîtriser le message) et le juridique (qui conseille le silence) — c'est exactement la tension que le tabletop doit faire émerger.

La question du plan de continuité est un bon indicateur de maturité : les participants pensent-ils spontanément à l'activer, ou faut-il un inject explicite pour le rappeler à leur attention ?

Faciliter la session : posture, timing, gestion du silence

Le facilitateur n'est pas un formateur classique pendant l'exercice. Son rôle est de maintenir la tension dramatique et la dynamique décisionnelle, pas d'enseigner. Les interventions pédagogiques sont intégralement réservées au débrief. Toute correction ou explication pendant l'exercice brise l'immersion et déresponsabilise les participants.

Posture du facilitateur

Rester en retrait tant que la dynamique fonctionne. Introduire les injects sans en expliquer les implications — les participants doivent les interpréter eux-mêmes. Ne jamais valider ni invalider une décision en cours d'exercice. Prendre des notes continues sur les décisions prises, les décisions évitées, les conflits entre rôles, et les moments de blocage.

Si un participant demande une information hors scénario, répondre : "Que décidez-vous avec l'information que vous avez ?" — jamais sur le fond.

Timing recommandé pour une session de 3 heures

• 0h00–0h15 : Briefing collectif, distribution des fiches de rôle, lecture du contexte initial du scénario
• 0h15–0h20 : Questions de clarification (règles du jeu uniquement — aucune question sur le contenu du scénario)
• 0h20–2h00 : Exercice en continu, injects introduits toutes les 20 à 30 minutes selon la dynamique
• 2h00–2h10 : Pause — transition marquée, les participants sortent mentalement du rôle
• 2h10–3h00 : Débrief structuré

Gérer le silence et les blocages

Le silence prolongé n'est pas un échec — c'est un signal utile. Soit les participants ne savent pas quoi faire (lacune de connaissance à travailler en débrief), soit ils hésitent à assumer l'incertitude — précisément ce que l'exercice entraîne. Ne pas intervenir immédiatement : laisser le groupe se débloquer seul deux à trois minutes.

Si le blocage persiste, introduire un inject de pression — un appel fictif du DG, un message du CERT réclamant une décision dans 15 minutes — plutôt qu'une explication directe.

Débrief structuré : le moment pédagogique le plus important

Le débrief est la partie la plus importante de l'exercice. Sans débrief structuré, le tabletop reste un jeu de rôle. Avec un débrief rigoureux, c'est un outil pédagogique à part entière. Ne pas le sacrifier au profit d'un exercice plus long : 50 minutes de débrief valent mieux qu'une heure d'exercice supplémentaire sans restitution.

Structure en quatre temps

1. Restitution factuelle (10 minutes). Le facilitateur retrace chronologiquement les décisions prises pendant l'exercice, en s'appuyant sur ses notes. Il ne juge pas — il constate. "À H+2h, vous avez décidé d'isoler les serveurs de production. À H+3h, vous avez décidé de ne pas répondre au journaliste." L'objectif est de créer un référentiel commun et partagé avant d'entrer dans l'analyse.

2. Analyse des écarts (15 minutes). Comparer les décisions prises avec les pratiques de référence des guides ANSSI, de la norme ISO 27035 ou des recommandations du CERT-FR, sans benchmarks inventés. S'appuyer sur les erreurs concrètes observées. "La notification CNIL n'a pas été mentionnée jusqu'à H+6h00. Dans quel délai est-elle obligatoire ? Qui en est responsable ?" Ne pas donner la réponse immédiatement — faire travailler le groupe.

3. Expression individuelle (15 minutes). Chaque participant répond à trois questions : qu'aurais-je fait différemment dans mon rôle ? quelle information m'a le plus manqué ? qu'est-ce que je n'avais pas anticipé dans les interactions avec les autres rôles ? Ce temps de parole est non négociable — c'est là que se consolide l'essentiel de l'apprentissage.

4. Synthèse et points d'amélioration (10 minutes). Le facilitateur liste 3 à 5 points d'amélioration concrets formulés comme des actions, pas comme des constats négatifs. "Définir à l'avance le seuil de déclenchement de la notification CNIL et le désigner à un responsable nominatif." "Prévoir un canal de communication de crise hors des systèmes potentiellement compromis." "Désigner un porte-parole unique avant que les médias contactent l'organisation."

La grille de débrief — préparée en amont, avec des critères d'évaluation pour chaque rôle — peut s'articuler avec le cours de gestion de crise et le parcours réponse à incident pour ancrer les observations dans les cadres théoriques déjà vus.

Tableau récapitulatif : formats, niveaux et objectifs

Le format court convient à une introduction en fin de semestre, avant les apports du cours de gestion de crise. Le format standard est le format principal pour une journée dédiée. Le format étendu et multi-groupes s'utilise en exercice de fin d'année, avec des groupes ayant déjà une expérience du format standard.

Ce qu'il faut retenir

Le tabletop exercise occupe une place irremplaçable dans un cursus de cybersécurité, précisément parce qu'il entraîne ce que les autres formats ignorent : la coordination humaine sous pression, la prise de décision avec une information incomplète, et la gestion des conflits de priorités entre des acteurs aux logiques différentes et légitimes.

Ce qu'on apprend dans un tabletop n'est pas "comment configurer un firewall". On apprend que la crise cyber est d'abord une crise organisationnelle, et qu'une cellule de crise efficace se prépare par l'exercice avant l'incident. Le meilleur plan de continuité ne vaut rien si personne ne sait l'activer.

Trois points essentiels pour démarrer :

• Calibrer le scénario au niveau du groupe : un scénario APT pour des L3 génère de la confusion, pas de l'apprentissage. Commencer simple, augmenter la complexité une fois le format maîtrisé par les participants.
• Préparer les injects avec soin : ils doivent progresser, créer des tensions entre les rôles, et ne jamais donner les réponses. Un inject trop prescriptif élimine la dimension décisionnelle.
• Protéger le débrief : il est le cœur pédagogique du dispositif. Sans débrief structuré, l'exercice est un jeu de rôle sans transfert d'apprentissage. Le raccourcir pour allonger l'exercice est toujours une mauvaise décision.

Pour aller plus loin sur les pratiques pédagogiques en cybersécurité, les parcours de formation, et les ressources pour enseignants et intervenants, rendez-vous sur cyberteachers.org.