Ressources
Répondre à un incident de sécurité
La réponse à incident suit cinq temps : détecter, confiner, éradiquer, restaurer, capitaliser. Les décisions se préparent à froid, dans une procédure écrite, parce que le moment de l'incident laisse peu de place à l'improvisation.
Cinq temps, préparés à froid
La détection repose sur ce qui a été instrumenté avant : journaux centralisés, alertes de seuil, remontées des utilisateurs. Le confinement isole les systèmes touchés et suspend la propagation, en préservant les traces. L'éradication retire la cause et referme la voie d'entrée. La restauration ramène le service depuis une sauvegarde vérifiée. La capitalisation, enfin, transforme l'événement en procédure améliorée : c'est le temps qui rend le suivant plus court.
- Une procédure écrite, connue de l'astreinte avant tout incident
- Des journaux centralisés et conservés, qui rendent la détection possible
- Un ordre de confinement qui préserve les traces exploitables
- Une restauration depuis une sauvegarde dont le test est daté
- Un rapport post-incident diffusé, avec des actions et des responsables
Ce que chaque temps produit
Cette progression est celle du bloc de réponse à incident du cursus de cybersécurité. Chaque ligne porte un livrable, ce qui rend l'exercice de simulation évaluable comme une épreuve professionnelle.
| Temps | La décision qui s'y prend | Le livrable |
|---|---|---|
| Détection | Qualifier l'alerte et déclencher la procédure | Une fiche d'incident horodatée |
| Confinement | Isoler sans détruire les traces | Un périmètre isolé et une copie des journaux |
| Éradication | Retirer la cause et fermer la voie d'entrée | Un correctif appliqué et vérifié |
| Restauration | Choisir le point de reprise | Un service rétabli depuis une sauvegarde testée |
| Capitalisation | Décider des actions durables | Un rapport post-incident et un plan d'action |
Le volume consacré à la réponse
- heures encadrées de réponse à incident
- 180
- heures de test d'intrusion
- 220
- modules du champ cybersécurité
- 18
Détection, confinement, investigation numérique, rapport.
Connaître l'attaque rend la défense concrète.
Socle de formation continue, comptage réel.
Questions d'exploitation
Qui décide de couper un service ?
La procédure le désigne avant l'incident : un responsable nommé, avec un suppléant et un moyen de le joindre. C'est la décision la plus coûteuse à prendre dans l'urgence, donc celle qui gagne le plus à être préparée à froid.
Combien de temps conserver les journaux ?
Assez longtemps pour couvrir le délai entre une intrusion et sa détection, ce qui conduit la plupart des organisations à conserver plusieurs mois. La durée retenue s'inscrit dans le tableau de gouvernance, avec le volume et le coût de stockage associés.
Faut-il simuler un incident ?
Oui, une fois par an au moins : l'exercice révèle les numéros qui ne répondent pas, les accès manquants et les décisions que personne ne se sent autorisé à prendre. Il coûte une demi-journée et rend la procédure réellement applicable.
À explorer ensuite
- Continuité de serviceDurée d'interruption admissible, perte de données admissible, sauvegarde, bascule, énergie et exercices : construire un plan de continuité vérifiable.
- Réseaux et infonuagiqueAdressage, routage, segmentation, virtualisation, conteneurs et architectures infonuagiques : les fondamentaux d'une infrastructure maîtrisée.
- Maintenance industriellePlan préventif, analyse vibratoire, thermographie, seuils d'alerte, gestion des pièces et indicateurs de disponibilité : organiser la maintenance d'un site.
- Comptabilité OHADAPlan de comptes, journal, grand livre, balance, états financiers, taxe sur la valeur ajoutée et immobilisations : la comptabilité OHADA appliquée.
- Lire des états financiersBilan, compte de résultat, tableau des flux : les ratios de rentabilité, de structure et de liquidité qui permettent un diagnostic argumenté.
- Budget prévisionnelHypothèses de volume et de prix, structure de coûts, seuil de rentabilité, saisonnalité et suivi des écarts : construire un budget qui sert au pilotage.