Guide opérationnel de réponse aux incidents aligné sur NIST SP 800-61r3 et NIS2

Un guide opérationnel pratique de réponse aux incidents basé sur NIST SP 800-61r3 et NIS2, avec des rôles, une matrice de gravité, des règles de preuve et un chemin clair de la détection à l'examen post-incident.

Ce guide opérationnel est destiné aux organisations qui ont besoin d'un processus de réponse aux incidents fonctionnel. Cela comprend les entités NIS2, les entreprises se préparant à la certification ISO/IEC 27001 et les MSP qui gèrent la réponse pour leurs clients. Il suit la structure de la NIST SP 800-61r3 et garde les exigences de NIS2 à l'esprit. À la fin, vous disposerez de l'esquisse d'un plan de réponse aux incidents, d'une matrice de gravité, d'une liste des rôles et des règles de preuve dont vos intervenants ont besoin. La notification réglementaire a son propre guide opérationnel, auquel nous renvoyons aux points de décision.

Avant de commencer

La troisième révision du NIST adopte une vision différente de la réponse aux incidents. Ce n'est plus un cycle autonome. Elle fait partie de la gestion globale des risques de cybersécurité. Dans les fonctions du CSF 2.0, Gouverner, Identifier et Protéger soutiennent la préparation. Détecter, Répondre et Récupérer constituent la réponse elle-même. La catégorie Amélioration (ID.IM) recueille les enseignements de chaque fonction à tout moment, pas seulement après la clôture d'un incident^[1]. Si vous utilisez déjà NIST CSF 2.0, votre plan de réponse aux incidents doit faire référence à ces résultats.

Nommez les rôles essentiels et un suppléant pour chacun :

Rôle	Responsabilité	Titulaire type
Responsable d'incident	Déclare l'incident, fixe la gravité, anime l'appel de coordination, gère la chronologie et le journal des décisions	Responsable de la sécurité, responsable du SOC ou responsable MSP
Responsable technique	Mène l'analyse, le confinement et l'éradication, et dirige les équipes informatiques et cloud	Ingénieur senior ou prestataire DFIR externe
Conseil juridique	Conseille sur la responsabilité, les contrats, l'application de la loi et le secret professionnel, et examine les déclarations externes	Avocat interne ou cabinet retenu
DPO	Évalue l'impact sur les données à caractère personnel et dirige la décision de violation du RGPD	Délégué à la protection des données
Responsable des communications	Gère les mises à jour internes, les messages aux clients et les demandes médias	Responsable des communications ou du marketing
Sponsor exécutif	Approuve les décisions à fort impact (arrêt des services, engagement de tiers, dépenses)	Membre de l'organe de direction

Le NIST mentionne également les ressources humaines, les installations, les propriétaires d'actifs et les tiers tels que les MSSP et les fournisseurs cloud. Leurs rôles doivent être inscrits dans les contrats^[1].

Phase 1 : Préparer le terrain

La préparation détermine le déroulement des autres phases. L'article 21, paragraphe 2, point b), de NIS2 énumère la gestion des incidents comme mesure obligatoire^[3]. Pour les infrastructures numériques et les prestataires de services numériques, l'annexe du règlement d'exécution (UE) 2024/2690 entre dans les détails. Elle couvre une politique de gestion des incidents, la surveillance et l'enregistrement, la notification des événements, l'évaluation et la classification des événements, la réponse aux incidents et les examens post-incidents^[4]. Les entités d'autres secteurs peuvent l'utiliser comme référence bien fondée.

• Approuvez une politique et un plan de réponse aux incidents au niveau de la direction.
• Tenez à jour un inventaire des actifs et des schémas réseau, avec les services critiques classés par ordre de priorité.
• Assurez-vous que les journaux sont centralisés, synchronisés en temps et conservés assez longtemps pour enquêter (au moins 90 jours en ligne est une base raisonnable).
• Organisez une communication hors bande, comme un chat séparé ou un pont téléphonique, au cas où le courrier électronique et votre fournisseur d'identité seraient compromis.
• Signez un contrat de prestation avec un prestataire DFIR, vérifiez ce que votre assurance cyber exige, et conservez la liste des contacts hors ligne.

