Exercice de crise cyber PME : comment tester votre réponse avant une vraie attaque
Avec un scénario fictif, des données de démonstration et un chronogramme de 90 minutes, l’entreprise peut vérifier sa capacité à contenir un compte CRM compromis, une campagne frauduleuse, une fuite de données ou un agent IA mal configuré, sans perturber la production.
Une procédure de cybersécurité qui n’a jamais été testée reste une hypothèse. Le jour d’un incident réel, les équipes découvrent souvent qu’elles ne savent pas qui appeler, quels accès révoquer, où trouver les journaux, comment suspendre une campagne marketing ou qui valide un message destiné aux clients. Un exercice de crise cyber permet de tester ces réflexes sans toucher à la production, aux vraies données clients ou aux comptes réels de l’entreprise.
Pour une PME, l’objectif n’est pas de reproduire une attaque spectaculaire. Il est de vérifier que la direction, l’IT, le marketing, le CRM, la communication, le DPO, les prestataires et les agences savent coordonner leurs actions. Un exercice bien conçu révèle les comptes oubliés, les accès prestataires non documentés, les procédures imprécises et les messages de crise difficiles à valider.
Pourquoi tester votre réponse avant une cyberattaque réelle ?
Une entreprise peut disposer d’un MFA, de sauvegardes, d’un CRM sécurisé et d’un guide de réponse à incident. Ces mesures restent insuffisantes si personne ne sait les activer sous pression. Lors d’une crise, le temps manque, les informations sont incomplètes et plusieurs équipes peuvent agir en parallèle.
Un exercice permet de tester les questions qui comptent réellement :
- Qui reçoit le premier signalement et qui décide d’activer la cellule de crise ?
- Comment suspendre un compte CRM, une session e-mail, une campagne publicitaire ou une automatisation ?
- Quels journaux, exports, captures ou identifiants d’exécution doivent être préservés ?
- Comment identifier les données clients, audiences, campagnes et formulaires potentiellement concernés ?
- Qui valide les messages internes, les réponses du support et les communications externes ?
- Comment réagir lorsqu’un agent IA, un webhook ou un compte de service est impliqué ?
- Quels prestataires, agences ou fournisseurs doivent être contactés ?
Un exercice de crise permet également d’améliorer la coordination entre IT et marketing. Les équipes techniques peuvent isoler un compte, mais elles ne savent pas toujours quelles campagnes doivent être suspendues, quels segments sont actifs, quels formulaires alimentent le CRM ou quels messages risquent d’être envoyés pendant l’incident. À l’inverse, le marketing peut connaître les clients et les canaux concernés sans disposer des accès nécessaires pour vérifier les sessions, les tokens ou les journaux.
Définir l’objectif : tester un processus, pas évaluer des individus
Un exercice de crise cyber n’est pas un piège destiné à identifier la personne qui fera une erreur. Cette approche crée du silence, de la peur et de mauvais réflexes. L’objectif est de mesurer la capacité collective à signaler, qualifier, contenir, communiquer et reprendre l’activité.
Avant de préparer un scénario, définissez ce que vous souhaitez apprendre. Un premier exercice doit rester limité. Choisissez un seul parcours critique et deux ou trois objectifs maximum.
| Objectif d’exercice | Question à tester | Preuve attendue |
|---|---|---|
| Chaîne d’alerte | Le bon interlocuteur est-il prévenu rapidement ? | Liste des contacts, heure de signalement et canal utilisé |
| Confinement | L’équipe sait-elle suspendre un compte, un token ou une automatisation à risque ? | Procédure documentée, rôle responsable et action simulée |
| Cartographie marketing | Les campagnes, audiences, formulaires et segments concernés sont-ils identifiés ? | Inventaire des outils et données potentiellement touchés |
| Communication interne | Les collaborateurs reçoivent-ils une consigne claire et coordonnée ? | Brouillon de message validé et canal officiel identifié |
| Réponse client | Le support et les commerciaux savent-ils répondre sans inventer de faits ? | FAQ, script d’escalade et questions sans réponse recensées |
| Retour d’expérience | Les améliorations deviennent-elles des actions suivies ? | Plan d’action avec responsables et échéances |
Pour une première simulation, ne cherchez pas à tester simultanément la sécurité du réseau, une attaque par rançongiciel, une fuite CRM, une fraude bancaire et une indisponibilité d’e-commerce. Un scénario précis permet d’observer les décisions et d’améliorer le processus avant de jouer une crise plus complexe.
