Se préparer à un incident avant qu'il arrive
Quoi écrire à l'avance
Qui dirige, qui parle aux clients, qui fait face au régulateur et comment communiquer en dehors des systèmes qui pourraient être compromis. Une liste de contacts des prestataires critiques, et les détails de l'assurance le cas échéant.
Des procédures de base : comment couper l'accès, comment révoquer les jetons, comment geler un environnement tout en préservant les preuves.
L'ordre des actions
Arrêter la propagation, préserver les preuves, évaluer la portée, corriger, et seulement ensuite revenir à la normale. Ne supprimez pas un système compromis avant d'avoir collecté ce qui est nécessaire — c'est détruire des preuves qui vous reviendront.
Documentez chaque action avec une heure. C'est ensuite la base du rapport.
Signalement
Il y a des cas avec une obligation de notifier les autorités et les personnes touchées, parfois dans un délai court. Vérifiez cela à l'avance avec quelqu'un de qualifié — pas en plein incident.
Pour aller plus loin
Faites un exercice sur table une fois par an : un scénario, une horloge et tous les titulaires de rôles dans la salle. L'exercice révèle toujours deux ou trois lacunes de base — une permission que personne n'a, un contact qui est parti, ou une procédure qui dépend d'un système qui, dans le scénario lui-même, n'est pas disponible.