Retour à la normale

Définition

Le retour à la normale, aussi appelé phase de récupération dans le cycle de réponse à incident du NIST SP 800-61, désigne l'ensemble des actions permettant de restaurer le fonctionnement opérationnel des systèmes après l'éradication d'une compromission. Cette phase inclut la remise en production progressive et contrôlée des systèmes affectés, la restauration de données à partir de sauvegardes vérifiées comme saines, la validation de l'intégrité des configurations, ainsi qu'une surveillance renforcée temporaire afin de détecter tout signe de réinfection ou de persistance résiduelle de l'attaquant. Le retour à la normale ne signifie pas un simple rétablissement à l'identique : il constitue souvent l'occasion d'implémenter des mesures correctives durables, comme le renforcement de l'authentification multifacteur, la segmentation réseau ou la révision des politiques d'accès, afin de réduire la probabilité de récurrence d'un incident similaire. La décision de remettre un système en production repose sur des critères précis, définis en amont dans le playbook de réponse à incident, incluant la validation par les équipes de sécurité et, le cas échéant, par des auditeurs externes. Une communication claire vis-à-vis des parties prenantes internes et externes accompagne généralement cette phase, notamment lorsque des obligations réglementaires imposent la démonstration d'un retour à un état de sécurité maîtrisé, comme dans le cadre de NIS2 ou du RGPD.