Une séquence d'actions, de rôles et de communications prédéfinie destinée à détecter, contenir, investiguer et remédier aux incidents opérationnels menaçant les fonctions métiers, la sécurité ou les actifs informationnels.

Principe

Adopter une approche cyclique : préparer, détecter et analyser, contenir, éradiquer et rétablir, puis capitaliser ; préserver les preuves et coordonner les parties prenantes en donnant la priorité à la sécurité et à la continuité.

Démonstration

Après la détection d'un trafic réseau inhabituel suggérant une intrusion, le centre SOC applique le plan : isoler les systèmes affectés, informer la direction et le service juridique, effectuer la forensic, restaurer les services depuis des sauvegardes propres et informer les parties prenantes des mesures correctives.

Mauvaise application

Publier immédiatement des constats non vérifiés, ne pas isoler les systèmes pour préserver les preuves, ou exécuter des mesures de confinement qui aggravent l'incident ou perturbent inutilement des services critiques.

Conséquence

Un plan efficace limite les dommages opérationnels, préserve les preuves judiciaires ou réglementaires, réduit le temps de rétablissement et clarifie les responsabilités en situation de stress.

Inversion

Gérer les incidents de façon improvisée sans plan conduit à une détection retardée, des réponses incohérentes, une perte de preuves et des temps de récupération plus longs.

Limite

Cible spécifiquement les incidents discrets (violations cybersécurité, événements de sécurité, tentatives de fraude) et leur remédiation technique et opérationnelle ; il complète mais ne remplace pas les plans de continuité d'activité ou les protocoles de gestion de crise.

Tension sémantique

Souvent confondu avec la continuité d'activité ou les plans de crise ; la tension porte sur le périmètre — la réponse aux incidents se concentre sur la remédiation technique/opérationnelle et le confinement, tandis que la PCA et la gestion de crise portent sur le maintien des opérations et le leadership stratégique.

Synthèse

Le plan d'intervention en cas d'incident est un guide d'action basé sur les rôles qui permet un confinement et une remédiation rapides et conservant les preuves des incidents opérationnels, tout en alimentant l'amélioration de la préparation et de la continuité.