Reconnais et qualifie un événement potentiellement incident

01Distingue les objets

Événement
→ occurrence observée dans un système ou un processus

Alerte
→ signal nécessitant une vérification

Faux positif
→ signal expliqué par une activité légitime ou une détection incorrecte

Vulnérabilité applicable
→ faiblesse à traiter, sans incident nécessairement observé

Incident
→ atteinte confirmée ou situation nécessitant une réponse coordonnée selon les critères de l'organisation

02Intègre la réponse au risque

Le NIST SP 800-61 Rev. 3, publié en avril 2025, relie la réponse aux incidents à l’ensemble du CSF 2.0 plutôt qu’à une phase isolée.

Govern et Identify
→ rôles, actifs, critères et dépendances

Protect et Detect
→ réduction et observation

Respond et Recover
→ coordination, action et retour à la mission

03Commence par les faits

Qu'est-ce qui a été observé ?
Par quelle source ?
À quelle heure ?
Sur quel actif ou compte ?
Le changement était-il autorisé ?
Quels éléments indépendants corroborent ?
Quel impact est confirmé ?
La situation est-elle encore active ?

Sépare toujours fait, hypothèse et conclusion.

04Évalue la portée

Un compte
Un terminal
Une application
Un segment
Un tenant
Plusieurs sites
Un fournisseur partagé

La portée initiale est souvent provisoire. Note ce qui est vérifié et ce qui reste inconnu.

05Priorise selon la mission

Une confiance faible n’autorise pas à ignorer un impact potentiellement grave.

06Observe les huit cas

lab=/tmp/soria-cyber-governance-response-$USER
bash module5-cyber-governance-response-project.sh setup "$lab"
bash module5-cyber-governance-response-project.sh run "$lab"
column -s, -t "$lab/output/incident-qualification.csv"

Le lab produit notamment :

EVT-102 → INCIDENT / CRITICAL
EVT-103 → ALERT / HIGH
EVT-106 → FALSE_POSITIVE / CLOSED
EVT-108 → VULNERABILITY_CASE / HIGH

07Comprends les incidents confirmés

EVT-102
→ push MFA approuvé
→ connexion inconnue
→ règle de messagerie créée
→ compromission de compte corroborée

EVT-105
→ contenu public modifié sans autorisation
→ perte d'intégrité confirmée

EVT-107
→ clé cloud active publiée
→ divulgation de secret confirmée

L’absence d’usage frauduleux visible n’annule pas la divulgation du secret.

08Ne confonds pas vulnérabilité et incident

Avis fournisseur applicable
+ inventaire correspondant
+ aucune exploitation observée
→ cas de vulnérabilité prioritaire

Exploitation ou impact observé
→ qualification incident possible

Le traitement des vulnérabilités et la réponse incident doivent pouvoir s’échanger des informations sans fusionner leurs statuts.

09Actualise la qualification

Heure
Classification
Priorité
Faits nouveaux
Portée
Impact
Hypothèses
Actions autorisées
Décideur
Prochaine revue

La qualification n’est pas une étiquette définitive ; elle évolue avec les preuves.

10Évite les biais

« Le serveur est interne »
→ ne réduit pas automatiquement l'impact

« L'EDR a bloqué »
→ ne prouve pas l'absence d'autres actions

« Le compte fonctionne encore »
→ ne prouve pas qu'il est sain

« Le fournisseur n'a rien signalé »
→ ne ferme pas l'analyse