¿Incidente en curso? Repórtelo de inmediato — atención en menos de 1 hora.Reportar un incidente
Les trois premiers jours d’un incident déterminent la capacité de l’organisation à maîtriser la crise, à préserver les preuves et à limiter les impacts.
Publicado el 14 de septiembre de 2026 — Réponse à incident
Dans les premières minutes, l’objectif est de stopper la propagation du vecteur d’attaque. Cela passe par la désactivation des comptes compromis, le cloisonnement des segments réseau affectés et la mise en place de règles de pare-feu temporaires. Une analyse rapide des logs permet d’identifier les points d’entrée et de prioriser les actions de containment. L’isolation doit être documentée afin de garantir la traçabilité des décisions et de préparer la phase de préservation des preuves. Cette étape critique réduit le risque d’escalade et protège les actifs essentiels pendant que l’équipe de réponse se mobilise.
Une fois le périmètre sécurisé, il faut garantir l’intégrité des données forensiques. Les logs, images disque, snapshots de VM et communications réseau doivent être copiés en lecture seule et horodatés. L’utilisation d’outils de collecte automatisés assure la cohérence et minimise les altérations. La chaîne de custody doit être clairement définie, avec des responsables désignés pour chaque étape. Cette rigueur facilite les analyses ultérieures, les rapports internes et les éventuelles actions légales. EBH Security recommande d’intégrer ces procédures dans un playbook pré‑développé afin d’accélérer la réaction et d’éviter les oublis.
Une communication claire et structurée est indispensable pour coordonner les équipes techniques, la direction et les parties prenantes. Un point de contact unique, souvent le CSIRT ou le RSSI, centralise les informations et diffuse les consignes. Des mises à jour régulières, même brèves, maintiennent la confiance et évitent la désinformation. Parallèlement, il faut préparer des messages pour les utilisateurs affectés, en expliquant les mesures prises et les actions attendues. La transparence interne renforce la résilience organisationnelle et prépare le terrain pour les communications externes obligatoires.
Selon les exigences locales et sectorielles, la notification aux autorités compétentes doit intervenir dans les délais légaux, souvent 72 heures après la découverte. Il faut préparer un rapport contenant la nature de l’incident, les données compromises, les mesures de confinement et les contacts de l’organisation. Après la période critique, une analyse rétrospective (post‑mortem) identifie les leçons apprises, les failles exploitées et les améliorations à apporter aux contrôles de sécurité. Le plan d’action résultant doit être suivi, testé et intégré aux politiques de gouvernance pour réduire la probabilité de récidive.
Commencer par isoler les systèmes qui montrent des signes d’infection ou d’anomalie, bloquer les comptes à privilèges élevés et appliquer des règles de pare‑feu restrictives. Ensuite, élargir le périmètre d’isolation en fonction des indicateurs de compromission détectés dans les logs.
Utiliser des outils de copie en lecture seule, horodater chaque artefact, consigner les noms des responsables et les étapes de manipulation dans un registre sécurisé, et stocker les copies sur des supports immuables ou dans un coffre‑fort numérique.
Dès que l’on a confirmé l’impact et identifié les données concernées, informer les parties concernées de façon claire, en détaillant les risques, les mesures prises et les recommandations. Respecter les obligations légales locales et sectorielles en matière de notification, tout en coordonnant le message avec les équipes juridiques et de communication.
