Réponse à incident — cycle de vie, décisions et preuves

De la détection à la leçon apprise : chaque phase a une décision, un propriétaire et une trace

Réponse à incident — cycle de vie, décisions et preuves De la détection à la leçon apprise : chaque phase a une décision, un propriétaire et une trace 01 / Cycle de réponse 02 / Crise et obligations 03 / Boucle d'amélioration Préparation · playbooks, astreinte, preuves · Cycle de réponse · avant T0 01 Préparation playbooks, astreinte, preuves avant T0 Détecter, qualifier · triage, sévérité, propriétaire · Cycle de réponse · T0 02 Détecter, qualifier triage, sévérité, propriétaire T0 Confinement · isoler sans détruire la preuve · Cycle de réponse · réversible 03 Confinement isoler sans détruire la preuve réversible Éradication · cause racine, correctif · Cycle de réponse · durable 04 Éradication cause racine, correctif durable Restauration · retour contrôlé, surveillance · Cycle de réponse · prouvée 05 Restauration retour contrôlé, surveillance prouvée Escalade et crise · décision de direction · Crise et obligations · déclarer Escalade et crise décision de direction déclarer Notifications · 24 h / 72 h / 1 mois · Crise et obligations · obligations Notifications 24 h / 72 h / 1 mois obligations Communication · interne, clients, autorités · Crise et obligations · traçable Communication interne, clients, autorités traçable Retour d'expérience · actions datées, playbooks · Boucle d'amélioration · clôture Retour d'expérience actions datées, playbooks clôture escalade notifier communiquer leçons apprises Legend start active state neutral

Les décisions qui n'attendent pas

  • • Qualifier la sévérité et nommer un responsable dès la détection
  • • Isoler avant d'analyser : le confinement n'attend pas la cause racine
  • • Décider la notification tôt, même si le périmètre reste incertain

Ce qui détruit une investigation

  • • Redémarrer ou réinstaller avant d'avoir copié la mémoire et les disques
  • • Laisser l'attaquant effacer ses traces : les journaux se protègent avant l'incident
  • • Révoquer sans consigner les comptes, les accès et les horodatages observés

Ce qui se mesure

  • • Délai détection → qualification, puis qualification → confinement
  • • Part des incidents clos avec un retour d'expérience daté
  • • Constats rejoués en exercice : un playbook jamais exécuté n'existe pas
  • • Le cycle s'aligne sur les fonctions du CSF 2.0 de NIST SP 800-61r3 : gouverner, identifier, protéger, détecter, répondre, rétablir