Services

Réponse aux incidents

Le terme « réponse aux incidents » recouvre deux réalités très différentes, et je m’occupe des deux : élaborer le plan avant que quoi que ce soit ne se produise, et être la personne de contact lorsque quelque chose se produit réellement. C’est dans ce deuxième cas que le premier est mis à l’épreuve dans la réalité, et la plupart des organisations découvrent, lors d’un incident réel, que leur plan comportait des lacunes que personne n’avait remarquées lorsqu’il ne s’agissait encore que d’un simple document.

Avant un incident

Le travail de planification consiste à élaborer un plan d’intervention suffisamment précis pour être utile : des rôles clairement définis afin que personne n’ait à se demander qui est aux commandes pendant la première heure chaotique, des plans de communication couvrant les services juridiques, la direction, les clients et les autorités de régulation si nécessaire, ainsi que des guides d’intervention adaptés aux types d’incidents auxquels vous êtes réellement susceptibles d’être confrontés : le ransomware, l’usurpation d’identité par e-mail professionnel, la compromission d’un compte cloud, ou encore une faille chez un fournisseur exposant vos données. J’organise des exercices sur table pour tester ces plans, car lire un plan et le mettre en œuvre sous pression sont deux compétences distinctes, et c’est lors d’un exercice sur table que l’on met en évidence l’écart entre les deux, alors que les enjeux sont faibles.

Lors d’un incident

Lorsqu’un incident se produit réellement, les priorités consistent au confinement de la situation, à déterminer ce qui s’est réellement passé et à revenir à un fonctionnement normal sans aggraver la situation en cours de route. J’aide à faire le tri entre ce que l’on sait et ce que l’on suppose, à prendre les décisions de confinement qui permettent d’endiguer la situation sans détruire les preuves dont vous aurez besoin par la suite, et à coordonner l’action avec toutes les personnes qui doivent être présentes : conseillers juridiques, experts en criminalistique, forces de l’ordre si nécessaire, assureurs, ainsi que les personnes chargées de communiquer avec les clients ou les autorités de régulation. Je fais preuve de franchise quant à ce que je ne sais pas encore lors d’un incident, car une fausse certitude dans les premières heures cause plus de dégâts que le fait d’admettre que l’on est encore en train d’analyser la situation.

Après un incident

Une fois la situation stabilisée, l’analyse des enseignements tirés revêt autant d’importance que la réponse elle-même : ce qui s’est réellement passé, ce qui a bien fonctionné dans le plan, ce qui a fait défaut, et les changements à apporter avant le prochain incident. C’est en négligeant cette étape que les organisations finissent par réapprendre deux fois la même leçon.

À qui s'adresse ce document ?

Les organisations qui ne disposent pas d’un plan de réponse aux incidents éprouvé, les équipes qui souhaitent mettre à l’épreuve leur plan existant lors d’un exercice de simulation réaliste, ainsi que toute personne confrontée à un incident en cours et ayant besoin de l’aide d’un expert.

Si un incident se produit en ce moment même, contactez-nous immédiatement. Si vous souhaitez vous y préparer avant qu’il ne se produise, cette conversation commence de la même manière.