Gouvernance RGPD

1. Déroulement

Les participants reçoivent leur ordre de mission expliquant le contexte et le but du jeu.
Ces derniers ont été embauchés en tant que « pirates informatiques », par un client souhaitant dérober des données confidentielles auprès d’une entreprise concurrente.
L’ordre de mission détaille les informations et matériels utiles au bon déroulement de leur mission, dont des identifiants de connexion à des réseaux sociaux populaires (afin que les participants n’aient aucune obligation d’utiliser leur compte personnel pour les recherches) et les clefs USB.
Les données dérobées peuvent autant être au format papier que numérique.

Nous procéderons ensuite à la répartition des rôles :

↠ Chef d’équipe / coordinateur
↠ Recherche d’informations sur internet
↠ Recherche sur ordinateur
↠ Recherche sur smartphone
↠ Recherche dans la pièce

Le but étant que tous les participants aient un rôle à jouer et se concertent à chaque événement ou décision à prendre.
Bien entendu, les rôles peuvent être inversés durant la session au bon vouloir des participants.

2. Séance de jeu

Les participants vont entrer dans une salle représentant le poste de travail de la cible.
Nous y avons préparé un ordinateur verrouillé par mot de passe sur l’écran de connexion de la session de la victime, un téléphone portable verrouillé par code PIN, du contenu papier, un calendrier de l’année en cours, un coffre-fort ainsi que d’autres éléments de décor pouvant être utiles aux recherches.
L’objectif premier des participants est de trouver 4 documents confidentiels pouvant être cachés physiquement ou accessibles via les dispositifs numériques (des connexions à des services tiers pouvant être nécessaires).

Pour cela, les participants vont devoir trouver des informations permettant de déverrouiller des matériels et des accès (ex : boîte mail). Ces informations pourront être trouvées sur les réseaux sociaux de la cible, dans la pièce de travail, sur des documents physiques, etc.
Deux documents bonus sont prévus afin de pousser les recherches, dans le cas où les participants finiraient avant la fin du temps imparti.

Une fois les méfaits accomplis, les participants vont lancer un ransomware sur l’ordinateur de la victime afin de le saboter et effacer par la même occasion des traces de leur passage. Ce ransomware n’a pas pour but d’être inversé par les participants.
Ce dernier sera identique à ceux pouvant infecter des postes utilisateurs en entreprise, afin de provoquer aux participants un étonnement et les sensibiliser sur le sujet. Les fichiers seront chiffrés et rendus illisibles en plus d’une modification de leur extension. A cela s’ajoute une modification dynamique du fond d’écran pour simuler une demande de rançon.
Cette étape donne fin à la séance de jeu.

3. DEBRIEFING

Les participants échangeront avec l’organisateur sur la séance : ce qui les a marqués, ce qu’ils ont retenu, ce qu’ils comptent appliquer en entreprise et les mauvaises pratiques qu’ils ont jugé nécessaire de proscrire au quotidien.
L’organisateur présentera aux participants un récapitulatif des menaces et méthodes découvertes tout au long de la session. A cela s’ajoute un court exposé des menaces les plus répandues en entreprise de nos jours, leur fonctionnement et les manières de s’en prémunir ou de les contrer.