Choisir un scénario réaliste pour votre PME
Le bon scénario n’est pas forcément le plus technique. Il doit être suffisamment crédible pour mobiliser les équipes, mais suffisamment limité pour être joué sans risque. Évitez de simuler une attaque réelle sur la production, d’envoyer un faux e-mail à des clients ou de modifier des données métiers.
| Scénario | Déclencheur fictif | Compétences testées | Équipes à mobiliser |
|---|---|---|---|
| CRM compromis | Un export inhabituel apparaît après une connexion suspecte sur un compte commercial de démonstration | Sessions, MFA, journaux, exports, données clients, CRM et DPO | IT, CRM, commercial, marketing, DPO et direction |
| Phishing marketing | Une fausse agence demande de modifier un budget ou un moyen de paiement publicitaire | Vérification hors canal, signalement, accès publicitaires et communication interne | Marketing, finance, IT, agence et direction |
| Agent IA connecté | Un document de démonstration contient une instruction malveillante lue par un agent IA de test | Permissions, prompt injection, arrêt d’urgence, tokens, connecteurs et journalisation | IT, sécurité, CRM, no-code, marketing et responsable IA |
Pour une première simulation, le scénario « CRM compromis » constitue généralement le meilleur point de départ. Il touche à la fois les données clients, le travail commercial, les campagnes e-mailing, les exports, la relation client et les obligations de protection des données.
Exemple illustratif : un export CRM inhabituel
Le scénario fictif suivant peut être joué sans toucher aux données réelles :
Un lundi à 9 h 15, l’équipe CRM reçoit une alerte simulée indiquant qu’un compte commercial a exporté un volume inhabituel de contacts depuis un environnement de démonstration. À 9 h 20, un client fictif contacte le support en affirmant avoir reçu un e-mail suspect utilisant la marque de l’entreprise. À 9 h 30, l’agence indique qu’un accès partenaire inconnu vient d’être ajouté dans un compte publicitaire de test.
Ce scénario oblige les équipes à connecter plusieurs signaux : compte potentiellement compromis, données de contact, risque de phishing secondaire, compte partenaire et communication de crise. Il teste le processus sans affirmer qu’une exfiltration réelle a eu lieu.
Constituer l’équipe de l’exercice
Un exercice efficace ne réunit pas nécessairement toute l’entreprise. Il associe les personnes qui auraient un rôle pendant un incident réel. Chaque participant doit connaître son périmètre, mais l’animateur doit aussi observer les zones grises : absence de responsable, doublon de décisions, accès inconnus ou messages non validés.
| Rôle | Mission pendant l’exercice | Ce qui doit être observé |
|---|---|---|
| Animateur | Présente les injects, gère le rythme et évite que l’exercice sorte du périmètre prévu | Capacité à faire progresser le scénario sans fournir les réponses |
| Observateur | Prend des notes sur les décisions, délais, blocages et informations manquantes | Faits observables, sans jugement sur les personnes |
| Direction | Arbitre les priorités, les ressources et les communications majeures | Clarté des décisions et connaissance des responsabilités |
| IT ou sécurité | Simule le confinement, vérifie les accès, les journaux et les dépendances | Procédures de révocation, préservation des preuves et restauration |
| Marketing ou CRM | Identifie les campagnes, segments, outils, formulaires et données concernés | Qualité de la cartographie métier et des actions de gel |
| Communication | Prépare les messages internes et externes à partir des faits validés | Respect du processus de validation et absence de promesse non vérifiée |
| DPO ou juridique | Qualifie les questions de données, de notification et de communication aux personnes | Capacité à formuler les éléments à vérifier sans décision précipitée |
| Prestataire ou agence | Fournit les éléments d’accès, journaux ou actions relevant de son périmètre | Coordination, contacts, délais et limites contractuelles |
Annoncez clairement que les observations portent sur les processus et non sur les individus. Une personne qui ne connaît pas une procédure fait apparaître une lacune documentaire ou organisationnelle qu’il faut corriger, pas une faute à sanctionner.
Préparer les injects de simulation
Un inject est un élément fictif introduit pendant l’exercice pour faire évoluer le scénario : e-mail, alerte, ticket support, export, capture, appel d’un prestataire ou publication simulée. Les injects doivent être réalistes, mais ne doivent jamais utiliser de vraies données clients, de vrais accès, de vrais identifiants ni de messages envoyés hors du groupe d’exercice.
- Un e-mail fictif signalant une connexion inhabituelle à un compte CRM de démonstration.
- Une capture fictive d’export de contacts avec des données anonymisées ou synthétiques.
- Un ticket support simulé d’un client demandant si ses données sont concernées.
- Un faux message d’agence indiquant qu’un budget publicitaire ou un moyen de paiement doit être modifié.
- Une alerte fictive sur une règle de transfert créée dans une boîte e-mail de test.
- Un document de démonstration contenant une instruction malveillante destinée à tester un agent IA de test.
- Une publication fictive d’un attaquant revendiquant des données non confirmées.
- Un brouillon de message interne ou client volontairement incomplet à faire corriger par les participants.
