Réponse à incident : les 6 étapes du cycle

La réponse à incident est la démarche organisée qu'on suit quand un incident de sécurité touche le système d'information : on le détecte, on l'empêche de s'étendre, on élimine sa cause, on rétablit le service et on en tire des leçons. Ce chapitre définit ce qu'est un incident de sécurité, détaille les six phases du cycle le plus utilisé, montre comment tenir une main courante et qui appeler à l'aide.

Événement, alerte, incident, crise : les bons mots

Tout ce qui se passe sur un système n'est pas un incident. Les sujets d'examen, comme les équipes de sécurité, distinguent quatre niveaux.

Une alerte n'est pas encore un incident : il faut la qualifier. Une alerte qui se révèle sans danger est un faux positif ; une attaque réelle qu'aucune alerte n'a signalée est un faux négatif, bien plus grave, parce que personne ne réagit.

Un incident de sécurité n'est pas forcément une attaque. Une erreur de manipulation qui publie un fichier de clients sur le site web, un disque qui lâche sans sauvegarde à jour ou un ordinateur portable oublié dans le train portent aussi atteinte à la sécurité des données. La démarche de réponse est la même.

Les six phases de la réponse à incident

Le découpage le plus cité vient du SANS Institute, un organisme américain de formation en sécurité. C'est celui que le sujet de cybersécurité SISR de métropole 2023 fournissait en annexe. Il compte six phases : préparation, identification, confinement, éradication, retour à la normale, enseignements.

Phase 1 : préparation

Tout ce qui se fait avant l'incident décide de la suite. Le jour de l'attaque, il est trop tard pour se demander qui appeler ou si les sauvegardes fonctionnent.

• Un plan de réponse écrit : qui décide, qui intervient, qui prévient qui, avec des fiches réflexes par scénario (rançongiciel, compte compromis, fuite de données, site défiguré).
• Un annuaire de crise imprimé : numéros de la direction, du prestataire, de l'assureur, du délégué à la protection des données (DPO), de la gendarmerie. Imprimé, parce que la messagerie peut être tombée.
• La journalisation activée, centralisée et horodatée (chapitre 2 et chapitre 4).
• Des sauvegardes testées, dont au moins une copie hors ligne, hors d'atteinte d'un attaquant qui aurait pris le contrôle du réseau.
• Un inventaire à jour des machines, des comptes, des flux et des données sensibles : on ne protège pas ce qu'on ne connaît pas.
• Des exercices : une simulation sur table d'une heure (« le serveur de fichiers est chiffré, que faites-vous ? ») révèle les trous du plan mieux qu'une relecture.

Phase 2 : identification

L'identification consiste à détecter l'incident, à confirmer qu'il est réel et à mesurer sa portée. Les sources de détection sont multiples : une alerte de l'antivirus ou de l'EDR, une alerte du SIEM, un utilisateur qui signale un comportement étrange, un partenaire qui reçoit des courriels piégés envoyés depuis ta messagerie, un bulletin du CERT-FR qui annonce une faille dans un logiciel que tu utilises.

Trois questions guident cette phase :

1. Est-ce réel ? Une connexion réussie après quarante échecs depuis une adresse étrangère, c'est un incident. Une alerte sur un outil d'administration lancé par Mehdi pendant une maintenance prévue, c'est un faux positif.
2. Jusqu'où ça va ? Quelle est la première machine touchée, et l'attaquant s'est-il déplacé vers d'autres ? Les indicateurs de compromission relevés sur la première machine servent à chercher les autres (chapitre 5).
3. Quelle gravité ? La priorité se fixe comme pour tout incident, en croisant l'impact et l'urgence (la matrice impact × urgence). Un incident de sécurité ajoute une question : des données personnelles sont-elles touchées ? Si oui, un délai légal de 72 heures peut démarrer (chapitre 7).

Phase 3 : confinement

Le confinement empêche l'incident de s'étendre. On distingue :

• le confinement à court terme, immédiat : débrancher le câble réseau d'un poste, couper son Wi-Fi, le placer dans un VLAN de quarantaine, bloquer une adresse IP sur le pare-feu, désactiver un compte compromis, couper un accès VPN ;
• le confinement à long terme, qui laisse le temps d'analyser : faire tourner un service de secours propre pendant qu'on étudie la machine compromise, renforcer le filtrage, surveiller de près.

