Deux personnes préparent le même exercice de crise. La première livre un chronogramme précis, avec pour chaque message l’heure, l’émetteur et la réaction attendue. La seconde livre une suite d’événements spectaculaires, sans objectif clair. Le jour J, seule la première permettra d’apprendre quelque chose.
La qualité d’un exercice se joue avant la séance, dans la construction du scénario et du chronogramme. Cet article propose une méthode en six étapes, un exemple complet de chronogramme pour une PME fictive, et une ressource gratuite pour appliquer la méthode de la même façon d’un concepteur à l’autre.
Scénario et chronogramme : deux outils différents
Le guide de l’ANSSI consacré à l’organisation d’un exercice de gestion de crise cyber définit l’exercice comme la simulation d’un scénario : un enchaînement d’événements fictifs qui crée une situation de crise réaliste, mais non réelle.
- Le scénario est l’histoire : la situation de départ, la façon dont elle s’aggrave et la manière dont l’exercice se termine.
- Le chronogramme est l’outil d’animation : un tableau dans lequel chaque ligne correspond à un message transmis aux joueurs, appelé stimulus ou inject.
Un bon scénario sans chronogramme laisse l’animateur improviser. Un chronogramme sans scénario produit une suite de messages sans fil conducteur.
Étape 1 : partir des objectifs
Un exercice ne sert pas à vérifier que l’équipe « gère bien la crise ». Il sert à observer des comportements précis. Formulez deux à quatre objectifs observables, par exemple :
- la cellule de crise est réunie en moins de 30 minutes après l’alerte ;
- un premier point de situation écrit est produit avant la première heure ;
- une réponse cohérente est apportée aux clients et à la presse ;
- les activités prioritaires sont identifiées et une solution de repli est décidée.
Chaque objectif doit pouvoir être constaté par un observateur. C’est lui qui guidera l’écriture de tous les messages.
Étape 2 : fixer le format et les rôles
Avant d’écrire le scénario, décidez :
- du format : exercice sur table de 90 minutes, simulation plus immersive sur une demi-journée, exercice ciblé sur une fonction ;
- des joueurs : qui est mis en situation, et dans quels rôles ;
- de l’équipe d’animation : qui envoie les messages et qui observe.
Le guide de l’ANSSI rappelle une règle simple : les animateurs ne sont pas joueurs, et inversement. L’animation joue les personnes extérieures à l’exercice : un client, un journaliste, un prestataire, un manager qui n’est pas en cellule.
Étape 3 : écrire le fil rouge
Le scénario se construit en trois temps :
- la situation de départ, crédible et adaptée à votre activité ;
- la montée en tension, par paliers : extension de l’incident, premières sollicitations extérieures, impacts sur l’activité ;
- la sortie de jeu : une information qui permet de conclure, suivie du retour d’expérience.
Partez de vos risques réels et de votre fonctionnement réel. Un scénario trop éloigné de votre quotidien fait débattre de sa vraisemblance au lieu de s’entraîner.
Étape 4 : construire le chronogramme
Dans sa fiche pratique consacrée au chronogramme, l’ANSSI propose notamment les colonnes suivantes : numéro, horaire, phase, contenu du message, émetteur, destinataire, canal de transmission, réaction attendue et commentaires pour l’équipe d’animation.
Elle recommande surtout de remplir le tableau de droite à gauche :
- commencer par la réaction attendue, reliée à un objectif ;
- choisir ensuite le joueur destinataire ;
- puis l’émetteur simulé par l’animation ;
- rédiger seulement alors le contenu du message ;
- terminer par le canal et l’horaire.
Trois autres conseils de la même fiche méritent d’être retenus :
- ne pas envoyer tous les messages à la même personne, pour observer si l’information circule ;
- utiliser les canaux que les joueurs emploieraient réellement, en tenant compte de la crise simulée, par exemple une messagerie devenue indisponible ;
- ne pas tout scénariser : certains échanges naissent naturellement entre les joueurs.
Exemple de chronogramme : une PME de transport
L’exemple ci-dessous est entièrement fictif. Transports Morel, 45 salariés, découvre un matin que son logiciel de planification des tournées est chiffré par un rançongiciel. Format : exercice sur table de 90 minutes, avec la direction, l’exploitation, le service commercial et le standard.
Objectifs : réunir la cellule rapidement, maintenir les livraisons prioritaires, coordonner les réponses aux clients et à la presse.
- 09:00 — Animation vers tous les joueurs, par email. Message : dossier de mise en situation et règles de l’exercice. Attendu : prise de connaissance, aucune action.
- 09:05 — Chef d’équipe d’exploitation, simulé, vers la responsable d’exploitation, par téléphone. Message : « Deux postes affichent un message demandant une rançon, le planning ne s’ouvre plus. » Attendu : alerte du référent informatique et de la direction.
