Le cadre GRC de la réponse aux incidents
Bonne lecture et bon apprentissage ! Junior TSAFACK – 26/09/2026 ⏱️ Temps de lecture estimé : 14 minutes
La GRC répond à trois questions complémentaires :
- Gouvernance : qui décide et selon quelles règles ?
- Risques : quoi protéger en priorité, et contre quoi ?
- Conformité : quelles obligations légales et contractuelles s’appliquent ?
Pendant un incident, on n’a pas le temps de répondre à ces questions. Elles doivent être tranchées avant.
1. Gouvernance
Section titled “1. Gouvernance”La politique de gestion des incidents
Section titled “La politique de gestion des incidents”Document court (3 à 5 pages), validé par la direction, qui fixe :
- le périmètre (SI interne, cloud, prestataires, filiales) ;
- les définitions et la grille de gravité ;
- l’organisation (CSIRT, cellule de crise, astreinte) ;
- les délégations de pouvoir (qui peut isoler un système de production sans attendre la direction) ;
- les obligations de signalement internes et externes ;
- la conservation des preuves et la durée d’archivage ;
- la fréquence des exercices et de la revue de la politique.
L’organisation : CSIRT et cellule de crise
Section titled “L’organisation : CSIRT et cellule de crise”| Rôle | Mission pendant l’incident |
|---|---|
| Responsable de l’incident (Incident Manager) | Pilote la réponse, tient la main courante, arbitre les priorités techniques |
| Analystes SOC / CSIRT | Qualifient, analysent, proposent les actions de confinement |
| Administrateurs systèmes & réseaux | Exécutent les actions techniques validées |
| RSSI | Garant du processus, fait le lien avec la direction, valide les décisions à risque |
| DPO | Évalue l’impact sur les données personnelles, prépare les notifications |
| Juridique | Dépôt de plainte, relations avec les autorités, contrats |
| Communication | Messages internes, clients, presse |
| Direction générale | Décisions business (arrêt de production, rançon — toujours déconseillée, communication externe) |
La matrice RACI
Section titled “La matrice RACI”R = Réalise, A = Approuve (un seul par ligne), C = Consulté, I = Informé.
| Activité | Analyste | Incident Manager | Admin | RSSI | DPO | Direction | Juridique |
|---|---|---|---|---|---|---|---|
| Qualifier une alerte | R | A | C | I | – | – | – |
| Déclarer un incident | C | R | I | A | I | I | – |
| Isoler un serveur non critique | C | A | R | I | – | – | – |
| Isoler un serveur critique (ERP) | C | R | R | C | – | A | – |
| Collecter et conserver les preuves | R | A | C | I | – | – | C |
| Notifier l’autorité de protection des données | – | C | – | C | R | A | C |
| Notifier le CSIRT national / l’autorité NIS2 | – | C | – | R | – | A | C |
| Communiquer aux clients | – | C | – | C | C | A | C |
| Porter plainte | – | C | – | C | – | A | R |
| Rédiger le RETEX | C | R | C | A | C | I | – |
La grille de gravité
Section titled “La grille de gravité”| Niveau | Critères | Délai de prise en charge | Qui est prévenu |
|---|---|---|---|
| P4 – Faible | Pas d’impact avéré, un seul poste, pas de données sensibles | 72 h | Équipe SOC |
| P3 – Modéré | Impact limité, contournement possible | 24 h | + Incident Manager |
| P2 – Élevé | Système important touché, données internes exposées | 4 h | + RSSI |
| P1 – Critique | Système vital touché, données personnelles ou clients exposées, propagation en cours | 30 min, 24/7 | + Direction, DPO, cellule de crise |
2. Risques
Section titled “2. Risques”Relier les incidents aux risques
Section titled “Relier les incidents aux risques”Une réponse efficace protège d’abord ce qui compte le plus. D’où l’intérêt d’une analyse de risques préalable, selon ISO/IEC 27005 ou la méthode française EBIOS Risk Manager (ANSSI).
La démarche simplifiée :
- Identifier les valeurs métier (facturation, suivi des livraisons, paie…).
- Identifier les biens supports (serveurs, applications, comptes) qui les portent.
