Post-mortem d'incident

Définition

Un post-mortem d'incident est une analyse rétrospective structurée conduite après la résolution d'un incident de sécurité, visant à comprendre son déroulement complet, à identifier les causes racines et à en tirer des enseignements exploitables. Correspondant à la phase de retour d'expérience du cycle NIST SP 800-61, cette réunion rassemble généralement les équipes ayant participé à la réponse, incluant le SOC, les administrateurs systèmes, le RSSI et parfois la direction métier concernée. L'exercice suit une méthodologie sans recherche de blâme individuel, dite blameless post-mortem, afin d'encourager une remontée honnête des dysfonctionnements observés durant les phases de détection, de confinement et d'éradication. Le document produit synthétise la chronologie précise des événements, les indicateurs de compromission identifiés, les techniques, tactiques et procédures employées par l'attaquant selon MITRE ATT&CK, l'efficacité des playbooks utilisés, ainsi que les délais mesurés comme le temps moyen de détection et le temps moyen de réponse. Il débouche sur un plan d'actions correctives priorisées, portant par exemple sur l'amélioration des règles de détection, le renforcement de contrôles techniques ou la mise à jour de procédures. Le post-mortem d'incident alimente directement l'amélioration continue du dispositif de sécurité et constitue souvent une preuve documentaire attendue dans le cadre d'audits de conformité à ISO 27001 ou à des exigences contractuelles.