Base de connaissances des incidents

Définition

La base de connaissances des incidents est un référentiel structuré qui centralise l'historique des incidents de sécurité traités, leurs indicateurs de compromission, les procédures de résolution appliquées et les enseignements tirés, afin de capitaliser sur l'expérience opérationnelle du SOC. Elle regroupe des fiches détaillant le type d'incident, la chronologie des événements, les techniques d'attaque identifiées selon le framework MITRE ATT&CK, les actions de confinement et de remédiation menées, ainsi que les causes profondes déterminées lors de l'analyse post-incident. Intégrée dans les outils SIEM, SOAR ou de gestion de tickets, elle permet aux analystes de retrouver rapidement des cas similaires déjà traités, réduisant le temps moyen de résolution (MTTR) et évitant de réinventer une réponse pour des menaces récurrentes. Elle sert également de socle à l'amélioration continue des manuels de procédures de sécurité et à l'entraînement des nouveaux analystes. Une base de connaissances bien tenue facilite les rapports de tendance destinés à la direction, met en évidence les vulnérabilités récurrentes à traiter en priorité, et alimente le processus de gestion des connaissances requis par les référentiels comme ISO 27001. Sa valeur dépend fortement de la discipline de documentation des équipes et d'une structuration cohérente permettant la recherche croisée par type d'attaque, actif touché ou acteur de la menace.