Le confinement est un arbitrage. Isoler le serveur web des Ateliers Morvan arrête l'attaque, mais aussi la vente en ligne. C'est à la direction de trancher, sur proposition technique.

Phase 4 : éradication

L'éradication supprime la cause de l'incident et tout ce que l'attaquant a laissé : programme malveillant, comptes créés, tâches planifiées, clés de registre de démarrage, portes dérobées. Elle comprend aussi la correction de la faille d'origine (mise à jour, configuration durcie, code corrigé) et le changement de tous les secrets qui ont pu être volés : mots de passe, clés SSH, jetons d'API, certificats.

Quand on ne peut pas garantir qu'une machine est propre, on la reconstruit à partir d'une image saine plutôt que de la « nettoyer ».

Phase 5 : retour à la normale

On remet les services en production : restauration depuis des sauvegardes saines (vérifiées, antérieures à la compromission), remise en ligne progressive, validation par les utilisateurs métiers. On garde une surveillance renforcée pendant plusieurs semaines : un attaquant qui a perdu son accès essaie souvent de revenir.

Phase 6 : enseignements

Une fois la menace écartée, l'équipe se réunit pour un retour d'expérience (RETEX, ou post-incident review) avec tous les acteurs. On y répond sans chercher de coupable à quatre questions : que s'est-il passé, qu'est-ce qui a bien marché, qu'est-ce qui a manqué, que change-t-on ? Les décisions mettent à jour le plan de réponse, les procédures et les exercices. La boucle revient à la préparation.

D'autres découpages : NIST et ANSSI

Tu croiseras d'autres modèles. Ils décrivent la même logique avec d'autres frontières.

Le NIST (l'institut américain des normes et de la technologie) a longtemps proposé, dans son guide SP 800-61, un cycle en quatre phases : préparation ; détection et analyse ; confinement, éradication et rétablissement ; activité post-incident. Sa troisième révision, publiée en avril 2025, rattache désormais la réponse à incident aux six fonctions de son cadre de cybersécurité CSF 2.0 (gouverner, identifier, protéger, détecter, répondre, rétablir) : la réponse à incident y devient une partie de la gestion des risques plutôt qu'un cycle isolé.

L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, publie un corpus de guides sur la remédiation, c'est-à-dire la reprise de contrôle d'un système compromis. Il décrit une séquence qu'elle nomme E3R : endiguement (freiner l'attaquant et gagner du temps), éviction (l'expulser du cœur de l'administration, en premier lieu l'annuaire Active Directory), éradication (supprimer ses derniers points d'appui), et reconstruction, menée en parallèle, qui rebâtit un système durci.

La main courante, dès la première minute

La main courante est le journal de bord de l'incident : une liste chronologique de tout ce qui a été constaté, décidé et fait. Le guide de l'ANSSI sur les rançongiciels en fait le tout premier réflexe et demande que chaque entrée contienne au minimum la date et l'heure, le nom de la personne qui agit ou qui informe, et la description de l'action ou de l'événement.

La main courante sert pendant l'incident (qui a fait quoi, où en est-on ?) et après : c'est la matière première du rapport, de la notification à la CNIL et de la plainte. Tiens-la sur un support qui ne dépend pas du système attaqué : un cahier, un ordinateur hors réseau, un document partagé hébergé ailleurs.

Qui fait quoi, et qui appeler

Une réponse à incident mobilise plus que le service informatique.

Quand l'organisation n'a pas les compétences en interne, elle se fait aider :

• un prestataire de réponse à incident : l'ANSSI qualifie des prestataires de réponse aux incidents de sécurité (PRIS), et le label ExpertCyber, créé par Cybermalveillance.gouv.fr, repère des professionnels de proximité pour les petites structures ;
• un CSIRT régional : des centres de réponse aux incidents financés par l'État et les régions accompagnent les PME, les collectivités et les associations de leur territoire ; le sujet SISR 2026 met en scène l'un d'eux, « Urgence Cyber Région Sud » ;
• le CERT-FR, l'équipe de réponse de l'ANSSI, qui traite en priorité les administrations, les opérateurs d'importance vitale et les opérateurs de services essentiels, et publie des bulletins d'alerte que toute équipe devrait suivre ;
• 17Cyber, le guichet unique de l'État ouvert en décembre 2024 par la police, la gendarmerie et Cybermalveillance.gouv.fr : un diagnostic en ligne, des conseils et une mise en relation, pour les particuliers comme pour les entreprises.

