Ce qu'il contient
- Le périmètre et ce qui compte comme incident.
- L'équipe, avec suppléants et coordonnées conservées hors de vos systèmes principaux.
- Les niveaux de gravité et qui est appelé à chacun.
- Les étapes de chaque phase.
- La communication interne, aux clients, aux régulateurs et à la presse : qui dit quoi.
- Les délais légaux et contractuels.
- La gestion des preuves.
- Comment clore et tirer les leçons.
Les phases
La révision 2 du NIST SP 800-61 (2012) décrivait quatre phases. La révision 3, publiée en avril 2025, la remplace et aligne la réponse aux incidents sur les fonctions du NIST Cybersecurity Framework 2.0. Les quatre phases restent une base simple pour rédiger un plan :
- Préparation : outils, contacts, formation.
- Détection et analyse : confirmer, évaluer, consigner.
- Confinement, éradication et rétablissement : arrêter, supprimer la cause, restaurer en sécurité.
- Activités post-incident : revoir ce qui s'est passé et s'améliorer.
Les délais légaux à inclure
- RGPD : 72 heures pour notifier à l'autorité une violation de données personnelles à notifier.
- NIS2 : alerte précoce sous 24 heures, notification sous 72 heures, rapport final dans un délai d'un mois.
- HIPAA : sans retard déraisonnable et dans les 60 jours calendaires.
- DORA : délais fixés par les normes techniques pour les incidents majeurs liés aux TIC.
Le tester
Faites un exercice sur table au moins une fois par an, avec la direction et la personne qui parlera aux clients. Mettez le plan à jour avec ce que vous apprenez, et après chaque incident réel.
Questions
- Quelle différence entre un événement et un incident ?
- Un événement est quelque chose d'observé, comme un échec de connexion. Un incident est un événement qui porte atteinte à la sécurité ou la menace, et qui appelle une réponse.
- Qui doit diriger la réponse aux incidents ?
- Un responsable d'incident désigné, avec un suppléant, qui a l'autorité de prendre des décisions comme mettre un système hors ligne.