Documentation, analyse post-incident et continuité d’activité¶

1. Objectif du cours¶

Fournir les principes et méthodes pour documenter un incident de sécurité, analyser ses causes profondes, capitaliser les enseignements et concevoir/valider des plans de continuité et de reprise adaptés. L’objectif est d’améliorer la résilience organisationnelle via une démarche d’apprentissage structuré.

2. Notions et définitions essentielles¶

Documentation d’incident : capture et organisation structurée des informations relatives à un incident.
Analyse des causes racines (RCA) : méthode pour identifier les causes profondes au‑delà des symptômes.
PCA (Plan de Continuité d’Activité) : mesures pour maintenir les activités essentielles.
PRA (Plan de Reprise d’Activité) : mesures techniques pour restaurer les SI après incident.
BIA (Business Impact Analysis) : évaluation des conséquences d’une indisponibilité.
RTO / RPO : délais/max de reprise et perte de données tolérée.
Chaîne de custody : traçabilité des accès et actions sur les preuves.
Méthodes : 5 Pourquoi, diagramme d’Ishikawa.
Indicateurs SMART : critères pour définir des objectifs de suivi.

3. Fonctionnement et principes¶

Structuration : utiliser des templates standardisés (détection, diagnostic, chronologie, impact, réponses, actions correctives) pour garantir exhaustivité et lisibilité selon les publics (technique, direction, autorités).
Chronologie : reconstruire une timeline factuelle en synchronisant toutes les sources temporelles (logs, tickets, e‑mails, témoignages) sur un temps commun (UTC) et la valider avec les intervenants.
Préservation des preuves : collecter logs, captures, communications, horodater, documenter accès pour garantir recevabilité juridique.
RCA systémique : combiner 5 Pourquoi et Ishikawa pour identifier facteurs techniques et organisationnels (modèle du fromage suisse).
Capitalisation : prioriser actions par impact et faisabilité, définir indicateurs (mise en œuvre, efficacité, maturité) et piloter via tableau de bord.
Continuité : conduire une BIA orientée cyber, définir RTO/RPO par processus, cartographier interdépendances, appliquer principe de redondance et règle 3‑2‑1 pour sauvegardes.
Validation : tests progressifs (techniques → fonctionnels → simulations complètes) et débriefings structurés pour améliorer le PCA/PRA.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

Assurer l’intégrité et la traçabilité des preuves (horodatage, journalisation des accès) pour valeur juridique.
Protéger les archives et limiter les accès aux documents post‑incident (sauvegardes redondantes, contrôle des droits).
Anonymiser systématiquement les retours d’expérience destinés à des communautés externes pour éviter la ré‑identification.
Favoriser une communication sans blâme pour encourager la transparence interne.
Préférer des sauvegardes isolées/déconnectées ou sur supports amovibles plutôt que des copies en ligne directement accessibles depuis l’infrastructure compromise.
Tester régulièrement la restauration des sauvegardes et les procédures de bascule ; annoncer les exercices sauf le scénario détaillé pour préserver l’efficacité du test.

6. Points essentiels à retenir pour le TSSR¶

Documenter systématiquement avec un template adapté aux parties prenantes (technique, direction, autorités).
Construire une timeline fiable en synchronisant sources et en validant auprès des intervenants.
Utiliser 5 Pourquoi + Ishikawa pour remonter aux causes organisationnelles et techniques (éviter les corrections cosmétiques).
Prioriser les actions par impact sur le risque et faisabilité, assigner des responsables et jalons.
Définir RTO/RPO processus par processus via une BIA pour dimensionner les solutions techniques.
Appliquer la règle 3‑2‑1 des sauvegardes et isoler les environnements de secours.
Tester de façon progressive et mesurer les performances (temps de basculement, taux de disponibilité).
Partager anonymisé au sein des CERT/communautés sectorielles pour renforcer la défense collective.
Mettre en place indicateurs SMART (mise en œuvre, efficacité, maturité) et tableaux de bord avec codes couleur.
Favoriser la gouvernance (comité cybersécurité) pour corriger les défaillances organisationnelles.

7. Tableau récapitulatif¶

Élément	Objectif principal	Fréquence recommandée	Remarque clé
PCA	maintenir activités essentielles	révision annuelle / après tests	impliquer responsables métier
PRA	restaurer SI après incident	tests trimestriels / annuels	inclure réplication et isolation
BIA	définir RTO/RPO par processus	révision annuelle	quantifier impacts multi‑dimensions
Sauvegardes 3‑2‑1	garantir récupération données	tests mensuels de restauration	privilégier copies hors site isolées
Tests progressifs	valider procédures	mensuel → trimestriel → annuel	débriefing structuré après chaque exercice

8. Vérifications pratiques¶

Validation de la timeline par revue avec intervenants (confirmations et corrections).
Test de restauration des sauvegardes (vérifier intégrité et délai de restauration).
Mesure des temps de basculement lors d’un test de PRA (comparer au RTO fixé).
Vérification des RPO via réplication/récupération des données pour garantir perte ≤ RPO.
Contrôle de la chaîne de custody (journalisation des accès aux preuves).
Indicateurs de suivi : diminution d’incidents similaires, amélioration des temps de détection, réduction des vulnérabilités critiques.
Vérification de l’anonymisation des rapports avant diffusion externe.

9. Flashcards Anki¶

Qu’est‑ce que la documentation d’incident ? :: Processus structuré de capture et d’organisation des informations relatives à un incident de sécurité.
Que signifie RCA ? :: Root Cause Analysis, méthode d’investigation pour identifier les causes profondes d’un incident.
Quels sont les deux objectifs clés définis par la BIA pour la reprise ? :: RTO (Recovery Time Objective) et RPO (Recovery Point Objective).
Quelle méthode itérative est utilisée pour remonter aux causes profondes ? :: La méthode des « 5 Pourquoi ».
Quel outil visuel permet de catégoriser les causes potentielles ? :: Le diagramme d’Ishikawa (arête de poisson).
Quelle règle de sauvegarde est recommandée dans le cours ? :: La règle 3‑2‑1 : 3 copies, 2 supports, 1 hors site.
Pourquoi anonymiser un retour d’expérience avant partage externe ? :: Pour protéger l’organisation tout en conservant les enseignements transférables.
Quelle pratique protège la valeur juridique des preuves ? :: Horodater les éléments et maintenir la chaîne de custody.
Quels types d’indicateurs doivent être définis pour suivre les améliorations ? :: Indicateurs de mise en œuvre, d’efficacité et de maturité (SMART).
Comment organiser les tests de continuité selon le cours ? :: Progression : tests techniques simples → fonctionnels → interservices → simulations complètes, avec débriefing structuré.