Incident de sécurité ou incident ITIL ?

Un incident de sécurité est un incident au sens d'ITIL : il passe par un ticket, une priorité et une clôture (le cycle de vie d'un ticket). Mais deux réflexes du support classique sont dangereux ici.

• « Rétablir le service au plus vite » : en support classique, on redémarre le service et on clôt le ticket. En sécurité, rétablir sans comprendre, c'est laisser la porte ouverte et effacer les traces.
• « Tout le monde peut voir le ticket » : un incident de sécurité peut viser un collaborateur ou révéler une faille non corrigée. On restreint l'accès au ticket et aux échanges.

Côté SLAM, les incidents de sécurité arrivent souvent par l'application : un pic d'erreurs 500 sur une page, une alerte sur des requêtes anormales, un client qui reçoit la facture d'un autre. Hugo doit savoir lire les journaux de l'application, désactiver une fonctionnalité vulnérable sans couper tout le site et corriger le code. Côté SISR, Léa intervient sur l'infrastructure : isoler un poste, bloquer un flux sur le pare-feu, collecter les journaux d'un serveur.

À l'E7

La réponse à incident est un thème récurrent de l'écrit de cybersécurité, commun aux deux options même si chaque sujet est propre à son option.

• SISR, métropole 2023 (alors E6, U6), cas de la Ville du Parc : le dossier C, « Réponse à un incident de sécurité », fournit un plan de réponse en six phases. Un agent a cliqué sur un lien d'hameçonnage ; on demande un compte rendu de la phase d'identification (cause probable, qualification de l'alerte avec les indicateurs de compromission, autres machines exposées), puis les mesures d'éradication et de retour à la normale, enfin trois recommandations pour la phase « enseignements ».
• SISR, métropole 2025 (U7), cas SA Blanca : le dossier A, « Gestion d'un incident sur le réseau local », fait réévaluer une priorité de type P2 au vu de l'aggravation, proposer une action d'urgence, rechercher la cause puis mettre en place une détection.
• SISR, métropole 2026 (U7), cas SPARCLE : toute l'entreprise est l'objet d'une réponse à rançongiciel, avec CSIRT régional, prestataire et analyse forensique.

Les questions attendent des réponses reliées au dossier : « le poste a été isolé du réseau (document C5), ce qui relève du confinement à court terme », pas une liste apprise par cœur.

Pour aller plus loin. Le chapitre Gérer un incident de cybersécurité du cours Cybersécurité des infrastructures applique ce cycle aux équipements réseau (pare-feu, IDS, VPN), et le chapitre Réagir à une cyberattaque du cours Cybersécurité : les fondamentaux en donne une version courte.

Exercices

Exercice 1 sur 4 Événement, alerte ou incident ? Réussi À revoir

Classe chaque situation (événement, alerte, incident de sécurité, crise) et dis quel critère DIC est touché quand il y en a un.

1. Le serveur de fichiers enregistre l'ouverture d'un document par sa propriétaire.
2. L'antivirus d'un poste signale « comportement suspect » sur un utilitaire de compression que la comptable utilise tous les jours.
3. Hugo découvre que la page facture.php affiche la facture de n'importe quel client si l'on change le numéro dans l'adresse, et que le journal montre des centaines d'accès depuis une même adresse IP cette nuit.
4. Le PGI et le serveur de fichiers sont chiffrés ; plus personne ne peut saisir de commande ni éditer la paie.

Voir la réponseMasquer la réponse de l'exercice 1

1. Événement : une action normale, enregistrée. Aucun critère touché.
2. Alerte, à qualifier. Si l'outil est légitime et utilisé comme d'habitude, c'est un faux positif ; on documente et on ajuste la règle, sans la désactiver pour tout le parc.
3. Incident de sécurité : la confidentialité est atteinte. La faille (un contrôle d'accès manquant) a été exploitée, et les factures contiennent des données personnelles : la question de la notification à la CNIL se pose.
4. Crise : un incident qui paralyse l'activité. La disponibilité est touchée en premier ; la confidentialité l'est peut-être aussi si des données ont été copiées avant le chiffrement.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Remettre les actions dans l'ordre des phases Réussi À revoir

