Surveillance 24/7 et réponse aux incidents : ce que ça veut dire concrètement

Que veut dire « surveillance 24/7 », concrètement ?

Que les signaux remontent en continu et qu'une chaîne d'escalade est armée en permanence : pas qu'une équipe fixe un écran toute la nuit. Les événements sont collectés et corrélés sans interruption ; ceux qui franchissent un seuil décidé avec vous déclenchent une alerte, puis un appel si le seuil est critique.

Cette distinction compte, parce que la formule est employée pour désigner des dispositifs très différents. Certains se limitent à une collecte que personne ne regarde avant le lendemain matin ; d'autres impliquent une astreinte réellement joignable.

La question à poser à tout prestataire est donc simple : que se passe-t-il exactement à trois heures du matin, qui est appelé, et sous quel délai. La réponse doit être écrite dans le contrat.

Nous préférons l'énoncer nous-mêmes plutôt que de laisser l'expression faire le travail. Le dispositif que nous opérons est une astreinte armée avec des critères d'escalade convenus, pas une présence humaine continue, et il n'y a aucune raison de le présenter autrement.

Qu'est-ce qui est supervisé ?

Le périmètre se décide avec vous et se consigne : postes et serveurs, accès distants, messagerie, sauvegardes, équipements de sécurité. Ce qui n'y figure pas n'est pas surveillé, et c'est précisément ce point qui doit être explicite, parce que c'est là que naissent les malentendus après un incident.

• Les postes et serveurs. Détection de comportements anormaux, pas seulement de signatures connues.
• Les accès. Connexions depuis des lieux ou à des heures inhabituelles, échecs répétés, élévations de privilèges.
• La messagerie. Création de règles de redirection automatique, envois en masse, connexions suspectes, souvent le premier signe d'un compte compromis.
• Les sauvegardes. Échec silencieux, modification de la politique de rétention, suppression de points de restauration. Un attaquant s'en prend aux sauvegardes avant de chiffrer.
• Ce qui n'est pas couvert. Applications métier hébergées chez un tiers, équipements d'un prestataire, environnements industriels non déclarés. La liste s'écrit aussi.

Comment se déroule la réponse à un incident ?

En cinq temps, dans cet ordre : qualification, containment, communication interne, notification réglementaire si elle est requise, puis analyse post-incident. L'ordre compte : agir avant d'avoir qualifié détruit souvent les traces nécessaires à la suite.

• Qualification. Est-ce un incident réel, quelle est sa portée, quels systèmes et quelles données sont concernés. Cette étape est courte mais elle n'est pas facultative.
• Containment. Limiter la propagation sans détruire les preuves : isoler plutôt que réinstaller, préserver les journaux avant qu'ils ne tournent.
• Communication interne. Qui est prévenu, dans quel ordre, et qui parle à l'extérieur. Décidé à froid, pas pendant.
• Notification réglementaire. Si des renseignements personnels sont touchés et que le risque de préjudice sérieux existe, la Commission d'accès à l'information et les personnes concernées doivent être avisées avec diligence.
• Analyse post-incident. Ce qui a permis l'entrée, ce qui a fonctionné, ce qui a manqué. Sans cette étape, le même incident se reproduit.

Que recevez-vous entre deux incidents ?

Un rapport périodique qui dit ce qui a été détecté, ce qui a été traité, et ce qui a changé dans votre exposition. Il est écrit pour une direction : il nomme des conséquences d'affaires, pas des identifiants de vulnérabilité.

Le rapport sert deux usages distincts. Le premier est opérationnel : arbitrer ce qui mérite d'être corrigé. Le second est probatoire : il constitue la trace que demandent les assureurs, les donneurs d'ordre et, le cas échéant, un enquêteur.

Il contient aussi ce qui n'a pas été fait, et pourquoi. Un rapport qui ne présente que des réussites n'aide pas à décider.

C'est également le moment où se révise le périmètre. Une organisation évolue (nouveaux outils, nouveaux sites, départs)et un périmètre défini une fois pour toutes se périme en quelques mois.

Questions fréquentes