Réponse aux incidents
Tout ce que j’ai écrit sur la réponse aux incidents, en commençant par les articles de recherche. Chacun d’entre eux se termine par une action concrète que vous pouvez mettre en œuvre dès lundi.
Vous êtes confronté à l’un de ces problèmes ? Je travaille avec des organisations qui ont besoin de réponses, pas d’une énième présentation PowerPoint. Discutons-en.
Que contient un court métrage à cinq angles ?
La plupart des sujets présentés ici occupent une page et comportent cinq courtes sections, toujours dans cet ordre. Chacune est identifiée par une couleur spécifique au sein de l’article, ce qui vous permet d’accéder directement à celle qui vous intéresse.
- 1Par où je commencerais : la première mesure que je prendrais et la question que je poserais avant de dépenser quoi que ce soit.
- 2 Lorsque les plans échouent : les points sur lesquels les plans relatifs à ce sujet échouent généralement, et l’hypothèse que je vérifierais en premier lieu.
- 3Au-delà du jargon : ce que le sujet signifie réellement une fois le langage commercial mis de côté.
- 4 À quoi ressemble un bon résultat : le résultat qui vous indiquerait que cela a fonctionné, et le chiffre que je surveillerais.
- 5 Le défi que les dirigeants ne peuvent éluder : la décision que la direction doit prendre, et les éléments dont elle a besoin pour la prendre.
Contactez-moi pour une intervention médiatique concernant un incident →
Services associés : Gestion de la réponse aux incidents, Protection contre le ransomware et reprise après sinistre, Criminalistique numérique, Exercices sur table.
-
Comment savoir si un exercice de simulation de cyberattaque a mis en évidence une véritable lacune en matière de réponse ?
Évaluez les preuves issues de l’exercice de simulation de réponse aux incidents, distinguez la discussion des capacités démontrées, et vérifiez que les mesures correctives comblent les lacunes identifiées.
-
Première réunion de briefing du conseil d’administration après une violation de sécurité
Un briefing sur la réponse aux incidents doit distinguer les faits, les incertitudes et les décisions. Voici comment je présenterais un briefing aux dirigeants alors que l’enquête est toujours en cours.
-
Quelles preuves indiquent qu’un cyberincident est confiné ?
Évaluez le confinement des incidents à l’aide des chemins d’accès bloqués, des sessions encore actives, des observations fiables et des conditions de réouverture explicites — et non à partir des tickets clôturés.
-
Que devez-vous faire si la clé privée d’un certificat TLS est exposée ?
Réagissez à la divulgation d’une clé privée TLS en remplaçant les clés, en révoquant les certificats concernés et en testant le comportement des clients. Comprenez les limites relatives aux sessions et aux données historiques.
-
À quel moment un cyberincident doit-il déclencher une gestion de crise au niveau de la direction générale ?
Définissez les seuils de déclenchement d’une cybercrise en fonction des conséquences sur l’activité, du pouvoir de décision et du temps restant — et non en fonction du nombre d’alertes ou de l’attente d’une certitude issue d’une analyse forensic.
-
Usurpation d’identité par e-mail professionnel
Je ne commencerais pas à lutter contre l’usurpation d’identité par e-mail professionnel en achetant une autre plateforme ou en lançant un vaste programme. Je commencerais par identifier le périmètre, le responsable, et…
-
Réponse aux incidents de sécurité dans le cloud
Je ne commencerais pas la réponse à une violation dans le cloud en achetant une autre plateforme ou en lançant un vaste programme. Je commencerais par identifier le périmètre, le responsable et un...
-
Communication de crise
Je ne commencerais pas la communication de crise en achetant une nouvelle plateforme ou en lançant un programme de grande envergure. Je déterminerais d’abord le périmètre, le responsable et une personne…
-
Faut-il d’abord désactiver le compte ou révoquer les sessions ? L’ordre qui fonctionne réellement
Commencez par bloquer la connexion, puis révoquez toutes les sessions et tous les jetons, et enfin réinitialisez le mot de passe. Voici pourquoi l’ordre est important et ce que chaque étape omet.
-
Faut-il informer les clients avant même de savoir ce qui s’est passé ?
Indiquez aux personnes soumises à une échéance ce que vous savez et ce que vous ignorez, dans les délais impartis. Informez tous les autres lorsque vous êtes en mesure de fournir des informations véridiques et utiles. Comment établir cette distinction.
-
Planification de l’éradication
Je ne commencerais pas la planification de l’éradication en achetant une autre plateforme ou en lançant un vaste programme. Je déterminerais d’abord le périmètre, le responsable, et un...
