Si vous n'avez jamais répété une crise cyber, vous n'avez pas de plan. Vous avez un PDF.

La plupart des plans de réponse aux incidents sont conçus pour satisfaire des auditeurs, non pour fonctionner à 2 h du matin lorsque tout brûle. Si vous n'avez pas testé votre réponse à la crise, vous ne maîtrisez pas le risque : vous vous contentez de le documenter.