Comment se déroule une réponse à incident ?

Une réponse à incident se déroule en sept temps : l’alerte, la qualification de l’incident, le confinement pour stopper la propagation, l’investigation pour comprendre ce qui s’est passé, l’éradication de l’attaquant, la restauration des systèmes, puis le rapport et le retour d’expérience. Les premières heures sont décisives, et la réponse continue après le redémarrage.

Cet article décrit le déroulé concret d’une intervention. Pour la définition et le périmètre de la réponse à incident, voir Qu’est-ce que la réponse à incident en cybersécurité ?. Chaque étape est détaillée dans un article dédié, cité au fil du texte.

Le déroulé en un coup d’oeil

Étape	Objectif	Qui est en première ligne
1. Alerte	Savoir qu’il se passe quelque chose	SOC, utilisateur, infogérant
2. Qualification	Confirmer l’incident, mesurer sa gravité	SOC, CERT
3. Confinement	Stopper la propagation sans détruire les preuves	CERT, infogérant
4. Investigation	Comprendre l’entrée, l’étendue, les données touchées	CERT
5. Éradication	Retirer tous les accès et outils de l’attaquant	CERT, infogérant
6. Restauration	Remettre en service des systèmes sains	Infogérant ou DSI, guidés par le CERT
7. Clôture	Rapport, retour d’expérience, plan d’amélioration	CERT, direction, infogérant

En parallèle de ces étapes techniques, deux fils courent du début à la fin : la gestion de crise (décisions, communication, continuité de l’activité) et les obligations (plainte, notifications). Pour la distinction entre les deux, voir Quelle différence entre réponse à incident et gestion de crise ?.

Un cadre de référence : le NIST SP 800-61

Il n’existe pas de méthode unique imposée, mais le guide du NIST, SP 800-61, est la référence la plus citée. Sa révision 3, publiée en avril 2025, remplace la révision 2 et inscrit la réponse à incident dans la gestion globale du risque cyber, en l’alignant sur les six fonctions du NIST Cybersecurity Framework 2.0 : gouverner, identifier, protéger, détecter, répondre, restaurer. Le cycle classique (préparation, détection et analyse, confinement, éradication et restauration, activités post-incident) reste la grille de lecture la plus utilisée sur le terrain. Pour le détail de chaque phase, voir Quelles sont les étapes d’une réponse à incident ?.

Étape 1 : l’alerte

Tout commence par un signal. Dans le meilleur des cas, c’est le SOC qui détecte un comportement anormal : connexion inhabituelle, exécution suspecte sur un poste, désactivation de l’antivirus, transfert massif de données. Dans d’autres cas, c’est un utilisateur qui voit ses fichiers chiffrés ou un client qui reçoit un message frauduleux.

L’important est que l’alerte arrive vite à quelqu’un qui peut agir, de jour comme de nuit. C’est tout l’intérêt d’une surveillance 24h/24 et d’une procédure d’escalade claire entre le SOC, l’infogérant et le client. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

Étape 2 : la qualification

Toute alerte n’est pas un incident. Les analystes vérifient d’abord s’il s’agit d’un faux positif, d’un événement bénin ou d’une vraie compromission. Si l’incident est confirmé, ils évaluent sa gravité : nombre de machines touchées, comptes privilégiés compromis ou non, données sensibles exposées, impact sur l’activité.

Cette qualification décide de la suite : traitement courant par le SOC, ou mobilisation du CERT et ouverture d’une cellule de crise. Pour les types d’incidents possibles, voir Quels types d’incidents de cybersécurité existe-t-il ?.

Étape 3 : le confinement

L’objectif est d’empêcher l’attaquant d’aller plus loin : isoler les postes et serveurs compromis du réseau, désactiver les comptes volés, couper les accès distants exploités, protéger les sauvegardes. Un EDR permet souvent d’isoler une machine à distance en quelques secondes, tout en gardant la possibilité de l’investiguer.

Le piège classique est d’agir trop brutalement. Éteindre une machine efface sa mémoire vive, où se trouvent parfois les traces les plus utiles. Cybermalveillance.gouv.fr recommande ainsi de déconnecter les machines touchées du réseau sans les éteindre, sauf si un chiffrement est en cours. Voir Comment isoler un système sans détruire les preuves ?.

Ces premières heures concentrent les décisions les plus lourdes. Pour la liste des actions à mener, voir Que fait-on dans les premières heures d’une cyberattaque ?.

Étape 4 : l’investigation

Une fois l’attaque contenue, il faut comprendre ce qui s’est passé. Les analystes du CERT reconstituent la chronologie à partir des journaux, de la télémétrie EDR et des copies de systèmes : par où l’attaquant est entré, depuis quand, quels comptes il a utilisés, quelles machines il a visitées, quelles données il a pu exfiltrer.

L’investigation répond à trois besoins. Elle guide l’éradication, car on ne peut retirer que ce qu’on a trouvé. Elle alimente les notifications : la CNIL veut savoir quelles données personnelles sont concernées, et les autorités NIS2 attendent une description de l’incident. Elle sert enfin de base au rapport final.

Étape 5 : l’éradication

L’éradication consiste à retirer tout ce que l’attaquant a laissé : logiciels malveillants, portes dérobées, comptes créés, tâches planifiées, règles de transfert de messagerie. