« Le RETEX est un compte rendu de ce qui s’est passé. »
Un retour d’expérience utile transforme les constats en changements vérifiables : un propriétaire, une échéance, une métrique, une cible et une future preuve de réalisation.
01Pars des observations
lab=/tmp/soria-ir-lot5-$USER
column -s, -t "$lab/source/learning/observations.csv"Le corpus conserve trois écarts : télémétrie endpoint, préparation de la communication externe et explicitation de la confiance des sources.
02Écris une action vérifiable
column -s, -t "$lab/source/learning/actions.csv"Chaque action contient owner, due_date, metric_id, target et status. Le statut reste OPEN ou PLANNED.
03Définis la mesure séparément
column -s, -t "$lab/source/learning/metrics.csv"La métrique rend possible une future validation indépendante. « Améliorer l’EDR » est une intention ; une cible de couverture explicite devient mesurable si son périmètre est défini.
04Génère le backlog
bash module5-coordination-intelligence-learning.sh run "$lab"
column -s, -t "$lab/output/learning-backlog.csv"Le lab ne marque aucun item DONE, car aucune preuve de mise en œuvre réelle n’est fournie.
05Relie le RETEX au prochain cycle
Les actions peuvent alimenter télémétrie, durcissement, détection, playbooks, communication, formation et automatisation. La réponse à incident revient ainsi dans le cycle de gestion du risque.
06Valide Lot 5
bash module5-coordination-intelligence-learning.sh validate "$lab"
cat "$lab/output/decision.txt"Résultat de référence : COORDINATION_READY_WITH_ACTIONS. Les handoffs et améliorations restent ouverts, les communications externes n’ont pas été envoyées et aucune automation réelle n’a été exécutée.
Construis ton backlog RETEX
À partir de cinq observations, crée cinq actions avec owner, échéance, métrique, cible, statut et preuve nécessaire pour pouvoir les fermer plus tard.
✓À retenir
Le retour d’expérience devient utile quand il produit un backlog mesurable et réinjecte les leçons de l’incident dans la réduction du risque.