- Estimer les événements redoutés et leur gravité.
- Identifier les scénarios de menace et leur vraisemblance.
- Calculer le niveau de risque = Gravité × Vraisemblance.
- Choisir un traitement : réduire, transférer (assurance cyber), éviter ou accepter.
Matrice de risque (échelle 1 à 4)
Section titled “Matrice de risque (échelle 1 à 4)”| Vraisemblance ↓ / Gravité → | 1 Mineure | 2 Significative | 3 Grave | 4 Critique |
|---|---|---|---|---|
| 4 Quasi certaine | 4 | 8 | 12 | 16 |
| 3 Probable | 3 | 6 | 9 | 12 |
| 2 Possible | 2 | 4 | 6 | 8 |
| 1 Improbable | 1 | 2 | 3 | 4 |
Seuils : 1–3 acceptable, 4–8 à surveiller, 9–16 à traiter en priorité.
Le registre des risques
Section titled “Le registre des risques”C’est le document vivant qui relie la GRC au terrain. Chaque incident doit le mettre à jour (chapitre 7). Nous remplirons celui de LogiTrans au chapitre 3.
3. Conformité
Section titled “3. Conformité”Les obligations de notification les plus courantes
Section titled “Les obligations de notification les plus courantes”| Texte | Qui est concerné | Quoi | Délai |
|---|---|---|---|
| RGPD, art. 33 (UE) | Tout responsable de traitement de données personnelles de résidents européens | Notifier l’autorité de contrôle (CNIL en France) d’une violation de données présentant un risque | 72 h après en avoir pris connaissance |
| RGPD, art. 34 | Idem | Informer les personnes concernées si le risque est élevé | Dans les meilleurs délais |
| NIS2 (UE) | Entités essentielles et importantes (transport, énergie, santé, numérique…) | Alerte précoce → notification → rapport final à l’autorité compétente / CSIRT national | 24 h / 72 h / 1 mois |
| DORA (UE) | Secteur financier | Notification des incidents TIC majeurs | Délais courts fixés par les normes techniques |
| ISO/IEC 27001:2022 | Organisations certifiées | Contrôles A.5.24 à A.5.28 (planification, évaluation, réponse, enseignements, collecte des preuves), A.5.29–A.5.30 (continuité) | Audit annuel |
| Cameroun | Organisations opérant au Cameroun | Loi n° 2010/012 relative à la cybersécurité et à la cybercriminalité ; l’ANTIC est l’agence de référence. Vérifiez aussi les obligations récentes en matière de protection des données personnelles | Selon les textes applicables |
| Contrats | Clients, assureur cyber, sous-traitants | Clauses de notification et de coopération | Souvent 24 à 72 h |
⚠️ Attention : les délais courent à partir du moment où l’organisation a connaissance de l’incident, pas de la fin de l’enquête. D’où l’importance d’horodater précisément la déclaration de l’incident dans la main courante.
💡 Ces textes évoluent régulièrement. Avant de construire votre politique, vérifiez toujours la version en vigueur auprès de l’autorité compétente et de votre service juridique.
Les preuves de conformité
Section titled “Les preuves de conformité”Un auditeur ou une autorité voudra voir :
- la politique signée et à jour ;
- les comptes rendus d’exercices (chapitre 8) ;
- la main courante de chaque incident ;
- le registre des violations (obligatoire au titre du RGPD, même pour les violations non notifiées) ;
- les plans d’action issus des RETEX et leur suivi.
Checklist « prêt avant l’incident »
Section titled “Checklist « prêt avant l’incident »”- Politique de gestion des incidents validée par la direction
- RACI diffusé et connu des personnes concernées
- Grille de gravité partagée avec le SOC et l’astreinte
- Annuaire de crise hors SI (papier / téléphone), y compris contacts externes : CSIRT national, autorité de protection des données, assureur, prestataire de réponse à incident
- Registre des risques à jour
- Journaux centralisés et conservés (durée conforme aux obligations)
- Sauvegardes hors ligne testées
- Playbooks pour les scénarios prioritaires
- Au moins un exercice par an
Prochaine étape : Le scénario : l’infrastructure de LogiTrans SA →