Plan de Réponse aux Incidents de Sécurité
Procedures de detection, confinement et resolution des incidents — NIS2 Art. 23 & RGPD Art. 33.
1. Classification des incidents
| Niveau | Severite | Description | Delai de réponse |
|---|---|---|---|
| P1 | Critique | Service completement indisponible, breach de données confirmee, compromission système | 30 min |
| P2 | Majeur | Degradation significative, tentative d'intrusion detectee, vulnerabilite exploitee | 2h |
| P3 | Mineur | Impact limite, anomalie de sécurité, alerte non confirmee | 8h |
| P4 | Information | Événement de sécurité sans impact, faux positif a investiguer | 24h |
2. Equipe de réponse (CSIRT interne)
| Role | Responsabilite | Disponibilite |
|---|---|---|
| Niveau 1 — Assistant MCP | Détection automatique, déclenchement alertes, premier triage | 24/7 (cible) |
| Niveau 2 — Founder / Incident Manager | Coordination réponse, décisions d'escalade, communication | 5j/7 + astreinte P1 sous contrat Enterprise / Souverain |
| DPO | Évaluation impact données personnelles, notification CNPD/CNIL | Heures ouvrées + astreinte P1 sous contrat |
| Niveau 3 — Sous-traitants spécialisés (sous NDA) | Investigation forensics, remédiation, conseil juridique | Activation sous 4h pour incidents P1 (Enterprise / Souverain) |
| Communication | Information clients, status page, relations presse si nécessaire | Heures ouvrées + escalade publique sur /status sous 4h en cas d'incident dépassant SLA |
3. Procedure de detection
Les systèmes de detection suivants sont déployés en continu :
- VictoriaLogs : Journaux centralises, recherche et alertes sur les événements de sécurité
- CrowdSec : Bouclier collaboratif en bordure, blocage des adresses malveillantes
- Beszel Monitoring : Surveillance des metriques système, alertes de seuil, detection de degradation
- CrowdSec : Detection collaborative des menaces, blocage automatique des IP malveillantes
- Trivy : Scan continu des vulnerabilites dans les images conteneurs et dépendances
- Audit Logs : SecurityAuditLogger immutable pour traçabilité complete des accès
4. Procedure de confinement
En cas d'incident confirme, les mesures de confinement suivantes sont appliquees :
Le principe de proportionnalite guide les decisions : le confinement doit minimiser l'impact sur les utilisateurs non affectes.
5. Notification
Les obligations de notification sont respectees selon les délais réglementaires :
| Destinataire | Delai | Base légale | Contenu |
|---|---|---|---|
| CNPD / CNIL | 72h max | RGPD Art. 33 | Nature, catégories, mesures prises |
| Clients affectes | 48h max | NIS2 Art. 23 + DPA | Impact, mesures, recommandations |
| ANSSI (si applicable) | 24h (alerte) + 72h (rapport) | NIS2 Art. 23 | Rapport d'incident complet |
| Personnes concernees | Sans délai injustifie | RGPD Art. 34 | Si risque eleve pour droits et libertes |
6. Analyse post-mortem
Chaque incident P1 ou P2 fait l'objet d'une analyse post-mortem structuree dans les 5 jours ouvres suivant la resolution :
- Root Cause Analysis : Identification de la cause racine (methode 5 Pourquoi + arbre des causes)
- Timeline : Reconstitution chronologique complete de l'incident (detection a resolution)
- Actions correctives : Plan d'actions avec responsables, délais et indicateurs de suivi
- Lessons learned : Documentation des enseignements pour amelioration continue
- Publication : Post-mortem anonymise publie sur la page de statut (incidents P1)
7. Tests et exercices
Le plan de réponse est teste regulierement pour garantir son efficacité :
| Type d'exercice | Frequence | Description |
|---|---|---|
| Simulation technique | Trimestrielle | Injection d'incident simule dans l'environnement de staging |
| Tabletop exercise | Trimestrielle | Exercice sur table avec scénarios de crise (ransomware, breach, DDoS) |
| Test de communication | Semestriel | Verification de la chaine d'alerte et des canaux de notification |
| Red Team | Annuel (cible) | Test d'intrusion complet par equipe externe |
Dernière mise à jour : mars 2026. Ce plan est conforme aux exigences de la directive NIS2 (UE) 2022/2555 et aux recommandations de l'ANSSI.
Besoin d'une réponse immédiate ?
Notre assistant MCP est disponible 24/7 pour repondre a vos questions techniques, vous guider dans votre projet ou resoudre vos problemes.