Phase 2 : Détecter et trier

Les événements proviennent de nombreuses sources : alertes EDR, règles SIEM, signalements d'utilisateurs, fournisseurs, l'équipe CSIRT nationale, et parfois l'attaquant. Le tri décide rapidement si un événement est un incident et sa gravité.

• Ouvrez un ticket pour chaque événement et enregistrez l'heure de la première détection.
• Confirmez l'événement : recherchez des journaux corroborants et excluez un faux positif ou une maintenance planifiée.
• Établissez l'étendue initiale : quels comptes, hôtes, données et services sont impliqués.
• Déclarez un incident lorsque les critères sont remplis. L'heure de la prise de conscience démarre les horloges réglementaires.

Phase 3 : Définir la gravité et mobiliser

Une échelle de gravité partagée indique à chacun combien de personnes contacter, dans quel délai, et qui doit être informé. Adaptez la matrice ci-dessous à vos services et à votre appétit pour le risque. Traitez-la comme une échelle interne : la portée juridique au titre de NIS2, DORA ou du RGPD relève d'une appréciation distincte.

Gravité	Critères typiques	Réponse	Escalade
SEV-1 Critique	Service critique arrêté ou à risque ; exfiltration de données confirmée ; ransomware ; attaquant disposant de droits d'administrateur de domaine	Appel de coordination dans les 30 minutes ; 24/7 jusqu'au confinement	Parrain exécutif, responsable juridique et DPO immédiatement ; vérifiez la notification
SEV-2 Élevé	Compte privilégié compromis ; malware sur plusieurs hôtes ; données à caractère personnel probablement exposées	Appel de coordination dans les 2 heures ; horaires étendus	Responsable des incidents, responsable juridique et DPO le même jour ; vérifiez la notification
SEV-3 Moyen	Un point de terminaison ou un compte utilisateur compromis et confiné ; aucune donnée sensible impliquée	Dans un jour ouvrable	Responsable de la sécurité ; résumé hebdomadaire
SEV-4 Faible	Attaque bloquée, violation de politique, hameçonnage signalé mais non cliqué	File d'attente standard	Métriques mensuelles

Pour SEV-1 et SEV-2, le responsable des incidents démarre immédiatement la décision de notification. Suivez le guide de réponse aux incidents pour NIS2, DORA, CRA et le RGPD, car l'alerte précoce NIS2 est due dans les 24 heures suivant la prise de connaissance^[3].

Phase 4 : Confiner et préserver les preuves

Le confinement arrête la propagation et gagne du temps. La gestion des preuves garantit que vous pouvez toujours déterminer ce qui s'est passé et étayer une demande d'indemnisation auprès de votre assureur ou une plainte pénale. Collectez les données volatiles avant de modifier les systèmes si vous le pouvez. La RFC 3227 énonce l'ordre de volatilité : la mémoire et l'état du réseau précèdent le disque^[5].

• Confinement à court terme : isolez les hôtes via EDR plutôt que de les éteindre, bloquez les adresses IP et domaines malveillants, et désactivez les comptes compromis et révoquez leurs sessions.
• Preuves : capturez les images mémoire et disque des systèmes clés, exportez les journaux cloud et d'identité avant qu'ils ne soient remplacés, et calculez le hash de chaque artefact.
• Chaîne de traçabilité : enregistrez pour chaque élément qui l'a collecté, quand, comment, où il est stocké et chaque transfert.
• Confinement à long terme : segmentez les réseaux, renouvelez les identifiants par ordre de priorité, et maintenez les systèmes qui doivent rester opérationnels sous surveillance étroite.

Phase 5 : Éradiquer la menace

L'éradication supprime l'accès de l'attaquant, et vous ne la terminez qu'une fois que vous avez compris l'étendue. Si vous éradiquez avant de comprendre, l'attaquant revient par un mécanisme de persistance que vous n'aviez pas vu.

• Identifiez le vecteur d'accès initial et tous les mécanismes de persistance : comptes, tâches planifiées, autorisations OAuth, shells web, outils distants.
• Supprimez les logiciels malveillants et les comptes non autorisés, et fermez la vulnérabilité qui a été exploitée.
• Réinitialisez les identifiants dans une séquence planifiée : d'abord les comptes privilégiés et de service, puis le compte Kerberos KRBTGT deux fois si Active Directory est affecté.
• Analysez l'ensemble du parc pour les indicateurs de compromission connus avant de déclarer l'éradication terminée.

