Confinement d’un incident de sécurité

Comprendre l’enjeu et le périmètre

Il réduit les dommages tout en préparant une investigation et une reprise maîtrisées.

Couvrir actifs touchés, comptes, communications, données, dépendances, preuves et effets des coupures envisagées.

Passer à l’action

• Évaluer les risques de propagation et d’arrêt
• Décider les mesures avec les responsables habilités
• Tracer les actions et vérifier leurs effets

Ouvrez une chronologie horodatée et attribuez la coordination. Séparez les faits, les hypothèses et les décisions. Prévoyez un canal de secours et un passage de relais : la personne qui investigue ne peut pas toujours coordonner les métiers et informer la direction en même temps.

Responsabilités et moyens

Le responsable d’incident coordonne, sécurité et spécialistes instruisent, et les métiers et la direction arbitrent les impacts majeurs.

Prévoir expertise, moyens d’intervention, coordination et capacité de fonctionnement dégradé.

Produire et vérifier

Livrable utile

Un journal de décisions de confinement et un état du périmètre maîtrisé.

Preuve à rechercher

Dans un exercice isolé, vérifier que la mesure choisie limite le scénario sans bloquer une dépendance de secours essentielle.

Indicateur à interpréter

Suivre périmètre affecté, mesures appliquées et signes de persistance ou de propagation.

Avant de fermer l'incident, obtenez une validation du service rendu et définissez la surveillance renforcée nécessaire. Le retour à la normale ne prouve pas que la cause est supprimée. Suivez les actions de fond dans un dispositif distinct de la gestion de l'urgence.

Arbitrages et dépendances

Une action précipitée peut détruire des traces utiles ou interrompre une fonction critique sans réduire le risque principal.

Le confinement dépend des identités, réseaux, accès d’administration et moyens de communication sûrs.

Arbitrez entre protection, poursuite d'activité et conservation des traces avec les responsables compétents. Une coupure peut limiter un incident tout en empêchant un service essentiel. Comme les obligations de notification dépendent du contexte, faites qualifier le cas et ses délais par les fonctions concernées.