Le 17 septembre 2026, l'ANSSI a publié le premier volet d'un corpus consacré à la réponse aux incidents cyber. Il couvre deux des quatre grandes étapes, la qualification et l'investigation, qui précèdent la remédiation et la gestion de crise. D'autres publications suivront.
Le périmètre est net. Seuls les incidents d'origine malveillante sont traités. Pannes, erreurs de configuration, incidents accidentels : hors champ.
Cinq façons d'investiguer
Le document formalise cinq stratégies. L'isolement. Le fonctionnement en environnement dégradé. L'observation avec contrainte. L'observation sans intervention immédiate. L'exploration diagnostique.
C'est une rupture avec le réflexe le plus répandu, qui consiste à tout débrancher dès la découverte d'une compromission. Isoler coupe l'attaquant, mais peut aussi le prévenir, effacer des traces utiles ou stopper une activité critique. Observer permet de mesurer l'étendue réelle de l'intrusion, au prix d'un risque assumé. Aucune option n'est bonne par principe.
Un guide pensé avec les prestataires de terrain
Le corpus a été élaboré avec les prestataires de réponse aux incidents de sécurité (PRIS). Il s'adresse autant à eux qu'aux organisations victimes. Ça se sent : il parle de décisions concrètes, prises sous contrainte de temps.
Ce que la DSI et ses prestataires d'infogérance doivent préparer
Le choix d'une stratégie se fait dans les premières heures. Si personne n'en a parlé avant, il revient à l'ingénieur d'astreinte ou à l'équipe de supervision de l'infogérant. Seuls, sous pression.
Deux chantiers s'imposent. Intégrer au plan de réponse une matrice de décision isoler ou observer, validée par la direction, avec les critères qui font basculer d'une option à l'autre. Et clarifier, dans les contrats d'infogérance informatique et de supervision, qui a autorité pour isoler un système et qui doit être consulté avant. Un exercice sur table de deux heures suffit souvent à révéler les trous. Le plan de reprise d'activité, lui, ne commence qu'après.
