Réponse aux incidents de sécurité : de la détection à l'annonce

Informatique de gestion · Master 1

Cycle de gestion d'un incident cyber, rôles, communication et obligations d'annonce en Suisse.

Introduction

Un incident de sécurité est un événement qui compromet la confidentialité, l'intégrité ou la disponibilité de l'information : rançongiciel, compte compromis, fuite de données, panne causée par une attaque. Aucune organisation n'est à l'abri ; ce qui fait la différence est la capacité à détecter tôt et à réagir de manière organisée. Un plan de réponse aux incidents définit les rôles, les seuils d'escalade, les moyens de communication de secours et les décisions à prendre vite.

Le cycle classique comprend la préparation, la détection et l'analyse, le confinement (isoler les systèmes touchés pour limiter la propagation), l'éradication (supprimer la cause : accès, logiciel malveillant, faille), la restauration (remise en service contrôlée à partir de sauvegardes saines) et le retour d'expérience, qui alimente l'amélioration continue. La conservation des preuves (journaux, copies des disques) est essentielle pour comprendre l'attaque et, si nécessaire, déposer plainte.

En Suisse, deux régimes d'annonce se superposent. Selon la nLPD, une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes doit être annoncée au PFPDT dans les meilleurs délais. Pour les exploitants d'infrastructures critiques, la loi sur la sécurité de l'information impose depuis le 1er avril 2025 d'annoncer les cyberattaques à l'Office fédéral de la cybersécurité (OFCS, ex-NCSC) dans les 24 heures suivant leur découverte, avec un complément d'information ensuite. L'annonce volontaire à l'OFCS est possible pour toute entreprise.

Objectifs d'apprentissage

Décrire les phases de gestion d'un incident de sécurité
Distinguer détection, confinement, éradication et restauration
Expliquer le rôle d'un SOC et d'une cellule de crise
Identifier les obligations d'annonce suisses
Mener un retour d'expérience structuré

Concepts clés

Plan de réponse: Procédure écrite fixant rôles, escalades, contacts, outils et décisions pour traiter un incident.
Confinement: Isoler les systèmes ou comptes touchés pour stopper la propagation tout en préservant les preuves.
Restauration: Remise en service contrôlée à partir de sauvegardes vérifiées, après suppression de la cause.
Annonce nLPD: Annonce au PFPDT d'une violation entraînant vraisemblablement un risque élevé, dans les meilleurs délais.
Retour d'expérience: Analyse sans recherche de coupable pour corriger processus, outils et formation.

Conclusion

La réponse aux incidents est une compétence organisationnelle autant que technique. Préparée, exercée et documentée, elle réduit l'impact d'une attaque, protège les preuves et permet de respecter les obligations d'annonce suisses.

À retenir : les phases du cycle, la différence entre confinement, éradication et restauration, les deux régimes d'annonce (nLPD et infrastructures critiques) et le retour d'expérience comme boucle d'amélioration.

Cartes

Quelles sont les grandes phases de gestion d'un incident ?: Préparation, détection et analyse, confinement, éradication, restauration, retour d'expérience.
Pourquoi préserver les preuves pendant le confinement ?: Elles permettent de comprendre l'attaque, d'évaluer les données touchées et d'appuyer une plainte pénale.
Que fait un SOC ?: Un centre opérationnel de sécurité surveille les alertes, qualifie les événements et déclenche la réponse.
Quel est l'objectif du confinement ?: Limiter la propagation et l'impact, par exemple en isolant un segment réseau ou en désactivant un compte.
Pourquoi les sauvegardes doivent-elles être vérifiées avant restauration ?: Elles pourraient contenir le logiciel malveillant ou être chiffrées ; une restauration naïve réinfecterait le système.
Quand une violation de données doit-elle être annoncée au PFPDT ?: Lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Qui doit annoncer les cyberattaques à l'OFCS de manière obligatoire, et dans quel délai ?: Les exploitants d'infrastructures critiques désignés par la loi sur la sécurité de l'information, dans les 24 heures suivant la découverte de la cyberattaque.
Quel est le rôle de la communication de crise ?: Informer de manière cohérente la direction, les clients, les autorités et les médias, sans spéculer.
Qu'est-ce qu'un exercice de simulation de crise ?: Un scénario joué (table-top) pour tester le plan, les rôles et les décisions avant un vrai incident.
Qu'apporte un retour d'expérience ?: La correction de la cause profonde et l'amélioration de la détection, des procédures et de la formation.

Glossaire

Incident de sécurité: Événement compromettant la confidentialité, l'intégrité ou la disponibilité de l'information.
SOC: Centre de supervision qui détecte et traite les alertes de sécurité.
SIEM: Outil qui collecte et corrèle les journaux pour détecter des comportements suspects.
Éradication: Suppression de la cause d'un incident : accès, programme, faille.
Violation de la sécurité des données: Perte, modification ou divulgation non autorisée de données personnelles.
OFCS: Office fédéral de la cybersécurité (ex-NCSC), interlocuteur fédéral pour les cyberincidents.