Phase 6 : Rétablir les services en toute sécurité

Rétablissez les services dans l'ordre de votre analyse d'impact métier, à partir de sources fiables, avec une surveillance renforcée en place.

• Restaurez à partir de sauvegardes que vous avez vérifiées comme étant propres. Vérifiez la date de restauration par rapport à la première activité connue de l'attaquant.
• Reconstruisez les systèmes critiques à partir d'images renforcées lorsque vous ne pouvez pas être certain que leur intégrité est intacte.
• Demandez aux propriétaires d'actifs de valider la fonctionnalité et l'intégrité des données avant de rouvrir aux utilisateurs et aux clients.
• Maintenez les règles de détection renforcées en place pendant au moins 30 jours.

Phase 7 : Examiner et améliorer

L'annexe du règlement d'exécution 2024/2690 prévoit des examens post-incident permettant d'identifier la cause profonde et les enseignements tirés. Elle prévoit également que les résultats soient réintégrés dans les mesures de sécurité^[4]. NIST r3 traite l'amélioration comme un processus continu plutôt que comme une phase finale^[1].

• Tenez un examen sans culpabilité dans les deux semaines suivant la clôture pour chaque incident SEV-1 et SEV-2.
• Reconstruisez la chronologie, identifiez ce qui a fonctionné et ce qui n'a pas fonctionné, et assignez des actions aux responsables avec des délais.
• Mettez à jour le plan, les guides opérationnels, les règles de détection et le registre des risques.
• Assurez-vous que les faits correspondent aux rapports réglementaires finaux.

Le modèle d'accompagnement comprend un plan complet de réponse aux incidents avec des fiches de rôles, la matrice de gravité, des modèles de communication, un registre des preuves et un formulaire d'examen post-incident. Dans Secrato, le plan approuvé et les rapports d'exercice sont stockés une seule fois comme preuves par rapport aux contrôles de gestion des incidents, et ce résultat unique compte pour NIS2, CyFun et ISO/IEC 27001.

Comment cela se connecte à d'autres référentiels

Les contrôles 5.24 à 5.28 de l'annexe A d'ISO/IEC 27001:2022 correspondent presque un à un aux phases ci-dessus : planification, évaluation, réponse, apprentissage et collecte de preuves. CyFun inclut la planification de la réponse aux incidents, l'analyse et l'amélioration dans ses fonctions Respond et Recover. L'article 17 de DORA exige que les entités financières disposent d'un processus documenté de gestion des incidents liés aux TIC avec des indicateurs d'alerte précoce et des procédures pour enregistrer, classer et escalader les incidents. Un seul plan bien géré peut fournir les preuves pour l'ensemble de ces référentiels, ainsi que pour NIS2.

Questions fréquemment posées

NIST SP 800-61r2 est-il toujours valide ?

NIST déclare que la Révision 3 remplace la Révision 2^[2]. Vous pouvez conserver la structure de phase pratique, mais alignez les références et la gouvernance de votre plan avec r3 et CSF 2.0.

Avons-nous besoin d'un plan distinct pour chaque type d'incident ?

Non. Conservez un plan pour le processus et les rôles, et ajoutez des guides opérationnels courts pour les scénarios courants tels que les rançongiciels, le phishing et le compromis de messagerie professionnelle. Chaque guide opérationnel couvre uniquement ce qui diffère du plan principal.

Devons-nous éteindre les machines infectées ?

Généralement pas au départ. L'isolement d'une machine via le réseau ou EDR arrête la propagation et préserve les preuves en mémoire. N'éteignez que si l'isolement n'est pas possible et que les dommages sont en cours.

À quelle fréquence devons-nous tester le plan ?

Au moins une fois par an avec un exercice sur table qui inclut la direction, et à nouveau après des changements majeurs. Utilisez des scénarios réalistes, y compris un où le courrier électronique et le fournisseur d'identité ne sont pas disponibles.