Que se passe-t-il après la réponse à incident ?

Après la réponse à incident, le travail continue pendant plusieurs semaines. Il faut terminer la remédiation (reconstruire et durcir ce qui a été touché), rédiger le rapport final, compléter les notifications prévues par les textes applicables, organiser un retour d’expérience et maintenir une surveillance renforcée. C’est cette phase qui décide si l’entreprise sort de l’incident plus solide ou simplement soulagée.

Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.

La fin de l’urgence n’est pas la fin de l’incident

L’intervention d’urgence se termine en général quand l’attaquant est évincé et que les activités essentielles ont redémarré. Mais à ce moment, une partie du système d’information tourne souvent en mode dégradé, des mesures provisoires sont en place et toutes les questions ne sont pas tranchées.

L’ANSSI, dans son corpus « Cyberattaques et remédiation », distingue d’ailleurs la gestion de l’incident de la remédiation, qui est un projet à part entière, piloté et planifié. Le NIST, dans la révision 3 de son guide SP 800-61 publiée en avril 2025, insiste sur le même point : la réponse à incident alimente l’amélioration continue de toute la gestion des risques, elle ne s’arrête pas à la clôture du ticket.

Les cinq chantiers de l’après-incident

1. Terminer la remédiation

Les mesures prises dans l’urgence (comptes désactivés, flux bloqués, machines isolées) doivent être remplacées par des corrections durables : reconstruction des serveurs compromis, correctifs, refonte des droits d’administration, durcissement de l’annuaire. C’est aussi le moment de vérifier que les sauvegardes restaurées sont saines. Voir La réponse à incident inclut-elle la restauration des données ?.

2. Rédiger le rapport final

Le rapport d’incident retrace la chronologie, le point d’entrée, les systèmes touchés, les données concernées, les actions menées et les recommandations. Il sert à la direction, à l’assureur, aux autorités et, le cas échéant, à la justice. Voir Que contient un rapport d’incident ?.

3. Compléter les notifications

Les délais réglementaires ne s’arrêtent pas avec l’urgence :

Texte	Obligation après la phase d’urgence
NIS2, article 23	Rapport final au plus tard un mois après la notification d’incident, ou rapport d’avancement si l’incident est toujours en cours
RGPD, article 33	Compléter la notification à l’autorité de contrôle si les informations n’étaient pas toutes disponibles au départ ; documenter la violation
RGPD, article 34	Informer les personnes concernées si le risque pour leurs droits est élevé

Rappel : au 2 octobre 2026, la loi française de transposition de NIS2 n’est pas adoptée. Les délais de l’article 23 décrivent ce que la directive prévoit. Voir La réponse à incident est-elle obligatoire ?.

4. Organiser le retour d’expérience

Le retour d’expérience réunit les équipes techniques, la direction, l’infogérant et le prestataire de réponse. Il ne cherche pas un coupable : il cherche ce qui a permis l’attaque, ce qui a ralenti la détection et ce qui a bien ou mal fonctionné pendant la crise. Quelques questions utiles :

• Combien de temps entre le premier signe de l’attaque et sa détection ?
• Les bonnes personnes ont-elles été jointes, et à temps ?
• Les sauvegardes, les procédures et les contacts d’urgence étaient-ils à jour ?
• Quelles décisions ont manqué d’informations pour être prises vite ?

5. Surveiller de près

Dans les semaines qui suivent, l’attaquant peut tenter de revenir par un accès oublié. La surveillance est donc renforcée sur les comptes à privilèges, les connexions distantes et les machines reconstruites. Voir Comment éviter une seconde attaque dans la foulée ?.

Transformer les enseignements en plan d’action

Un retour d’expérience utile se termine par un plan d’action court, priorisé, avec un responsable et une échéance pour chaque mesure. Typiquement : authentification multifacteur généralisée, segmentation, révision des comptes de service, tests de restauration réguliers, mise à jour du plan de réponse à incident.

Ce plan doit être suivi dans le temps, par exemple lors des comités de pilotage entre le client et son infogérant. Les rapports mensuels d’un SOC managé aident à vérifier que les mesures produisent leurs effets : moins d’alertes critiques, vulnérabilités corrigées, comptes inutilisés supprimés.

Le rôle de l’infogérant et du SOC dans cette phase

L’infogérant porte souvent l’essentiel de la remédiation technique : il connaît le parc et en assure l’exploitation. Le SOC et le CERT apportent l’analyse, le rapport et la surveillance renforcée. Chez Cyna, le CERT, membre de l’InterCERT France, travaille avec les mêmes équipes que le SOC managé, ce qui aide à enchaîner réponse à incident et surveillance au moment le plus fragile. Les modalités (périmètre, délais) sont précisées dans le contrat conclu avec votre infogérant partenaire. Pour la répartition des rôles, voir SOC managé et infogérant : qui fait quoi ?.

Faire le point avec un expert

Vous sortez d’un incident et voulez structurer la suite ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Qui paie la remédiation après une cyberattaque ?

Cela dépend du contrat de réponse à incident, du contrat d'infogérance et de l'éventuelle assurance cyber. Avant la crise, il est utile de savoir ce que chaque contrat couvre. Voir Que couvre une prestation de réponse à incident ?.

Faut-il informer ses clients et partenaires ?

Si des données personnelles de clients sont touchées et que le risque est élevé, l'article 34 du RGPD prévoit l'information des personnes concernées. Au-delà, une communication factuelle envers les partenaires exposés limite la propagation et préserve la confiance.

Le retour d'expérience doit-il inclure la direction ?

Oui. Une partie des enseignements relève de décisions de la direction : budget, priorités, acceptation de risques. NIS2 (article 20) confie d'ailleurs à la direction l'approbation des mesures de gestion des risques.

Combien de temps garder les preuves collectées ?

Au moins le temps d'une éventuelle procédure judiciaire ou d'un échange avec l'assureur. Conservez-les dans un espace protégé, avec la chronologie de leur collecte, et demandez conseil à votre avocat sur la durée.