Réponse aux incidents : comment réagir de manière structurée ?
Une organisation ne peut pas supposer qu’aucun incident ne surviendra. Elle doit préparer sa capacité de réaction.
1. Détection
Un événement est identifié.
2. Qualification
Est-ce réellement un incident ?
3. Analyse
Quels systèmes, comptes, données ou services sont concernés ?
4. Confinement
Limiter les conséquences selon le contexte.
5. Remédiation
Traiter les causes ou éléments identifiés selon la procédure.
6. Restauration
Revenir à une situation opérationnelle maîtrisée.
7. Documentation
Conserver les informations utiles.
8. Retour d’expérience
Pourquoi l’incident a-t-il été possible ?
Qu’est-ce qui a bien fonctionné ?
Qu’est-ce qui doit être amélioré ?
Le cycle
**DÉTECTER → QUALIFIER → CONTENIR → REMÉDIER → RESTAURER → APPRENDRE.**
Mini-cas
Une activité suspecte est détectée sur un compte.
La réponse ne doit pas commencer par des actions improvisées.
Il faut déterminer :
- le compte concerné ;
- l’étendue ;
- les ressources affectées ;
- la chronologie ;
- les mesures adaptées.
Erreurs
- agir sans conserver le contexte ;
- confondre alerte et incident ;
- ne pas documenter ;
- oublier le retour d’expérience.
Guides complémentaires
Consultez la page principale de cette filière pour retrouver la durée, les conditions d’admission et les informations de préinscription.