Ressources · 21
Qualifier un incident cyber et préserver les premières preuves
Transformer un signal confus en chronologie, hypothèses, décisions et escalade proportionnée.
· 18 min
Ce que ce guide permet
- Recevoir un signal utile
- Préserver le contexte
- Qualifier l’impact
- Organiser les décisions
Contrôle express
- Qui a observé quoi, où et quand ?
- Quelles sources ou traces risquent de disparaître ?
- Quels services, comptes et données pourraient être touchés ?
- Qui décide des mesures immédiates ?
- Quand la qualification sera-t-elle réévaluée ?
Méthode pas à pas
- 01
Ouvrir un dossier unique
Enregistrer le signal initial, l’heure, l’observateur, les systèmes concernés et le canal de remontée. Définir un responsable de suivi et une suppléance.
Livrable : fiche d’incident horodatée.
- 02
Séparer fait et hypothèse
Lister les observations vérifiables, leur source et leur degré de confiance. Formuler les scénarios possibles sans présumer de l’origine ou de l’étendue.
Livrable : chronologie factuelle et hypothèses à tester.
- 03
Préserver les éléments volatils
Identifier journaux, alertes, messages et états de systèmes utiles ; conserver des copies selon les procédures internes et noter qui a eu accès. Éviter toute manipulation qui détruit les traces.
Livrable : inventaire et chaîne de conservation initiale.
- 04
Évaluer portée et impact
Relier les actifs, comptes, données et parcours métier potentiellement touchés. Noter ce qui est confirmé, exclu ou encore inconnu et les conséquences d’une attente.
Livrable : carte de périmètre et niveau d’impact provisoire.
- 05
Décider et escalader
Choisir les mesures de protection proportionnées, les spécialistes à mobiliser et les interlocuteurs à informer selon les obligations applicables. Enregistrer le décideur et la justification.
Livrable : journal de décisions et plan de communication.
- 06
Réévaluer et apprendre
Fixer un prochain point de situation, intégrer les nouvelles preuves, puis relier les causes et écarts aux actions correctives une fois l’incident clos.
Livrable : mises à jour datées et retour d’expérience.
Indicateurs de pilotage
| Indicateur | Ce qu’il mesure | Première action |
|---|---|---|
| Délai de qualification | Temps entre signal et premier périmètre documenté | Clarifier l’escalade |
| Traçabilité | Décisions avec heure, responsable et raison | Compléter le journal |
| Couverture des preuves | Sources critiques identifiées et préservées | Corriger la collecte |
| Réévaluation | Hypothèses reprises aux points prévus | Mettre à jour le périmètre |
Erreurs fréquentes
- Effacer les traces en intervenant trop tôt
- Publier une cause avant validation
- Laisser plusieurs chronologies contradictoires
- Oublier de dater une décision ou de revoir une hypothèse
Questions fréquentes
Toute alerte est-elle un incident ?
Non. La qualification détermine si les observations justifient une réponse formelle et peut évoluer avec les preuves.
Faut-il attendre de tout comprendre pour protéger ?
Non. Des mesures proportionnées peuvent limiter l’impact pendant l’enquête, à condition de documenter leur effet sur les preuves et le service.
Que communiquer au départ ?
Les faits confirmés, les effets connus, les actions en cours et le prochain point. La cause et l’étendue restent provisoires tant qu’elles ne sont pas établies.
Références officielles
Pour aller plus loin
Analyses associées
