Un scénario de réponse avec responsabilités, mesures de confinement, préservation des traces et validation du rétablissement.
ÉTAPE 1
Journalisation, SIEM et détection
Elle aide à comprendre les événements et à repérer des comportements anormaux suffisamment tôt pour agir.
Pour commencer : Choisir des scénarios de détection pertinents.
Élément à vérifier : Produire un événement de test autorisé et vérifier son arrivée, sa corrélation et son traitement.
Le dossier et ses questionsÉTAPE 2
Qualification des incidents et priorités de traitement
Cette qualification permet de mobiliser les bons acteurs et d’éviter les escalades tardives ou disproportionnées.
Pour commencer : Recueillir les faits et distinguer les hypothèses.
Élément à vérifier : Requalifier un incident d’essai lorsque de nouvelles informations montrent un impact plus large.
Le dossier et ses questionsÉTAPE 3
Confinement d’un incident de sécurité
Il réduit les dommages tout en préparant une investigation et une reprise maîtrisées.
Pour commencer : Évaluer les risques de propagation et d’arrêt.
Élément à vérifier : Dans un exercice isolé, vérifier que la mesure choisie limite le scénario sans bloquer une dépendance de secours essentielle.
Le dossier et ses questionsÉTAPE 4
Coordination d’un incident majeur
Il évite les actions contradictoires et réduit les délais dus aux zones de responsabilité floues.
Pour commencer : Désigner un coordinateur et des relais.
Élément à vérifier : Simuler un incident multiéquipe et vérifier que chaque action a un responsable, une échéance et un retour.
Le dossier et ses questionsÉTAPE 5
Préservation des traces et preuves numériques
Elle évite de perdre des informations utiles pendant les actions de diagnostic et de rétablissement.
Pour commencer : Identifier les éléments utiles sans collecte indiscriminée.
Élément à vérifier : Vérifier qu’un élément collecté peut être relié à sa source, sa date, son responsable et aux opérations subies.
Le dossier et ses questionsÉTAPE 6
Retour à la normale après incident
Il réduit le risque de récidive, de données incohérentes ou de contournements oubliés.
Pour commencer : Définir les critères de rétablissement.
Élément à vérifier : Rejouer les parcours critiques, rapprocher les données et vérifier que les accès d’urgence sont clôturés ou justifiés.
Le dossier et ses questions