-
Conservation des preuves
Je ne commencerais pas la préservation des preuves en achetant une autre plateforme ou en lançant un vaste programme. Je déterminerais d’abord le périmètre, le responsable, et un…
-
Triage de la première heure
Je ne commencerais pas le triage de la première heure par l’achat d’une nouvelle plateforme ou le lancement d’un vaste programme. Je déterminerais d’abord le périmètre, le responsable et un scénario…
-
Réponse aux incidents : ce que les dirigeants doivent savoir
Une intrusion ne se produit pas avec une heure de début bien définie, une liste exhaustive des systèmes affectés et un attaquant qui vous informe poliment du moment où il s’en va. Elle survient de manière imprévisible…
-
Commandement en cas d’incident
Je ne commencerais pas la gestion des incidents en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et un scénario...
-
Leçons tirées après un incident
Je ne commencerais pas à tirer les leçons d’un incident en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et trouver une...
-
Confinement des ransomwares
Je ne commencerais pas à mettre en place des mesures de confinement des ransomwares en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par identifier le périmètre, le responsable et un...
-
Un ransomware est en cours d’exécution. Débranchez-vous la prise ou le câble réseau ?
Déconnectez-vous du réseau ; ne mettez pas l’appareil hors tension à moins que vous n’ayez pas d’autre moyen de l’isoler. La mise hors tension détruit les preuves en mémoire qui vous indiquent ce qui s’est passé.
-
Faut-il payer la rançon, et à qui revient-il de prendre cette décision ?
Le paiement relève d’une décision stratégique prise au niveau du conseil d’administration, qui entraîne des sanctions ainsi que des conséquences juridiques et en matière de recouvrement. Qui doit en assumer la responsabilité, quels éléments faut-il vérifier en priorité, et pourquoi le FBI déconseille-t-il cette pratique ?
-
Première réunion de briefing du conseil d’administration après une violation de sécurité
Le premier briefing après une intrusion grave est un exercice délicat qui consiste à communiquer ce que l’on sait sans prétendre connaître le reste. Les dirigeants...
-
La violation est en cours. À quel moment faites-vous appel à un conseiller juridique externe ?
Plus tôt que vous ne le pensez, et pour une raison qui fait que la plupart des gens se trompent.
-
C’est la deuxième faille qui vous coûte votre poste
La plupart des organisations survivent à une première violation. Le conseil d’administration est sous le choc, des fonds sont débloqués, des consultants arrivent, et tout le monde s’accorde à dire qu’il s’agissait d’un signal d’alarme. La deuxième…
-
Réponse aux violations de données impliquant des tiers
Je ne commencerais pas la réponse à une violation impliquant un tiers par l’achat d’une autre plateforme ou le lancement d’un vaste programme. Je déterminerais d’abord le périmètre, le responsable, un…
-
Ce qu’un PDG doit faire dans l’heure qui suit une violation de sécurité
Désignez le responsable de la gestion de l’incident, contactez un conseiller juridique, suspendez toute communication vers l’extérieur et posez quatre questions. Ce qu’un PDG doit faire dès la première heure, et ce qu’il ne faut pas faire.
-
Ce qu’il faut conserver avant de réinitialiser les identifiants après une violation de données
Exportez les journaux de connexion, les journaux d’audit, les règles de boîte aux lettres, les autorisations d’applications et les enregistrements d’authentification multifactorielle avant d’intervenir sur le compte. Voici la liste, ainsi que l’importance de chaque élément.
-
Quand faut-il faire appel à un cabinet externe spécialisé dans la réponse aux incidents ?
Déterminez à quel moment il est nécessaire de faire appel à des intervenants externes en cas d’incident, quelles capacités solliciter et comment vérifier qu’un prestataire est en mesure de se mobiliser avant que les options utiles ne disparaissent.
-
À quel moment peut-on affirmer sans risque que l’incident est terminé ?
Pas lorsque les systèmes sont de nouveau opérationnels. Lorsque vous savez comment ils se sont introduits, cette porte est fermée, tous les mécanismes de persistance ont disparu et la surveillance approfondie a duré suffisamment longtemps pour être fiable.
-
Qui devons-nous informer en cas de violation, et dans quel délai ?
Le calendrier des notifications : quatre jours ouvrables pour la SEC, 30 jours pour les mesures de protection de la FTC, 60 jours pour la HIPAA, les lois des États, votre assureur, vos contrats et la CIRCIA une fois qu’elle sera entrée en vigueur.
-
Qui est responsable d’un incident lorsque les services informatiques et de sécurité ne parviennent pas à s’entendre ?
Un responsable désigné pour chaque incident, doté de l’autorité nécessaire en matière de confinement, et un dirigeant d’entreprise chargé de prendre les décisions relatives aux risques. Pourquoi cette répartition fonctionne et comment la mettre par écrit.
-
Votre exercice de simulation de réponse aux incidents doit mettre les participants mal à l’aise
J’ai vu suffisamment de plans de sécurité pour savoir qu’un document peut paraître rassurant jusqu’au moment où quelqu’un doit s’en servir. Le problème ne réside pas toujours dans le fait que le plan soit…
Aucune correspondance. Essayez un autre mot ou posez-moi directement la question.