Établir un diagnostic
Collecter beaucoup de journaux sans scénario ni équipe de traitement peut coûter cher sans améliorer la réponse.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Produire un événement de test autorisé et vérifier son arrivée, sa corrélation et son traitement.
Suivre sources silencieuses, délais de collecte, alertes utiles et incidents non détectés.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.
Trois actions de départ
- Choisir des scénarios de détection pertinents
- Collecter et protéger les événements nécessaires
- Tester les alertes et leur prise en charge