Défense
Plan de réponse à incident
Aussi appeléPRIPlan de gestion de crise cyberProcédure de réponse à incident
En résumé
Le document, testé par des exercices, qui décrit qui fait quoi quand un incident de sécurité survient : qualification, décisions d’isolement, préservation des preuves, communication, notification aux autorités, reprise d’activité. Il vaut par sa pratique, pas par sa seule existence.
Plan de réponse à incident, en détail
Un plan utile tient en quelques pages. Il liste les rôles et leurs suppléants, les contacts joignables hors du système d’information compromis, les critères qui déclenchent la crise, les décisions pré-autorisées (isoler un site, couper un accès) et les obligations de notification, comme le délai de 72 heures de la CNIL pour une violation de données personnelles, ou les délais de la directive NIS 2 : définition pour les entités concernées.
La phase de préparation du cycle de réponse recommandé par le NIST comprend les moyens de détection, les sauvegardes éprouvées, les journaux conservés et les exercices. Un plan qui n’a jamais été joué échoue sur des détails : le numéro de téléphone périmé, la sauvegarde jamais restaurée, le décideur injoignable un dimanche.
Qu’est-ce que cela change pour vous ?
La première heure d’un incident ne se prépare pas pendant l’incident. Un plan testé réduit les décisions improvisées, qui sont celles qui détruisent les traces.
Exemple illustratif (fictif)
Imaginons un vendredi soir où un chiffrement est détecté sur un serveur de fichiers. Le plan indique qui décide d’isoler le réseau, le numéro de l’assureur, le prestataire à appeler et le modèle de notification à la CNIL. L’équipe gagne les premières heures, celles où l’on perd le plus souvent des preuves et du temps.
La confusion fréquente
Rédiger un plan trop long, stocké sur le système qui sera indisponible pendant la crise. Gardez-en une copie imprimée et une version hors ligne.
Qui peut vous aider à le mettre en place ?
- Réponse à incident : la prestationComprendre, contenir, puis remettre en service, dans cet ordre.
- Exercice de crise cyber : la prestationDécouvrir les failles de sa gestion de crise un après-midi d’exercice plutôt qu’un dimanche d’attaque.
Aller plus loin
- ArticleSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- AttaqueRançongiciel : définitionUn logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- AttaqueExfiltration de données : définitionLe transfert non autorisé de données depuis un système d’information vers un emplacement contrôlé par un attaquant.
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début