Réponse aux incidents

Les six étapes

1. Se préparer

   • Liste des personnes à appeler, sur papier
   • Sauvegardes testées et déconnectées
   • Qui décide de couper un serveur

2. Repérer

   • Noter ce qui a été vu, sans rien effacer
   • Lister postes, comptes et serveurs touchés
   • Vérifier si des données personnelles sont concernées

3. Contenir

   • Isoler les postes plutôt que les éteindre
   • Désactiver les comptes compromis
   • Protéger les sauvegardes

4. Éliminer

   • Trouver la porte d'entrée
   • Retirer ce que l'attaquant a laissé
   • Changer les mots de passe concernés

5. Rétablir

   • Restaurer depuis des sauvegardes saines
   • Remettre en service par étapes
   • Surveiller de près

6. Tirer les leçons

   • Écrire la chronologie
   • Corriger ce qui a manqué
   • Mettre à jour le plan