Préparez les injects selon une chronologie précise. Ne donnez pas tous les éléments dès le début. L’intérêt d’une simulation est de vérifier comment l’équipe prend des décisions avec des informations incomplètes, puis ajuste ces décisions lorsque de nouveaux faits apparaissent.
Dérouler l’exercice en 90 minutes
Un format de 90 minutes convient à une première simulation PME. Il est suffisamment court pour être planifié sans bloquer une journée entière, mais assez long pour tester les interactions entre sécurité, marketing, communication et gouvernance des données.
| Temps | Étape | Inject ou question à proposer |
|---|---|---|
| 0 à 15 minutes | Signalement et qualification initiale | Qui reçoit l’alerte ? Qui décide d’activer le plan ? Quels faits sont confirmés ? |
| 15 à 30 minutes | Confinement et accès | Quels comptes, sessions, tokens, automatisations ou accès partenaires sont à suspendre ? |
| 30 à 45 minutes | Données, outils et prestataires | Quelles données CRM, campagnes, formulaires, audiences et intégrations doivent être cartographiés ? |
| 45 à 60 minutes | Communication interne et relation client | Quel message envoyer aux collaborateurs ? Que répond le support à un client fictif ? |
| 60 à 75 minutes | IA, agents et automatisations | Un agent IA de test a lu un document contenant une instruction malveillante : quels accès et tokens vérifiez-vous ? |
| 75 à 90 minutes | Décision, reprise et retour d’expérience | Quelles actions sont validées ? Quelles données restent à qualifier ? Que faut-il corriger dans les 30 jours ? |
L’animateur doit s’assurer que les participants ne cherchent pas à résoudre un incident réel. L’exercice doit rester dans l’environnement et les données de démonstration. Si une faiblesse réelle est découverte pendant la simulation, notez-la, puis traitez-la après l’exercice dans un circuit séparé avec les responsables habilités.
Intégrer les outils marketing et les données clients dans l’exercice
Un exercice cyber générique peut oublier les outils qui portent la relation client. Pourtant, un CRM, une plateforme e-mailing ou un gestionnaire de publicités compromis peut créer une crise visible avant même que l’IT ait terminé son analyse technique.
Avant de lancer un exercice, vérifiez que les comptes critiques et les accès marketing sont documentés. Consultez notre guide sur la sécurisation des CRM, campagnes publicitaires et outils marketing.
Le scénario doit demander à l’équipe marketing de répondre à des questions précises :
- Quelles campagnes sont en cours ou programmées ?
- Quels segments, audiences et formulaires peuvent être concernés ?
- Quels e-mails transactionnels ou messages automatiques risquent de créer de la confusion ?
- Quels prestataires possèdent des accès à la plateforme ou aux données ?
- Quel canal officiel peut être utilisé si une alerte phishing doit être communiquée ?
- Quels messages peuvent être préparés sans affirmer de faits non vérifiés ?
Pour intégrer un scénario de fraude réaliste, utilisez les réflexes présentés dans notre guide sur le phishing généré par IA et les usurpations crédibles.
Tester les agents IA et automatisations sans prendre de risque
Les agents IA, workflows no-code et automatisations doivent faire partie des exercices de crise lorsqu’ils peuvent consulter des données métier, envoyer des messages ou appeler des outils externes. L’objectif n’est pas de prouver qu’un agent est dangereux. Il est de vérifier que l’entreprise sait limiter, arrêter et auditer ses accès lorsque son comportement devient inattendu.
Si le scénario implique un assistant connecté aux données métier, testez la révocation de ses accès, tokens et connecteurs en vous appuyant sur notre guide sur la sécurité des agents IA connectés au CRM et aux données.
| Question à tester | Élément à vérifier | Résultat attendu |
|---|---|---|
| Quel compte l’agent utilise-t-il ? | Compte de service, rôle, propriétaire et date de revue | Le compte est identifié et séparé des comptes administrateurs personnels |
| Quelles données peut-il consulter ? | Dossiers, boîtes e-mail, pipelines CRM, tables et sources de connaissance | Le périmètre est limité à la mission de l’agent |
| Quelles actions peut-il effectuer ? | Envoi, écriture, export, suppression, publication ou appel d’API | Les actions sensibles nécessitent une validation humaine |
| Comment l’arrêter ? | Tokens, webhooks, workflows, connecteurs et compte de service | Une procédure documentée permet une suspension rapide |
| Où sont les journaux ? | Requêtes, outils appelés, données consultées et actions exécutées | La cellule de crise peut reconstruire une chronologie utile |
Un exercice peut aussi tester l’usage encadré de l’IA pour analyser des alertes ou préparer une chronologie. Retrouvez les limites et cas d’usage dans notre article sur l’IA et la cybersécurité pour les PME.
