Playbook de réponse à incident

Définition

Un playbook de réponse à incident est un document opérationnel décrivant, étape par étape, les actions à mener face à un type de scénario de sécurité déterminé, comme une infection par rançongiciel, une compromission de compte à privilèges ou une exfiltration de données. Il formalise les rôles et responsabilités, les critères de qualification et de sévérité, les procédures techniques de confinement et d'éradication, les canaux de communication interne et externe, ainsi que les obligations réglementaires associées, notamment la notification à la CNIL ou à l'ANSSI dans certains cas. Contrairement au plan de réponse aux incidents, document stratégique global, le playbook est un guide tactique et actionnable, souvent structuré selon les phases du cycle NIST SP 800-61 : préparation, détection et analyse, confinement, éradication, remédiation et retour d'expérience. Les playbooks modernes sont fréquemment intégrés dans des plateformes de type SOAR pour automatiser certaines actions, comme l'isolement d'un poste via l'EDR ou le blocage d'une adresse IP au niveau du pare-feu. Leur efficacité repose sur des mises à jour régulières, des tests via exercices de simulation de crise ou table-top exercises, et une adaptation continue face à l'évolution des tactiques, techniques et procédures observées dans le paysage des menaces. Un playbook bien conçu réduit significativement le temps moyen de réponse et limite l'impact opérationnel d'un incident.