Introduction à la réponse aux incidents

Bonne lecture et bon apprentissage ! Junior TSAFACK – 26/09/2026 ⏱️ Temps de lecture estimé : 10 minutes

Pourquoi ce module

Aucune organisation n’est à l’abri d’un incident. La vraie différence entre une entreprise qui s’en remet en quelques heures et une autre qui perd des semaines d’activité ne tient pas à la chance : elle tient à la préparation. Qui décide ? Qui prévient qui ? Qui a le droit de couper un serveur de production ? Faut-il prévenir une autorité, et dans quel délai ?

Ce module répond à ces questions en suivant un fil rouge unique : une PME fictive, LogiTrans SA, confrontée à une attaque sur son infrastructure. Chaque chapitre applique une phase du processus au scénario, et chaque phase est reliée à la GRC (Gouvernance, Risques, Conformité). Le module se termine par des simulations sur table que vous pouvez animer en équipe.

Les bonnes définitions

Terme	Définition	Exemple
Événement de sécurité	Tout fait observable dans un système	Une connexion SSH, un échec d’authentification
Alerte	Événement jugé suspect par un outil ou une personne	Le SIEM signale 400 échecs de connexion en 5 minutes
Incident de sécurité	Événement qui compromet (ou menace réellement) la confidentialité, l’intégrité ou la disponibilité	Un compte a été utilisé par un tiers non autorisé
Violation de données	Incident touchant des données personnelles (au sens du RGPD)	Une base clients a été copiée
Crise	Incident dont l’impact dépasse la capacité de gestion courante et implique la direction	Toute la production est à l’arrêt

💡 À retenir : tout incident commence par un événement, mais la plupart des événements ne sont pas des incidents. Le travail de qualification (chapitre 4) sert justement à faire le tri.

Trois cadres de référence

NIST SP 800-61 rév. 3 (2025)

La révision 3 du guide du NIST aligne la réponse aux incidents sur les six fonctions du NIST Cybersecurity Framework 2.0 : Govern, Identify, Protect, Detect, Respond, Recover. Le message clé : la réponse aux incidents ne se limite pas à l’équipe technique, elle s’inscrit dans la gestion globale des risques de l’organisation.

ISO/IEC 27035

La norme internationale de gestion des incidents, en cohérence avec ISO/IEC 27001. Elle découpe le processus en cinq phases :

Planifier et préparer
Détecter et signaler
Évaluer et décider
Répondre
Tirer les enseignements

SANS – PICERL

Le modèle le plus utilisé sur le terrain, en six étapes faciles à mémoriser :

Lettre	Phase	Question clé
P	Préparation	Sommes-nous prêts ?
I	Identification	Que se passe-t-il vraiment ?
C	Confinement (Containment)	Comment empêcher que ça s’étende ?
E	Éradication	Comment retirer la menace ?
R	Restauration (Recovery)	Comment revenir à la normale en sécurité ?
L	Leçons apprises (Lessons learned)	Que change-t-on pour la prochaine fois ?

Le cycle de vie retenu dans ce module

Nous suivrons un workflow unique qui combine les trois cadres et ajoute les jalons GRC :

 ┌──────────────┐   ┌──────────────┐   ┌──────────────┐   ┌──────────────────────┐   ┌──────────────┐
 │ 1. Préparer  │──▶│ 2. Détecter  │──▶│ 3. Analyser  │──▶│ 4. Confiner          │──▶│ 5. Tirer les │
 │  (Gouvernance│   │  & qualifier │   │  & décider   │   │    Éradiquer         │   │ enseignements│
 │   + Risques) │   │              │   │              │   │    Restaurer         │   │ (Conformité) │
 └──────▲───────┘   └──────────────┘   └──────────────┘   └──────────────────────┘   └──────┬───────┘
        │                                                                                   │
        └──────────────── mise à jour des politiques, du registre des risques ◀─────────────┘

Phase	Chapitre	Livrable GRC principal
Préparer	2 et 3	Politique, RACI, registre des risques
Détecter & qualifier	4	Fiche de qualification, main courante
Analyser & décider	5	Rapport d’analyse, cartographie MITRE ATT&CK
Confiner, éradiquer, restaurer	6	Registre des décisions, plan de reprise
Tirer les enseignements	7	Notifications, RETEX, plan d’action
S’entraîner	8	Exercices sur table et grille d’évaluation

Les indicateurs qu’on suivra

MTTD (Mean Time To Detect) : délai entre le début de l’attaque et sa détection.
MTTA (Mean Time To Acknowledge) : délai entre l’alerte et la prise en charge par un analyste.
MTTC (Mean Time To Contain) : délai entre la détection et le confinement.
MTTR (Mean Time To Recover) : délai entre la détection et le retour à la normale.

Nous les calculerons pour le scénario LogiTrans au chapitre 7.

Prochaine étape : Le cadre GRC de la réponse aux incidents →