Tester la communication de crise
Une simulation doit inclure un moment où la cellule de crise prépare un message interne, une réponse support ou une alerte contre le phishing. L’objectif n’est pas de publier réellement ces messages. Il est de vérifier si les équipes disposent des faits, des validations et des canaux nécessaires.
L’exercice doit également inclure une validation de messages fondée sur notre méthode de communication de crise après une cyberattaque.
Demandez, par exemple, aux participants de produire trois éléments dans un délai limité :
- Un message interne de cinq lignes indiquant qui coordonne la crise et quelles consignes doivent être appliquées.
- Une réponse de support à un client fictif qui demande si ses données ont été exposées.
- Une alerte courte rappelant les canaux officiels et les demandes que l’entreprise ne formulera jamais par e-mail, SMS ou téléphone.
Évaluez les messages selon des critères simples : reposent-ils sur des faits confirmés ? Évitent-ils les promesses absolues ? Donnent-ils une action ou un canal utile ? Respectent-ils le processus de validation ?
Évaluer l’exercice et produire un retour d’expérience
La valeur de l’exercice dépend moins de la qualité du scénario que du retour d’expérience. Les observations doivent être transformées en actions concrètes, avec un responsable, une échéance et une preuve de réalisation.
| Point évalué | Question à poser | Exemple d’action corrective |
|---|---|---|
| Signalement | Le bon interlocuteur a-t-il été alerté rapidement ? | Mettre à jour la chaîne d’alerte et les contacts d’urgence |
| Accès | Les comptes, tokens et connecteurs à risque étaient-ils connus ? | Créer un inventaire des accès et une procédure de révocation |
| Données | Le marketing a-t-il pu identifier les listes, segments et formulaires concernés ? | Documenter les flux de données et les propriétaires d’outils |
| Communication | Les messages ont-ils été validés et cohérents ? | Créer une boîte à outils de crise avec modèles et processus de validation |
| Prestataires | Les contacts et responsabilités étaient-ils clairs ? | Mettre à jour les contrats, annuaires et procédures de contact |
| Reprise | Les équipes savaient-elles quelles campagnes, automatisations ou services réactiver ? | Créer une checklist de reprise par outil critique |
Enfin, le scénario doit prévoir la cartographie des données et la prévention des fraudes secondaires traitées dans notre guide sur les fuites de données et le plan d’action marketing sur 72 heures.
Le livrable attendu après l’exercice
- Une chronologie des décisions prises pendant la simulation.
- Une liste des points de blocage, accès inconnus et procédures absentes.
- Un plan d’action limité, avec responsables et échéances.
- Une mise à jour des annuaires, rôles et canaux de crise.
- Des modèles de messages internes et externes à revoir avec la direction, le DPO et le juridique.
- Une date pour un nouvel exercice, avec un scénario différent ou plus avancé.
Questions fréquentes
À quelle fréquence une PME doit-elle organiser un exercice de crise cyber ?
Peut-on faire un exercice sans équipe cybersécurité interne ?
Faut-il utiliser de vraies données clients pour rendre l’exercice réaliste ?
L’IA peut-elle aider à créer un exercice de crise ?
Comment éviter que les équipes vivent l’exercice comme une évaluation individuelle ?
Que faire si l’exercice révèle une vraie faiblesse de sécurité ?
Un exercice de crise cyber ne garantit pas qu’une entreprise évitera tous les incidents. Il permet en revanche de réduire l’improvisation, de clarifier les responsabilités et de vérifier que les mesures de sécurité peuvent réellement être activées sous pression.
Commencez avec un scénario court, des données fictives et un objectif précis. Testez le signalement, le confinement, la cartographie marketing, la communication et la reprise. Puis transformez chaque enseignement en action suivie. Cette démarche fait de votre stratégie de sécurité un dispositif vivant, et non une simple collection de bonnes pratiques.
Explorer les analyses sur la sécurité numériqueSources et pour aller plus loin
- ANSSI — REMPAR25 : un exercice de crise cyber d’une ampleur inédite : présentation de l’exercice national du 18 septembre 2025 et du kit annoncé pour permettre aux organisations de s’entraîner.
- ANSSI / MesServicesCyber — Outil de pilotage du projet de remédiation : ressource pour organiser et suivre les actions de remédiation après un incident.
- ANSSI / MesServicesCyber — Préparer la remédiation : recommandations sur la préparation des actions de remédiation cyber.
- ANSSI / MesServicesCyber — Anticiper et gérer sa communication de crise cyber : organisation des messages, communication interne et externe et retour d’expérience.
- IA & Marketing — Sécuriser CRM, campagnes publicitaires et outils marketing : comptes, accès, droits et actifs marketing sensibles.
- IA & Marketing — Réponse à incident PME : confinement, preuves, qualification et reprise progressive.
- IA & Marketing — Fuite de données : plan marketing sur 72 heures : rôle du marketing, cartographie des données et prévention des fraudes secondaires.