Voici des actions menées après la compromission d'un poste par un courriel piégé. Associe chacune à sa phase (préparation, identification, confinement, éradication, retour à la normale, enseignements).

a. Débrancher le câble réseau du poste et désactiver sa carte Wi-Fi. b. Réinstaller le poste à partir de l'image de référence, après collecte des preuves. c. Organiser une campagne d'exercices d'hameçonnage pour tout le personnel. d. Chercher dans les journaux du proxy si d'autres postes ont contacté le même domaine. e. Réinitialiser le mot de passe de l'utilisatrice et révoquer ses sessions ouvertes. f. Restaurer ses documents depuis la sauvegarde de la veille et lui rendre le poste. g. Réunir l'équipe deux semaines plus tard pour décider d'un filtrage des pièces jointes.

Voir la réponseMasquer la réponse de l'exercice 2

• a. Confinement (à court terme).
• b. Éradication : on ne peut pas garantir qu'un poste compromis est propre, on le reconstruit.
• c. Préparation : la sensibilisation se fait avant le prochain incident. Si elle est décidée lors du RETEX, la décision relève des enseignements et sa mise en œuvre de la préparation.
• d. Identification : on mesure la portée de l'incident avec un indicateur de compromission (le domaine contacté).
• e. Éradication : on supprime l'accès volé. On peut aussi le faire dès le confinement si le compte sert encore à l'attaquant ; dans ce cas, c'est du confinement.
• f. Retour à la normale.
• g. Enseignements (RETEX).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Le technicien trop pressé Réussi À revoir

Lundi matin, un serveur affiche un message de rançon. Un technicien éteint le serveur, le réinstalle, restaure la sauvegarde de dimanche et remet le service en ligne à midi. Il clôt le ticket, satisfait. Relève trois erreurs et leurs conséquences.

Voir la réponseMasquer la réponse de l'exercice 3

1. Extinction et réinstallation sans collecte : la mémoire vive et les traces sur le disque sont perdues. On ne saura ni comment l'attaquant est entré, ni ce qu'il a fait ou copié. Le guide de l'ANSSI recommande plutôt la mise en veille prolongée et l'isolement réseau.
2. Restauration sans vérification : rien ne prouve que la sauvegarde de dimanche est saine. L'attaquant était peut-être présent depuis des jours ; la sauvegarde contient alors sa porte dérobée, et la faille d'entrée n'a pas été corrigée. Le chiffrement peut recommencer dès le soir.
3. Clôture sans suite : ni recherche des autres machines touchées, ni changement des mots de passe, ni évaluation d'une fuite de données (donc pas de décision sur la notification à la CNIL sous 72 heures), ni plainte, ni retour d'expérience.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Écrire la main courante Réussi À revoir

Mardi, à 14 h 10, Karim, du service commercial, appelle le support : il a ouvert une pièce jointe « Relance facture » et une fenêtre s'est ouverte puis fermée. Léa prend l'appel à 14 h 12, lui demande de débrancher son câble réseau (fait à 14 h 14), prévient Mehdi à 14 h 15. Mehdi bloque à 14 h 25 le domaine contacté par la pièce jointe sur le proxy, après l'avoir trouvé dans la messagerie. Rédige les entrées de la main courante.

Voir la réponseMasquer la réponse de l'exercice 4

Date et heure	Qui	Constat ou action
Mardi 14:10	Karim (commercial), signalement	Ouverture de la pièce jointe « Relance facture » ; une fenêtre s'ouvre et se ferme
Mardi 14:12	Léa (support)	Appel reçu, ticket ouvert ; consigne donnée de débrancher le câble réseau
Mardi 14:14	Karim	Câble réseau débranché (poste isolé, allumé)
Mardi 14:15	Léa	Mehdi prévenu
Mardi 14:25	Mehdi Ouali	Domaine contacté par la pièce jointe identifié dans la messagerie ; domaine bloqué sur le proxy

Une entrée par fait, avec l'heure, l'auteur et une description précise. Ajoute la date complète, l'identifiant du ticket et le nom du poste dans la vraie main courante : le rapport et la plainte reprendront ces éléments.

Tu avais trouvé ?

Oui, j'avais bonPas encore