Politique Gestion Incidents Cybersecurite PGSSI

Playbooks de réponse par type d'incident

Des playbooks sont nécessaires pour les types d'incidents les plus fréquents et les plus impactants. Playbook Ransomware — alerte SIEM/EDR → qualification (fichiers chiffrés confirmés, extensions inhabituelles, note de rançon) → isolation immédiate des systèmes affectés (déconnecter du réseau, NE PAS éteindre — préserver les artefacts mémoire) → notification RSSI, direction, assureur, PRIS → préservation des preuves (image mémoire, copie des logs) → analyse forensique (patient zéro, vecteur d'entrée, scope de la compromission) → décision de restauration depuis sauvegarde ou négociation → notifications réglementaires (CNIL si données exfiltrées, ANSSI NIS2) → restauration des systèmes depuis des sauvegardes saines → PIR (Post Incident Review).

Playbook Violation de Données Personnelles — découverte de l'incident → qualification RGPD (données personnelles impliquées ? catégories ? nombre de personnes ?) → évaluation du risque pour les personnes (probabilité d'identification, gravité des préjudices potentiels — vol d'identité, préjudice financier, atteinte à la réputation) → notification CNIL dans les 72h si risque probable → notification aux personnes concernées si risque élevé → documentation dans le registre des violations de données (art. 33.5 RGPD — toutes les violations, même celles non notifiées à la CNIL).

Métriques de performance de la gestion des incidents

Les indicateurs clés de performance (KPI) de la gestion des incidents permettent au RSSI de rendre compte à la direction et de mesurer les progrès. Métriques opérationnelles : MTTD (Mean Time to Detect) — délai moyen entre l'occurrence d'un incident et sa détection ; MTTC (Mean Time to Contain) — délai de confinement pour limiter la propagation ; MTTR (Mean Time to Respond/Resolve) — délai de résolution complète ; taux de faux positifs (alertes SOC qui s'avèrent non pertinentes — un taux trop élevé signifie des ressources gaspillées et de la fatigue d'alerte).

Métriques de conformité : taux de notification CNIL dans les 72h (nombre de violations notifiées dans les délais / nombre de violations nécessitant une notification) ; taux de notification ANSSI dans les délais NIS2 ; couverture des playbooks (% des types d'incidents documentés avec un playbook vs. les incidents effectivement survenus) ; taux de complétion des exercices de simulation planifiés. Ces métriques sont présentées au comité de direction (conformément à NIS2 article 20 qui impose la responsabilité de la direction sur la cybersécurité) et servent de base aux décisions d'investissement en sécurité.

Registre des incidents et amélioration continue

Un registre des incidents de sécurité est un journal documentant tous les incidents survenus (mineurs et majeurs) avec leurs circonstances, la réponse apportée, et les actions correctives. Ce registre est un outil d'amélioration continue : l'analyse récurrente du registre des incidents révèle les patterns (types d'incidents récurrents, délais de détection systématiquement élevés pour certaines catégories) et alimente les décisions de renforcement des contrôles.

NIS2 et ISO 27001 (clause 10.2 — amélioration continue) imposent une démarche d'amélioration basée sur les leçons apprises des incidents. Chaque incident significatif doit donner lieu à un PIR (Post Incident Review) documenté identifiant les causes racines (Root Cause Analysis — technique des 5 Pourquoi, Ishikawa/fishbone diagram) et les actions correctives. Les actions correctives sont intégrées dans le plan de traitement des risques du SMSI et leur mise en œuvre est suivie par le RSSI et le management de sécurité.