Post-incident et conformité
Bonne lecture et bon apprentissage ! Junior TSAFACK – 26/09/2026 ⏱️ Temps de lecture estimé : 14 minutes
Cette phase est celle que l’on néglige le plus… et celle qui a le plus de valeur. C’est ici que la Conformité s’exerce pleinement et que la Gouvernance et les Risques sont mis à jour.
1. Les notifications
Section titled “1. Les notifications”Déterminer ce qui s’applique
Section titled “Déterminer ce qui s’applique”| Question | Réponse pour LogiTrans | Conséquence |
|---|---|---|
| Des données personnelles sont-elles touchées ? | Oui : ~12 000 fiches clients, dont ~2 300 contacts européens | Analyse RGPD + textes nationaux sur les données personnelles |
| Le RGPD s’applique-t-il ? | À confirmer par le juridique : LogiTrans n’est pas établie dans l’UE mais traite des données de contacts européens dans le cadre de ses services | Par prudence, LogiTrans applique la procédure RGPD |
| Le risque pour les personnes est-il élevé ? | Moyen : noms, courriels et téléphones professionnels, pas de données bancaires ni sensibles ; risque d’hameçonnage ciblé | Notification à l’autorité oui ; information des personnes recommandée |
| NIS2 s’applique-t-elle ? | Non : LogiTrans n’est pas établie dans l’UE. Mais deux clients européens soumis à NIS2 exigent contractuellement d’être informés | Notification contractuelle aux clients concernés |
| Obligations nationales ? | Signalement à l’agence nationale compétente (ANTIC au Cameroun) et plainte pour accès frauduleux | Juridique en charge |
| Assureur cyber ? | Le contrat impose une déclaration sous 48 h | Déclaration le 14/09 |
Le calendrier des notifications
Section titled “Le calendrier des notifications”| Échéance | Destinataire | Contenu | Envoyé le |
|---|---|---|---|
| < 48 h (contrat) | Assureur cyber | Déclaration de sinistre | 14/09 11:00 ✅ |
| < 72 h (17/09 03:05 UTC) | Autorité de protection des données | Notification initiale (nature, catégories et nombre approximatif de personnes, conséquences, mesures) | 16/09 15:00 ✅ |
| Selon contrat | Clients européens concernés | Information sur l’incident et les mesures | 16/09 17:00 ✅ |
| Dès que possible | Personnes concernées | Courriel de vigilance contre l’hameçonnage | 18/09 ✅ |
| Dès que possible | Autorités nationales, police/gendarmerie | Signalement et dépôt de plainte | 15/09 ✅ |
| Complément | Autorité de protection des données | Notification complémentaire après enquête | 02/10 ✅ |
💡 La notification peut se faire en plusieurs temps. Mieux vaut une notification initiale incomplète dans les délais qu’une notification parfaite en retard.
Le registre des violations
Section titled “Le registre des violations”Même lorsqu’une violation n’est pas notifiée, le RGPD impose de la consigner dans un registre interne : faits, effets, mesures prises. L’entrée de LogiTrans :
| Champ | Valeur |
|---|---|
| Référence | INC-2026-0914-01 |
| Date de la violation / de la découverte | 14/09/2026 02:11 / 14/09/2026 03:05 |
| Nature | Atteinte à la confidentialité (copie de base) et à la disponibilité (chiffrement) |
| Catégories de données | Identité et coordonnées professionnelles, historique de facturation |
| Nombre de personnes | ~12 000 dont ~2 300 dans l’UE |
| Conséquences probables | Hameçonnage ciblé, usurpation d’identité de LogiTrans auprès des clients |
| Mesures prises | Confinement, reconstruction, rotation des secrets, MFA, information des personnes |
| Notification autorité | Oui, 16/09/2026 |
| Information des personnes | Oui, 18/09/2026 |
2. La communication
Section titled “2. La communication”| Public | Message clé | Canal | Validé par |
|---|---|---|---|
| Salariés | Ce qui se passe, ce qu’on attend d’eux (mode dégradé, vigilance), à qui s’adresser. Ne pas parler à la presse | Réunion + affichage | DG |
| Clients | Faits, mesures, conseils de vigilance, contact dédié | Courriel personnalisé | DG + juridique |
| Presse (si sollicitée) | Déclaration courte et factuelle, pas de spéculation | Porte-parole unique | DG |
⚠️ Règle d’or : ne jamais affirmer « aucune donnée n’a été volée » tant que l’enquête n’est pas terminée.
3. Le retour d’expérience (RETEX)
Section titled “3. Le retour d’expérience (RETEX)”Principes
Section titled “Principes”- Organisé dans les deux semaines suivant la clôture technique, tant que les souvenirs sont frais.
- Sans recherche de coupable (blameless) : on cherche ce qui, dans les processus et les outils, a permis l’erreur. Si les gens craignent la sanction, ils cachent les problèmes.
- Tous les acteurs sont invités : technique, métier, DPO, direction, prestataire SOC.
Les questions du RETEX
Section titled “Les questions du RETEX”- Que s’est-il passé, et quand ?
- Qu’est-ce qui a bien fonctionné ?
- Qu’est-ce qui a mal fonctionné ou manqué ?
- Qu’aurions-nous pu faire différemment, à chaque phase ?
- Quels indicateurs aurions-nous dû voir plus tôt ?
- Quelles actions concrètes, avec quel responsable et quelle échéance ?
