Élaborer un plan d’intervention en cas d’incident (ITSAP.40.003)

Procéder à une évaluation des risques

Les résultats de l’évaluation des risques serviront au plan d’intervention. Dans le cadre d’une évaluation des risques, vous dresserez la liste de vos biens et calculerez les probabilités et les répercussions de la compromission de vos biens. Maintenant que vous avez cerné les risques et les menaces possibles, vous pouvez établir la priorité de vos mesures d’intervention. Dans le cadre de l’évaluation, répondez aux questions suivantes :

• Quelles données sont importantes pour votre organisme?
• Quels secteurs d’activités traitent les données sensibles?
• Quelles sont les mesures de contrôle actuellement en place?
• Est-ce que cette situation peut mener à une atteinte à la vie privée?

Élaborer les politiques

Vos mesures d’intervention doivent cadrer avec les politiques et les exigences de conformité de votre organisme.

Rédigez une politique sur l’intervention en cas d’incident qui établit les pouvoirs, les rôles et les responsabilités liés aux procédures et aux processus d’intervention en cas d’incident. Les membres de la haute direction et les cadres supérieurs de votre organisme doivent approuver cette politique.

Former une équipe d’intervention

L’objectif de l’équipe est d’évaluer et de documenter les incidents et d’y réagir, de rétablir les systèmes, de récupérer l’information et de prendre des mesures pour éviter qu’un incident ne se reproduise.

Elle doit être composée d’employés de différents domaines et bénéficier d’un soutien multifonctionnel d’autres secteurs d’activités.

Voici quelques suggestions de fonctions à confier aux membres de l’équipe :

• responsable du traitement des incidents;
• responsable technique;
• spécialiste des ressources humaines;
• conseiller en communications;
• preneur de notes;
• analyste des données.

Les incidents sont imprévisibles et nécessitent une intervention immédiate. Désignez des personnes qui remplaceront les responsables absents lors d’un incident.

Créer le plan de communications

Votre plan doit répondre à trois questions : Par quels moyens, dans quelles situations et à qui les communications seront-elles acheminées? Il doit inclure un point de contact central auquel les employés peuvent signaler les incidents présumés ou connus.

Les procédures de notification sont essentielles au succès de l’intervention en cas d’incident. Dressez la liste des principaux intervenants internes et externes qui seront informés d’un incident. Il faudra peut-être informer des tiers, comme des clients et des fournisseurs de services gérés. Selon le type d’incident, il faudra peut-être aussi communiquer avec un organisme d’application de la loi ou obtenir des conseils auprès d’un avocat.

Sensibiliser les employés

Informez les employés de la planification et de l’exécution des mesures d’intervention en cas d’incident.

Adaptez les programmes de formation aux besoins et aux exigences de votre organisme ainsi qu’aux rôles et responsabilités des employés. Un effectif bien formé contribue à la défense contre les incidents.

1- Préparation

Définissez les objectifs de votre stratégie d’intervention ainsi que les politiques et les procédures connexes. Précisez les buts de l’amélioration de la sécurité, de la visibilité et de la reprise.

Mettez en place un processus de sauvegarde fiable pour copier les données et les systèmes et faciliter leur récupération en cas de panne.

Établissez une stratégie détaillée pour appliquer1- Z les mises à jour et les correctifs sur les logiciels et le matériel. Appliquez cette stratégie pour trouver et corriger les vulnérabilités et atténuer l’occurrence et la gravité des incidents.

Concevez des exercices pour mettre à l’essai votre plan et votre intervention. Vous pouvez ensuite réviser et améliorer votre plan en vous fondant sur les résultats des essais.

2- Observation

Surveillez les réseaux, les systèmes et les dispositifs connectés pour repérer les menaces potentielles. Produisez régulièrement des rapports et consignez les événements et les incidents potentiels. Analysez les événements et déterminez si vous devez activer le plan d’intervention en cas d’incident. Ajustez la fréquence et l’intensité de la surveillance. Vous pouvez assurer la surveillance des réseaux en permanence ou en fonction des besoins.

3- Résolution

Familiarisez-vous avec l’enjeu de sorte à pouvoir contenir la menace et appliquer les mesures d’atténuation adéquates.

Une mesure efficace consiste à déconnecter les systèmes et les dispositifs pour empêcher l’auteur de menace de causer d’autres dommages. Il peut être nécessaire d’isoler tous les systèmes et de suspendre temporairement l’accès des employés afin de détecter et de stopper les intrusions.

Éradiquez l’intrusion en restaurant les systèmes à partir de copie de sauvegarde. Vous devriez aussi exécuter un antimaliciel et un antivirus sur tous les systèmes et dispositifs connectés. Si vous découvrez des vulnérabilités, appliquez les correctifs et les mises à jour à vos dispositifs.

Conservez les preuves et la documentation connexe pour faciliter votre analyse de l’incident.

4- Compréhension

Trouvez la cause fondamentale de l’incident et collaborez avec l’équipe d’intervention pour signaler les améliorations possibles. Évaluez le processus d’intervention et faites ressortir les éléments positifs et ceux qui doivent être améliorés. Rédigez un document sur les leçons apprises qui décrit en détail les ajustements et les améliorations qui seront apportés au plan.

Consignez, étape par étape, comment l’incident a été découvert et réglé. Cette mesure facilitera l’intervention lors d’incidents futurs, car elle fait la lumière sur les mesures d’atténuation possibles et les leçons apprises pour arriver à une reprise plus rapide et efficace.