Élaboration et mise en œuvre d'un plan de réponse aux incidents¶

1. Objectif du cours¶

Présenter les fondements, l’organisation et les processus opérationnels d’un plan de réponse aux incidents, adapté notamment au secteur de la santé. Fournir les outils méthodologiques (diagrammes, RACI, templates, exercices) pour concevoir, tester et améliorer ce plan.

2. Notions et définitions essentielles¶

Plan de réponse aux incidents : document opérationnel définissant procédures, rôles et responsabilités pour détecter, contenir et éradiquer les incidents.
Phases du plan : préparation, détection, analyse, confinement, éradication, retour d’expérience.
CSIRT : équipe pluridisciplinaire dédiée à la gestion des incidents.
Matrice RACI : outil précisant qui est Responsable, Approuve, Consulté, Informé.
IoC (Indicateurs de compromission) : traces observables d’une compromission (IP, hash, comportements).
Diagramme de flux décisionnel : schéma guidant les décisions selon scénarios et seuils.
Communication de crise : messages adaptés aux différents publics.
AAR (After Action Review) : méthode structurée de débriefing post-incident/exercice.

3. Fonctionnement et principes¶

Le plan s’appuie sur une chaîne d’actions coordonnées : la préparation (outils, formation, astreinte) permet d’accélérer la détection et la qualification ; la détection combine sources internes (logs, SIEM, IDS/IPS) et externes (CERT, bulletins) et doit être corrélée pour réduire les angles morts. Les IoC techniques (hash, IP, domaines) sont rapides mais volatils ; les IoC comportementaux (accès inhabituels, modifications hors horaires) offrent une durabilité plus grande. Les diagrammes décisionnels traduisent des règles en points de décision avec seuils de basculement objectifs (ex. % de postes affectés déclenchant cellule de crise). Le CSIRT, mobilisable rapidement (objectif <30 minutes), s’appuie sur une RACI claire pour éviter les doublons. Les templates et cartes d’action rapide standardisent la réponse initiale ; la communication doit être segmentée par public et préparée à l’avance. Enfin, exercices progressifs et débriefings structurés (AAR, sessions à chaud/froid) alimentent l’amélioration continue.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

Tester le plan au moins deux fois par an avec exercices réalistes.
Maintenir les diagrammes décisionnels accessibles hors ligne.
Corréler plusieurs sources de logs (ANSSI recommande ≥5) pour fiabilité.
Limiter les faux positifs des IoC (seuil d’alerte ; fatigue d’alerte >5 % problématique).
Intégrer un DPO au CSIRT pour respecter obligations de notification (RGPD).
Formaliser astreinte 24/7 et binômes de disponibilité pour prévenir l’épuisement.
Ne pas copier de templates en ligne sans adaptation au contexte légal et outils internes.
Préparer messages types pré-rédigés et ne diffuser aucune information non vérifiée.
Tester cartes d’action en conditions dégradées (coupure, absence réseau).
Journaliser automatiquement les actions (horodatage) pour traçabilité et débriefing.

6. Points essentiels à retenir pour le TSSR¶

Maîtriser les six phases : préparation → détection → analyse → confinement → éradication → retour d’expérience.
Construire et tester des diagrammes décisionnels avec seuils mesurables (ex. % postes affectés).
Composer un CSIRT pluridisciplinaire (technique, RSSI, DPO, référent métier) et formaliser astreinte 24/7.
Utiliser une matrice RACI pour assigner un seul Responsable et un seul Approbateur par action.
Diversifier sources de détection (internes, externes, humains) et automatiser corrélations via SIEM.
Gérer IoC : distinguer techniques vs comportementaux ; actualiser souvent (durée de vie 24–48 h).
Classifier incidents selon impact, étendue, sensibilité des données pour prioriser réponses.
Définir délais d’escalade (immédiat/2 h/72 h) et circuits (SMS pour critique, email pour significatif).
Préparer templates d’incident et cartes d’action (5–7 actions essentielles réalisables en <30 min).
Organiser débriefings AAR à chaud (24 h) puis à froid (1 semaine) et assigner actions correctives.

7. Tableau récapitulatif¶

Élément	Objectif	Caractéristique clé
IoC technique	Reconnaissance rapide	Volatilité élevée (24–48 h)
IoC comportemental	Détection d’anomalies	Plus durable, moins faux positifs si contextualisé
Diagramme décisionnel	Guider actions sous stress	Seuils objectifs, accessible hors ligne
Template d’incident	Standardiser réponse	Rubriques fixes : identification → confinement → éradication
Carte d’action rapide	Aide-mémoire initial	5–7 actions, lisible en <30 min

8. Vérifications pratiques¶

Confirmer que les alerts SIEM corrélées proviennent des ≥5 sources configurées.
Vérifier que l’isolation d’un poste réseau empêche trafic sortant non autorisé.
Contrôler l’intégrité du journal d’incident (horodatage automatique présent).
Confirmer l’état des systèmes critiques (DPI, prescription) indiqués comme « opérationnels ».
Vérifier la date de la dernière sauvegarde pertinente (ex. RH : dernière sauvegarde = 48 h).
Constater l’envoi effectif des notifications réglementaires dans les délais (CNIL 72 h, ANS 24 h selon cas).
Tester l’accès à la plateforme de coordination en conditions de connexion dégradée.

9. Flashcards Anki¶

Quelles sont les six phases d'un plan de réponse aux incidents ? :: Préparation, Détection, Analyse, Confinement, Éradication, Retour d'expérience
Que signifie CSIRT ? :: Computer Security Incident Response Team, équipe pluridisciplinaire de gestion d'incident
Qu'est‑ce qu'une matrice RACI ? :: Outil définissant Responsable, Approbateur, Consulté, Informé pour chaque tâche
Donnez deux types d'IoC mentionnés. :: IoC techniques (IP, hash) et IoC comportementaux (accès hors horaire)
Quelle recommandation de l'ANSSI concernant les sources de logs ? :: Corréler au moins 5 sources de logs différentes
Quel est l'objectif d'un diagramme de flux décisionnel ? :: Guider les décisions selon scénarios et seuils de basculement
Quel délai d'escalade est imposé par le RGPD pour notification CNIL ? :: 72 heures
Quelle pratique est conseillée pour les cartes d'action rapide ? :: Limiter à 5–7 actions essentielles, lisibles en <30 minutes
Quelle méthode de débriefing structuré est recommandée ? :: AAR (After Action Review)
Quel délai de mobilisation est attendu pour un CSIRT efficace selon l'ANSSI ? :: Mobilisable en moins de 30 minutes