- 09:12 — Prestataire informatique, simulé, vers le dirigeant, par téléphone. Message : le serveur est touché, le prestataire recommande d’isoler le réseau. Attendu : décision de réunir la cellule de crise.
- 09:20 — Client principal, simulé, vers le commercial, par email. Message : « Pouvez-vous confirmer nos livraisons de demain ? » Attendu : remontée en cellule et réponse d’attente coordonnée.
- 09:30 — Chauffeur, simulé, vers l’exploitation, par SMS. Message : « Je n’ai plus ma feuille de route, je fais quoi ? » Attendu : mise en œuvre des tournées sur papier.
- 09:40 — Comptable, simulée, vers le dirigeant, par téléphone. Message : la paie doit partir dans trois jours et le logiciel est inaccessible. Attendu : solution de contournement identifiée et responsable désigné.
- 09:50 — Journaliste de la presse locale, simulé, vers le standard, par téléphone. Message : « Un client dit que vous avez été piratés, vous confirmez ? » Attendu : pas de réponse improvisée, renvoi vers la personne désignée.
- 10:00 — Prestataire informatique, simulé, vers le dirigeant, par email si disponible, sinon par téléphone. Message : restauration estimée à cinq jours ouvrés, sauvegardes partiellement exploitables. Attendu : priorisation des activités à reprendre.
- 10:15 — Assureur, simulé, vers le dirigeant, par email. Message : demande des premiers éléments pour la déclaration de sinistre. Attendu : désignation d’un responsable du suivi et conservation des éléments de preuve.
- 10:30 — Animation vers tous les joueurs. Message : fin de l’exercice. Attendu : participation au retour d’expérience à chaud.
Gardez aussi un ou deux messages de réserve, par exemple un salarié inquiet pour ses données personnelles. Vous les utiliserez si l’équipe avance trop vite, ou si un objectif n’a pas encore été sollicité.
Étape 5 : préparer l’animation
Le jour J, le chronogramme guide l’animateur, mais ne l’enferme pas. Préparez :
- un briefing des joueurs : objectifs, règles, ce qui est simulé et ce qui ne l’est pas ;
- un annuaire fictif qui renvoie vers l’équipe d’animation ;
- des réponses types aux questions prévisibles des joueurs.
La colonne « réaction attendue » prend ici tout son sens : si la réaction observée s’en éloigne fortement, l’animateur sait qu’il doit ralentir, insister ou ajouter un message.
Étape 6 : observer et préparer le retour d’expérience
Construisez la grille d’observation en même temps que le chronogramme, à partir des objectifs. Pour chaque message clé, notez ce qui a été fait, par qui, à quelle heure, et surtout ce qui a manqué : une information non transmise, une décision non prise, un interlocuteur oublié.
Ces observations nourrissent le retour d’expérience à chaud, puis l’analyse à froid. Pour éviter les pièges les plus courants, consultez aussi notre article sur les sept erreurs qui empêchent de tester réellement son organisation : https://www.exerce-ease.com/publication.php?slug=exercice-de-crise-7-erreurs
Gagner du temps : le skill de conception d’exercices
Le vrai défi d’un programme d’exercices n’est pas d’écrire un scénario. C’est d’obtenir la même qualité d’un concepteur à l’autre. Un prompt d’intelligence artificielle se réécrit à chaque fois, et le résultat change selon la personne qui le rédige.
Un skill est un dossier d’instructions qu’un assistant d’intelligence artificielle compatible, comme Claude, charge de lui-même quand la tâche s’y prête. Nous avons regroupé dans un skill la méthode décrite dans cet article :
- le skill « concepteur d’exercice de crise », prêt à installer ;
- le gabarit de chronogramme : horaire, émetteur, destinataire, canal, message, réaction attendue ;
- la typologie d’injects et les principes d’animation ;
- une grille d’observation centrée sur ce qui manque ;
- trois demandes types pour le tester immédiatement.
L’intelligence artificielle ne remplace pas l’ingénierie d’exercice : relisez chaque proposition, adaptez-la à votre organisation et n’y saisissez pas d’informations sensibles. Le skill est gratuit, envoyé par email : https://www.exerce-ease.com/automation/guide/?r=skill
Et pour animer votre chronogramme
Exerce-Ease Studio permet de construire les injects avec leur horaire, leur destinataire et la réaction attendue, de conserver les chronogrammes réutilisables dans une bibliothèque, puis de piloter la séance : déclencher ou écarter un inject, en ajouter un à chaud, consigner ses observations. Les rapports retrouvent ensuite le chronogramme, les participants, les injects et les échanges pour préparer le débriefing.
Action utile cette semaine : reprenez votre dernier exercice et vérifiez si chaque message avait une réaction attendue écrite. Si ce n’est pas le cas, commencez par là.
Pour découvrir Exerce-Ease Studio dans votre contexte : https://www.exerce-ease.com/exerce-ease-studio.php