Rapport d'incident

Définition

Un rapport d'incident est un document formel décrivant un incident de sécurité, sa chronologie, son impact, les actions de réponse mises en œuvre et les mesures correctives associées. Il constitue une trace officielle destinée à plusieurs audiences : la direction, pour la prise de décision et la gestion des risques ; les équipes techniques, pour le suivi des actions correctives ; les auditeurs, dans le cadre de la conformité à des référentiels comme ISO 27001 ou NIST CSF ; et parfois les autorités, lorsque l'incident implique une violation de données personnelles soumise à notification auprès de la CNIL sous soixante-douze heures au titre du RGPD, ou un incident affectant un opérateur de service essentiel devant être signalé à l'ANSSI dans le cadre de NIS2. Le rapport d'incident détaille généralement le vecteur d'attaque initial, les systèmes et données affectés, les indicateurs de compromission identifiés, les tactiques, techniques et procédures observées selon MITRE ATT&CK, la chronologie des découvertes et des actions de confinement, d'éradication et de récupération, ainsi qu'une évaluation de l'impact financier et opérationnel. Sa rédaction rigoureuse est essentielle en cas de contentieux ou de réclamation d'assurance cyber, où il sert de pièce justificative. Un rapport d'incident bien documenté alimente également le post-mortem et contribue à l'amélioration continue de la posture de sécurité de l'organisation.