« Une fois l’incident confirmé, l’équipe sécurité décide de tout. »
La réponse technique fournit des faits et des options. Les décisions qui touchent continuité métier, communication externe, juridique ou RH appartiennent à leurs propriétaires autorisés.
01Lis le dossier comme un problème de coordination
lab=/tmp/soria-ir-lot5-$USER
bash module5-coordination-intelligence-learning.sh setup "$lab"
column -s, -t "$lab/source/context/case.csv"
column -s, -t "$lab/source/governance/roles.csv"Le cas CASE-IR-005 est toujours actif. Le Lot 5 ne remplace pas l’investigation technique : il organise qui décide quoi, à quel moment et sur quelle base.
02Distingue rôle, propriétaire et périmètre
Le corpus sépare les rôles SecOps, crise, métier, communication et juridique. Le champ human_owner est obligatoire : le lab refuse une décision sans propriétaire humain explicite.
column -s, -t "$lab/source/governance/decision-rights.csv"03Écris l’escalade comme une règle observable
column -s, -t "$lab/source/governance/escalation-matrix.csv"Une escalade utile contient un trigger, un rôle source, un rôle cible, un accountable owner et une décision attendue. Sans trigger, elle devient improvisée ; sans owner, elle devient ambiguë.
04Observe les handoffs
bash module5-coordination-intelligence-learning.sh run "$lab"
column -s, -t "$lab/output/handoff-register.csv"Un handoff transmet un artefact et une décision attendue. Le receveur doit savoir quelle décision lui appartient.
05Refuse les décisions hors périmètre
L’équipe sécurité peut recommander un confinement. Elle ne peut pas déduire seule une obligation légale, un message public, une priorité commerciale ou une mesure RH.
06Valide la gouvernance
column -s, -t "$lab/output/escalation-decisions.csv"
column -s, -t "$lab/output/decision-log.csv"La fermeture du cas reste DEFERRED. Un processus coordonné n’est pas une preuve que l’incident est terminé.
Construis une matrice de décision
Pour trois décisions d’incident, indique le trigger, l’équipe qui fournit les faits, le propriétaire de la décision, l’artefact de handoff et le critère d’escalade.
✓À retenir
La coordination réduit l’ambiguïté : chaque décision importante doit avoir un déclencheur, un propriétaire et une base factuelle traçable.