Réponse aux incidents : le plan doit fonctionner avant que l'incident ne survienne

La réponse aux incidents est l’un des indicateurs les plus clairs de la maturité en cybersécurité. La question n’est pas de savoir si une organisation possède un document appelé plan de réponse aux incidents. La question est de savoir si elle peut l’exécuter sous pression.

Lors d’un incident cyber, le temps se comprime. Les équipes techniques enquêtent, les équipes juridiques évaluent les obligations de notification, la direction doit prendre des décisions, les équipes de communication préparent les messages, les régulateurs doivent parfois être informés, des clients peuvent être affectés, et les équipes métier veulent que les services soient rétablis.

Une capacité solide de réponse aux incidents définit les rôles, les chemins d’escalade, les pouvoirs de décision, les niveaux de gravité, les canaux de communication, le traitement des preuves, le soutien externe et la coordination de la reprise. Elle doit aussi s’articuler avec la continuité d’activité, la reprise après sinistre, l’assurance cyber, le secret professionnel et la communication de crise.

Les tests sont essentiels. Exercice de gestion de crise, simulations techniques, scénarios de ransomware, exercices de panne fournisseur et répétitions de crise au niveau de la direction permettent de révéler les lacunes avant qu’un véritable incident ne le fasse.

Les faiblesses les plus courantes sont une responsabilité floue, une escalade lente, une journalisation déficiente, des sauvegardes non testées, une communication inadéquate et une incertitude sur les délais de reporting réglementaire.

La réponse aux incidents doit être traitée comme une capacité opérationnelle, pas comme un document de conformité.

Message clé : Le pire moment pour découvrir que personne ne sait qui est aux commandes, c’est en plein milieu d’un incident cyber.