La deuxième révision (Rev. 2) de la SP 800-61, le guide de réponse aux incidents publié par le NIST américain en 2012, présente la réponse aux incidents comme un cycle de quatre phases. Quel ordre des phases est correct ?

Réponse : B. Préparation → détection et analyse → confinement, éradication et rétablissement → activités post-incident

La SP 800-61 Rev. 2 présente quatre phases : la « préparation », qui met en place l'organisation, les procédures et les outils ; la « détection et analyse », qui juge à partir des alertes et des journaux s'il s'agit d'un incident et en estime l'impact ; le « confinement, éradication et rétablissement », qui arrête l'extension des dommages, élimine la cause et rétablit l'activité ; et les « activités post-incident », qui organisent les enseignements pour la fois suivante. On fait des allers-retours entre la détection et analyse et le confinement, éradication et rétablissement, et les enseignements des activités post-incident sont réinjectés dans la préparation pour améliorer les règles de détection et les procédures. La troisième révision (Rev. 3), publiée en avril 2025, a réorganisé le guide autour des fonctions du Cybersecurity Framework (CSF) 2.0 du NIST, mais le modèle en quatre phases reste largement utilisé.