Analyser un incident de sécurité
Repère: INVESTIGATE
De quoi s’agit-il ?
Reconstituer les faits à partir des preuves conservées : événements des appareils, comptes et requêtes web.
Pourquoi c’est utile
L’analyse aide à identifier les systèmes touchés et les décisions de reprise ou de notification.
Ce que vous pouvez faire
Préservez les éléments utiles et convenez de la personne chargée de l’analyse. Consignez les actions et évitez les modifications inutiles.
Services utiles
Device Shield et Web App Shield fournissent des événements pertinents. L’investigation et les responsabilités de conservation des preuves sont convenues séparément.
Référence officielle — NIS2 art. 23
1. Chaque État membre veille à ce que les entités essentielles et importantes notifient, sans retard injustifié, à son CSIRT ou, selon le cas, à son autorité compétente, conformément au paragraphe 4, tout incident ayant un impact important sur leur fourniture des services visés au paragraphe 3 (ci-après dénommé «incident important»). Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services. Chaque État membre veille à ce que ces entités signalent, entre autres, toute information permettant au CSIRT ou, le cas échéant, à l’autorité compétente de déterminer si l’incident a un impact transfrontière. Le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité qui est à l’origine de la notification.
— Directive (UE) 2022/2555 (NIS2), Art. 23(1)
a) sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’incident important, une alerte précoce qui, le cas échéant, indique si l’on suspecte l’incident important d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact transfrontière;
— Directive (UE) 2022/2555 (NIS2), Art. 23(4)(a)
b) sans retard injustifié et en tout état de cause dans les 72 heures après avoir eu connaissance de l’incident important, une notification d’incident qui, le cas échéant, met à jour les informations visées au point a) et fournit une évaluation initiale de l’incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu’ils sont disponibles;
— Directive (UE) 2022/2555 (NIS2), Art. 23(4)(b)
Les entités concernées signalent les incidents significatifs sans retard : généralement une alerte sous 24 heures après connaissance, une notification sous 72 heures et un rapport final dans le mois après notification. Des exceptions et règles d’incident en cours existent.
Lire l’article sur EUR-Lex → · Texte officiel, cité du Journal officiel de l’UE
Les sigles utilisés ici: NIS2, GDPR, DORA, CRA
- NIS2 — Network and Information Systems Directive 2
- Une directive européenne sur la cybersécurité, avec des exigences pour les organisations qui entrent dans son champ.
- GDPR — General Data Protection Regulation
- Le Règlement général sur la protection des données (RGPD). GDPR est le sigle anglais et AVG le sigle néerlandais.
- DORA — Digital Operational Resilience Act
- Des règles européennes sur la résilience opérationnelle numérique du secteur financier.
- CRA — Cyber Resilience Act
- Des règles européennes de cybersécurité pour les produits comportant des éléments numériques, dont certains logiciels et appareils connectés.