Gestion des incidents de sécurité
Quand un incident survient, chaque heure compte. Nous structurons la détection, la déclaration, le traitement et le retour d’expérience pour que votre équipe sache quoi faire.
Ce qu’on voit trop souvent
Le premier incident sérieux révèle presque toujours la même chose : personne ne sait qui décide, quoi dire au client, ni comment distinguer un incident d’une simple non-conformité.
- une procédure copiée, jamais exercée, introuvable le jour J
- tout le monde écrit dans un clavardage, rien n’est horodaté
- confusion entre ticket TI, incident de sécurité et non-conformité du SGSI
- aucun critère pour notifier un client, un assureur ou la CAI
- pas de retour d’expérience, donc le même trou se rouvre
De quoi s’agit-il
Gérer les incidents, c’est détecter, qualifier, contenir, communiquer, clôturer et apprendre. ISO 27001 demande un processus, des rôles et des preuves, pas un outil SOC si vous n’en avez pas besoin.
Nous posons une procédure que votre astreinte peut ouvrir à 2 h du matin : seuils, contacts, modèle de rapport, lien avec la continuité si le service tombe. Le pentest et le SOC restent des services distincts.
Où ça se situe dans ISO 27001
Le module couvre le processus d’incidents de l’Annexe A et le lien avec les non-conformités (clause 10.2). Il ne recrée pas un centre opérationnel de sécurité.
Ce que comprend ce module
- Définition de ce qu’est un incident chez vous
- Canal de déclaration et critères d’escalade
- Rôles pendant l’incident et après
- Preuves à conserver pour l’audit et, au Québec, pour la Loi 25 si des renseignements personnels sont en jeu
- Revue post-incident
Comment on travaille
Définir ce qu’est un incident chez vous
Seuils, exemples, distinction avec un ticket banal et avec une non-conformité. Sans ça, tout devient urgent, ou rien.
Rôles et canaux
Qui est appelé, qui parle au client, qui décide d’escalader. Un arbre simple, testé avec les vrais numéros.
Conduite et preuves
Étapes de confinement, journal des actions, modèle de rapport. On écrit pour l’équipe, pas pour le classeur.
Clôture et apprentissage
Retour d’expérience, actions correctives, lien éventuel avec le registre des risques. Un incident sans leçon est un incident perdu.
Ce que vous recevez
- Procédure de gestion des incidents
- Matrice d’escalade et de communication
- Modèle de fiche d’incident
- Journal des incidents et canevas de post-mortem
Pour qui
PME qui reçoivent déjà des alertes, ou qui n’ont pas de chemin clair entre un employé, le TI et la direction.
Pour qui ce n’est pas
Ce module n’est pas un service de veille 24/7, ni une enquête numérique complète, ni le plan de continuité. Il n’achète pas un SIEM.
Durée type
2 à 4 semaines, incluant un exercice de table.
Ce que vous devez fournir
Vous fournissez les canaux d’alerte actuels, les contrats clients qui imposent des délais de notification, et un responsable qui peut décider hors heures.
Limites de ce module
Ce module structure le processus. Il ne fournit pas de SOC 24/7 ni un forensic complet.
Questions fréquentes
- Quelle est la différence avec un plan de continuité ?
- L’incident traite l’événement de sécurité. La continuité prépare la reprise des activités critiques, y compris les sauvegardes, si l’incident devient une interruption majeure.
- Faut-il déclarer tous les tickets TI ?
- Non. Nous distinguons incident de sécurité, simple panne et demande de service, pour éviter de noyer le processus.
- Et les obligations de la Loi 25 ?
- Si des renseignements personnels sont concernés, le processus doit prévoir l’évaluation et, le cas échéant, la notification. Nous l’alignons sans fusionner les deux régimes.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.