Gestion des Incidents de Sécurité

Phases de gestion des incidents (NIST SP 800-61)

Le modèle NIST SP 800-61 Rev. 2 structure la réponse aux incidents en 4 phases principales : (1) Préparation — plan de réponse documenté, équipe CSIRT constituée et formée, outils déployés (EDR, forensique, communication de crise), exercices réguliers ; (2) Détection et analyse — identification via SIEM/SOC/EDR ou signalement utilisateur, qualification de l'incident (type, sévérité, périmètre), décision d'escalade ; (3) Confinement, éradication et récupération — isolation des systèmes compromis (confinement court terme), suppression de la cause racine (éradication), remise en service propre (récupération) ; (4) Activités post-incident — documentation, retour d'expérience, amélioration du plan.

La classification des incidents selon leur sévérité (P1 critique, P2 majeur, P3 important, P4 mineur) détermine les délais de réponse et les niveaux d'escalade. Un P1 (ex. : ransomware actif sur systèmes critiques) déclenche l'activation immédiate de la cellule de crise, l'appel du PRIS, et potentiellement la notification réglementaire. Un P4 (ex. : tentative de phishing bloquée) est géré par le SOC sans escalade managériale.

Plan de réponse et exercices

Un PRIS (Plan de Réponse aux Incidents de Sécurité) efficace doit être : documenté (pas juste dans la tête du RSSI), testé régulièrement (exercices sur table, simulations, tests de basculement), accessible hors des systèmes habituels (copie physique ou sur un système indépendant), et tenu à jour (après chaque incident, changement organisationnel ou technologique). PCI-DSS Requirement 12.10 impose un test annuel du plan de réponse aux incidents.

Les exercices de simulation de crise cyber (tabletop exercises) sont la méthode la plus accessible pour tester le plan sans perturber la production. Un scénario réaliste (ex. : ransomware découvert un vendredi soir, DG absent) est joué par les équipes concernées (RSSI, DSI, juridique, communication, DG), permettant d'identifier les gaps dans les procédures et les lacunes de communication avant un vrai incident.

Communication de crise et notifications réglementaires

La communication lors d'un incident majeur couvre plusieurs dimensions : communication interne (escalade vers la direction, information des équipes concernées), communication externe aux clients et partenaires impactés, communication réglementaire (CNIL 72h pour données personnelles, ANSSI/CERT-FR pour entités NIS2 24h/72h, ACPR/AMF pour entités financières DORA), et communication médias si l'incident devient public. La préparation des messages de crise en amont (templates validés par le juridique et la direction) accélère la réponse en situation de stress.

La chaîne de communication de crise doit être définie et connue de tous les acteurs avant l'incident : qui appelle qui dans quel ordre, quels canaux alternatifs en cas d'indisponibilité des systèmes habituels (messagerie, téléphones de crise, numéros d'urgence). Un annuaire de crise accessible hors ligne (imprimé ou sur un téléphone dédié hors réseau) est indispensable pour les incidents affectant les systèmes de communication habituels.