Incident Response (Réponse aux Incidents)

Définition

L'Incident Response (réponse aux incidents) désigne le processus structuré et méthodique par lequel une organisation détecte, analyse, confine, éradique et se remet d'un incident de sécurité affectant ses systèmes d'information, encadré par des frameworks de référence largement adoptés comme le NIST SP 800-61 et les méthodologies SANS, qui décomposent la réponse en phases séquentielles bien que souvent itératives en pratique. La phase de préparation, antérieure à tout incident, établit les procédures, outils et compétences nécessaires : constitution d'une équipe CSIRT, définition de playbooks pour les scénarios les plus probables, mise en place d'une capacité de journalisation suffisante. La détection et l'analyse qualifient un événement suspect en incident avéré, en déterminant son ampleur, sa nature et sa criticité à partir des alertes du SOC, du SIEM ou de signalements externes. Le confinement vise à limiter la propagation de l'incident, distinguant souvent un confinement à court terme (isolation immédiate d'un système compromis) d'un confinement à plus long terme préservant les preuves pour une analyse forensique ultérieure. L'éradication supprime la cause racine de l'incident — malware, compte compromis, vulnérabilité exploitée — tandis que la récupération restaure les systèmes affectés en production avec une surveillance renforcée. La phase finale de retour d'expérience documente les enseignements tirés pour améliorer la posture de sécurité, exigence désormais imposée par la directive NIS2 pour les entités concernées.