Qu'est-ce que Réponse aux incidents ?

Ensemble des activités menées lorsqu'un incident de sécurité, comme une cyberattaque, se produit : trouver les dommages et en arrêter l'extension, éliminer la cause et rétablir l'activité, puis appliquer les enseignements tirés. La deuxième révision de la SP 800-61 du NIST américain (2012) la présente en quatre phases (préparation ; détection et analyse ; confinement, éradication et rétablissement ; activités post-incident), et la troisième révision (2025) l'a réorganisée selon le Cybersecurity Framework (CSF) 2.0. Au sein d'une organisation, le CSIRT la pilote, en coopération avec le SOC, les responsables des systèmes, le service juridique, la communication et la direction.

Nom japonais: インシデントレスポンス

« Réponse aux incidents » apparaît dans 1 questions d'entraînement réparties sur 1 thèmes, dont Cyberattaques et défense en pratique.

Domaine: Cyberattaques et défense en pratique

La préparation détermine le résultat

La rapidité de réaction d'une organisation dépend fortement de sa préparation avant un incident. Listes de contacts et pouvoirs de décision, procédures (playbooks), collecte et conservation des journaux, sauvegardes, outils d'investigation et coordonnées de spécialistes externes et de la police sont fixés à l'avance et vérifiés par des exercices comme les exercices sur table.

Confinement et préservation des preuves

Le confinement, qui arrête l'extension des dommages, recourt à des mesures comme déconnecter des appareils du réseau, désactiver des comptes et bloquer du trafic. Mais effacer ou mettre hors tension tout de suite détruit les preuves nécessaires pour retracer le chemin de l'intrusion (contenu de la mémoire et journaux), et l'attaquant peut revenir parce que la cause n'a jamais été éliminée. L'ordre entre investigation et confinement se décide selon la situation.

Activités post-incident

Après la réponse, l'équipe examine ce qui s'est passé, ce qui a fonctionné et ce qui a manqué, dans le but d'améliorer le dispositif plutôt que de blâmer des personnes. Les résultats alimentent la révision des règles de détection, des playbooks et des configurations des systèmes, et l'amélioration est vérifiée avec des indicateurs comme le temps moyen de détection.

S'entraîner : questions sur Réponse aux incidents

La deuxième révision (Rev. 2) de la SP 800-61, le guide de réponse aux incidents publié par le NIST américain en 2012, présente la réponse aux incidents comme un cycle de quatre phases. Quel ordre des phases est correct ?

ADétection et analyse → préparation → activités post-incident → confinement, éradication et rétablissement
BPréparation → détection et analyse → confinement, éradication et rétablissement → activités post-incident
CConfinement, éradication et rétablissement → préparation → détection et analyse → activités post-incident

Afficher la réponse et l'explication

Réponse : B. Préparation → détection et analyse → confinement, éradication et rétablissement → activités post-incident

La SP 800-61 Rev. 2 présente quatre phases : la « préparation », qui met en place l'organisation, les procédures et les outils ; la « détection et analyse », qui juge à partir des alertes et des journaux s'il s'agit d'un incident et en estime l'impact ; le « confinement, éradication et rétablissement », qui arrête l'extension des dommages, élimine la cause et rétablit l'activité ; et les « activités post-incident », qui organisent les enseignements pour la fois suivante. On fait des allers-retours entre la détection et analyse et le confinement, éradication et rétablissement, et les enseignements des activités post-incident sont réinjectés dans la préparation pour améliorer les règles de détection et les procédures. La troisième révision (Rev. 3), publiée en avril 2025, a réorganisé le guide autour des fonctions du Cybersecurity Framework (CSF) 2.0 du NIST, mais le modèle en quatre phases reste largement utilisé.

Questions fréquentes

La réponse aux incidents est-elle la même chose que la gestion des incidents de la gestion des services informatiques ?

Elles se recoupent, mais ne sont pas identiques. La gestion des incidents d'ITIL et de cadres similaires vise à rétablir le service normal le plus vite possible après toute interruption, pannes comprises. La réponse aux incidents de sécurité y ajoute l'élimination de l'attaquant, la préservation des preuves et les déclarations imposées par la loi et la réglementation ; le CSIRT la pilote donc avec des procédures dédiées.

Si l'on est touché par un rançongiciel, payer la rançon accélère-t-il le rétablissement ?

Payer ne garantit pas que les données pourront être déchiffrées, ni que la promesse de ne pas publier les données volées sera tenue. Le paiement finance d'autres attaques et, selon son destinataire, peut poser des problèmes juridiques. De nombreuses autorités publiques déconseillent de payer, et la préparation repose sur un rétablissement à partir de sauvegardes conservées déconnectées du réseau.

Questions mentionnant « Réponse aux incidents » (1)

La deuxième révision (Rev. 2) de la SP 800-61, le guide de réponse aux incidents publié par le NIST américain en 2012, présente la réponse aux incidents comme un cycle de quatre phases. Quel ordre des phases est correct ?

Termes associés

Attaque par la chaîne d'approvisionnement Centre des opérations de sécurité Cyber Kill Chain EDR (endpoint detection and response) Indicateur de compromission (IoC) Investigation numérique (forensique) MITRE ATT&CK Mouvement latéral (lateral movement) SBOM (nomenclature logicielle) SIEM (gestion des informations et des événements de sécurité)

Retour au glossaire