La réponse aux incidents gère une faille de sécurité de sa détection à sa résolution. Le processus suit un cadre structuré : préparation, identification, confinement, éradication, rétablissement et analyse des retours d’expérience. Chaque phase présente ses propres défis. La préparation consiste à constituer l’équipe, à mettre en place les outils et les procédures. L’identification confirme qu’il s’agit bien d’un incident et non d’une fausse alerte. Le confinement stoppe la propagation. L’éradication supprime l’accès de l’attaquant. Le rétablissement permet de retrouver un fonctionnement normal. L’analyse des retours d’expérience permet d’éviter qu’un incident similaire ne se reproduise.

La rapidité est cruciale à chaque étape. Plus un attaquant reste longtemps infiltré, plus les dégâts sont importants. Le temps de présence moyen, c'est-à-dire le délai entre la compromission et la détection, a diminué au fil des ans, mais se compte encore en semaines pour de nombreuses organisations. Les équipes de ransomware agissent plus vite. Elles exfiltrent les données et chiffrent les systèmes en quelques jours. Un plan d'intervention qui prend une semaine à mettre en œuvre est inefficace face à un tel délai. Les meilleures équipes de réponse aux incidents s'entraînent. Elles organisent des exercices de simulation, simulent des intrusions et répètent leurs communications. Elles savent qui contacte le service juridique, qui parle à la presse et qui négocie avec l'attaquant. Lorsqu'un incident réel survient, elles ne sont pas confrontées à une situation inédite. Elles appliquent un plan qu'elles ont déjà mis en œuvre.

Phases de réponse aux incidents

• Préparation — équipe, outils et manuels de stratégie
• Identification — confirmer et circonscrire l'incident
• Confinement — stopper la propagation
• Éradication — supprimer l'accès de l'attaquant
• Reprise — rétablir les opérations
• Leçons apprises – s'améliorer pour la prochaine fois

La gestion des incidents est un travail d'équipe. L'aspect technique n'en représente que la moitié. La communication et la coordination sont déterminantes pour l'issue de la situation.