Définition
Avant de définir la réponse aux incidents, il est important de clarifier ce qu’est un incident. Dans le domaine des technologies de l’information, les trois termes suivants sont parfois utilisés de manière interchangeable alors qu’ils recouvrent des réalités différentes :
- Un événement est une action banale qui survient fréquemment (création d’un fichier, suppression d’un dossier, ouverture d’un e-mail, etc.). Un événement seul n’indique généralement pas l’apparition d’une violation, mais associé à d’autres événements, il peut être révélateur d’une menace.
- Une alerte est une notification déclenchée par un événement, qui peut être ou non une menace.
- Un incident est un groupe d’alertes corrélées que les humains ou outils d’automatisation ont jugé comme étant probablement une menace réelle. Il est possible que des alertes individuelles n’apparaissent pas comme une menace majeure, mais qui, combinées à d’autres informations, indiquent l’apparition d’une violation.
La réponse aux incidents désigne les actions mises en œuvre par une organisation lorsqu’elle pense que ses systèmes ou données informatiques ont fait l’objet d’une violation. Par exemple, les professionnels de la sécurité prennent des mesures s’ils observent des éléments de preuve indiquant la présence d’un utilisateur non autorisé ou d’un programme malveillant, ou la défaillance des mesures de sécurité.
Les objectifs de la réponse visent à éliminer une cyberattaque aussi rapidement que possible, à effectuer une récupération, à informer les clients ou autorités conformément aux dispositions légales régionales, et à trouver les moyens de réduire le risque d’apparition d’une violation similaire à l’avenir.
Suivez la Sécurité Microsoft