Les constats de LogiTrans
Section titled “Les constats de LogiTrans”| ✅ Ce qui a fonctionné | ❌ Ce qui a manqué |
|---|---|
| Journaux centralisés hors du serveur : chronologie complète | Alertes non corrélées : 49 min entre le premier signe et l’alerte critique |
| Délégation P1 claire : confinement décidé en 27 min sans attendre la direction | Règle de pare-feu temporaire jamais refermée : aucun processus de changement |
| Sauvegarde hors ligne intacte : RPO respecté | MFA prévu (R-01) mais en retard de 3 mois |
| Notification RGPD dans les délais | RTO de 8 h dépassé (13 h 38) : procédure de reconstruction jamais testée |
| Annuaire de crise papier à jour | Compte prestataire avec mot de passe faible et droits illimités |
| Aucun filtrage des flux sortants depuis les serveurs |
Les indicateurs calculés
Section titled “Les indicateurs calculés”| Indicateur | Calcul | Valeur | Objectif |
|---|---|---|---|
| MTTD | 1er signe (01:52) → alerte critique (02:41) | 49 min | < 15 min |
| MTTA | Alerte critique (02:41) → prise en charge SOC (02:50) | 9 min | < 15 min ✅ |
| MTTC | Alerte critique (02:41) → confinement (03:32) | 51 min | < 1 h ✅ |
| MTTR | Alerte critique (02:41) → ERP en service (17:10) | 14 h 29 | < 8 h ❌ |
4. Le rapport d’incident
Section titled “4. Le rapport d’incident”Modèle à réutiliser :
RAPPORT D'INCIDENT — INC-2026-0914-01Classification : CONFIDENTIEL — Diffusion restreinte──────────────────────────────────────────────────────────────1. Synthèse pour la direction (5 lignes maximum)2. Chronologie détaillée (de la cause initiale à la clôture)3. Périmètre : systèmes, comptes et données touchés4. Analyse technique et cartographie MITRE ATT&CK5. Causes racines (techniques ET organisationnelles)6. Impact : disponibilité, intégrité, confidentialité, financier, juridique, réputation7. Actions de réponse menées et registre des décisions8. Notifications réalisées (destinataire, date, référence)9. Indicateurs (MTTD, MTTA, MTTC, MTTR) vs objectifs10. Enseignements et plan d'action11. Annexes : main courante, chaîne de conservation, preuves──────────────────────────────────────────────────────────────5. Boucler la boucle GRC
Section titled “5. Boucler la boucle GRC”Mise à jour du registre des risques
Section titled “Mise à jour du registre des risques”| ID | Scénario | G | V avant | V après | Niveau après | Évolution |
|---|---|---|---|---|---|---|
| R-01 | Compromission d’un compte administrateur | 4 | 2 | 4 | 16 | Le risque s’est réalisé : vraisemblance réévaluée, MFA passé en priorité absolue |
| R-02 | Service d’administration exposé par erreur | 4 | 2 | 4 | 16 | Réalisé : processus de changement obligatoire |
| R-03 | Rançongiciel sur les sauvegardes | 4 | 2 | 3 | 12 | Sauvegarde hors ligne efficace, mais sauvegardes locales touchées |
| R-04 | Fuite de la base clients | 4 | 2 | 4 | 16 | Réalisé |
| R-06 (nouveau) | Compte tiers (prestataire) avec privilèges excessifs | 4 | 3 | – | 12 | Nouveau risque identifié |
| R-07 (nouveau) | Reconstruction plus lente que le RTO | 3 | 3 | – | 9 | Nouveau risque identifié |
Une fois les mesures du plan d’action en place, la vraisemblance sera réévaluée à la baisse lors de la prochaine revue.
Le plan d’action
Section titled “Le plan d’action”| N° | Action | Risque | Responsable | Échéance | Statut |
|---|---|---|---|---|---|
| A1 | Déployer le MFA sur tous les accès d’administration et le VPN | R-01 | Responsable IT | 15/10/2026 | En cours |
| A2 | Processus de changement obligatoire pour toute règle de pare-feu, avec date d’expiration | R-02 | Admin réseau | 30/10/2026 | En cours |
| A3 | Revue mensuelle automatisée des services exposés sur Internet | R-02 | RSSI | 30/10/2026 | À faire |
| A4 | Accès prestataires via bastion, MFA, durée limitée, comptes nominatifs | R-06 | Responsable IT | 15/11/2026 | À faire |
| A5 | Règle de corrélation SIEM : échecs répétés puis succès puis création de compte | R-01 | Prestataire SOC | 15/10/2026 | Fait ✅ |
| A6 | Filtrage des flux sortants de la zone serveurs par liste blanche | R-04 | Admin réseau | 30/11/2026 | À faire |
| A7 | Test semestriel de reconstruction de l’ERP chronométré | R-07 | Admin système | 15/12/2026 | À faire |
| A8 | Exercice sur table annuel avec la direction (chapitre 8) | Tous | RSSI | 31/01/2027 | Planifié |
| A9 | Mise à jour de la politique et du RACI (délégation, prestataires) | Tous | RSSI | 30/11/2026 | À faire |
✅ Critère de clôture de l’incident : l’incident n’est clôturé (au sens GRC) que lorsque le rapport est validé par la direction, les notifications sont terminées et le plan d’action est inscrit au suivi du comité de sécurité.
Prochaine étape : Simulations : exercices sur table →