Playbooks de réponse à incident : moins de PDF, plus de répétition

La réponse à incident est un processus, pas un document. Les playbooks doivent être courts, spécifiques à un scénario et rattachés à des rôles nommés, pour qu'au moment où les logs s'affolent à 2 h du matin, chacun sache qui décide quoi—sans avoir à ouvrir un PDF de cinquante pages.

Les phases clés (gardez-les stables)

La plupart des équipes s'alignent sur des phases de type NIST : Préparation, Détection, Analyse, Confinement, Éradication, Rétablissement et Activités post-incident. Les intitulés comptent moins que la clarté des passages de relais entre la sécurité, la DSI, le juridique et la communication.

Ce qui doit figurer dans un playbook

Pour chaque scénario (ransomware, fraude au président/BEC, fuite de données), définissez :

• Les seuils de gravité et les chaînes d'escalade
• Les étapes de préservation des preuves (logs, images disque) sans casser la continuité d'activité
• Les options de confinement (isoler un poste, désactiver un compte, bloquer un domaine) avec leurs règles d'approbation
• Des modèles de communication pour les parties prenantes internes et, si nécessaire, les clients

Exercices sur table et entraînements

Organisez des exercices sur table (tabletops) chaque trimestre avec des injections réalistes : le juridique veut retarder la notification, un dirigeant exige une restauration immédiate, l'attaquant est toujours présent sur le réseau. Enchaînez avec des exercices techniques portant sur la restauration des sauvegardes et la disponibilité des logs.

Les métriques qui comptent

Suivez le temps de détection, le temps de confinement et le temps de rétablissement par classe d'incident. Faites évoluer les playbooks à partir des revues post-incident, pas des intuitions.

Conclusion

Le meilleur playbook est celui que votre équipe a déjà exécuté avant la crise. Investissez dans la répétition et dans des responsabilités de décision claires ; le PDF n'est que le souvenir.