Relève d’incident : transmettre la décision suivante avec le contexte utile
Une relève d’incident exploitable relie faits, hypothèses, actions et décision attendue. Voici une structure courte pour éviter les pertes de contexte.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Lorsqu’un incident change de responsable, une grande partie de sa valeur opérationnelle dépend de la transmission. Le destinataire doit comprendre rapidement la situation, les vérifications déjà effectuées et l’action qui nécessite son attention.
Un historique volumineux peut rendre cette lecture difficile.
Le fait documenté : le NIST SP 800-61 révision 3 relie préparation, détection, réponse et rétablissement à la gestion du risque cyber.
La structure de relève proposée ici est une recommandation éditoriale pratique ; elle ne constitue pas un formulaire imposé par le NIST. Source : NIST
Commencer par l’état actuel
Rédigez quelques lignes indiquant le périmètre concerné, la gravité retenue et les raisons de cette qualification. Mentionnez les services potentiellement affectés lorsque ce lien est établi. Si l’impact métier reste inconnu, indiquez qui peut le confirmer.
Séparez ensuite les faits observés des hypothèses. Par exemple, la présence d’une authentification inhabituelle constitue une observation ; l’utilisation frauduleuse du compte reste une hypothèse tant que les éléments disponibles ne permettent pas de conclure.
Cette distinction protège la suite de l’enquête contre une certitude transmise trop tôt.
Rendre les travaux précédents réutilisables
Listez les actions réalisées avec leur auteur, leur horaire et leur résultat. Pour une recherche, indiquez le périmètre temporel et les sources examinées. Une absence de résultat doit pouvoir être interprétée en fonction des données effectivement accessibles.
Fournissez des liens vers les éléments utiles plutôt que de multiplier les copies. Vérifiez cependant que le destinataire dispose des accès nécessaires.
Les données sensibles doivent rester dans les emplacements autorisés, avec un niveau de détail adapté au rôle de chacun.
Nommer la prochaine décision
La relève doit faire apparaître un responsable, une action attendue et un point de contrôle. Si une mesure de confinement attend une validation, précisez son objectif, son périmètre et les impacts connus.
Si un accès manque, identifiez exactement ce qu’il empêche de vérifier.
Demandez au repreneur de confirmer la prise en charge par le canal convenu. Prévoyez une alternative lorsque cette confirmation n’arrive pas selon les modalités définies.
La transmission doit conserver un propriétaire jusqu’à ce qu’un autre acteur ait effectivement repris le dossier.
Pour travailler ce sujet avec Seculogik, choisissez un incident passé anonymisé ou un scénario fictif. Faire lire sa relève par une personne extérieure au traitement initial révèle rapidement les informations manquantes et les décisions qui restent implicites.