Analyse des causes profondes

Définition

L'analyse des causes profondes, ou RCA (Root Cause Analysis), est une méthode d'investigation post-incident qui vise à identifier la ou les causes fondamentales ayant rendu possible un incident de sécurité, au-delà de ses symptômes immédiats, afin de mettre en œuvre des mesures correctives durables plutôt que des correctifs superficiels. Elle s'appuie sur des techniques structurées comme les « 5 pourquoi » (questionnement itératif remontant la chaîne causale), le diagramme d'Ishikawa (causes/effets classées par catégories) ou l'analyse de la chronologie détaillée des événements techniques et organisationnels ayant précédé l'incident. Dans un contexte cyber, l'analyse peut révéler qu'une compromission apparemment due à un email de phishing (T1566) trouve sa cause profonde dans l'absence de formation de sensibilisation, une politique de mots de passe insuffisante, ou l'absence d'authentification multifactorielle sur les comptes exposés. Menée par les équipes SOC, souvent en lien avec le niveau 3 (threat hunters) et les équipes de gestion des vulnérabilités, cette analyse alimente le registre des incidents de sécurité et enrichit la base de connaissances des incidents. Ses conclusions se traduisent en plan d'action correctif suivi dans le temps, un livrable attendu par les référentiels ISO 27001 et NIST CSF (fonction Répondre et Récupérer), et constitue un facteur clé pour éviter la récurrence d'incidents similaires au sein du système d'information.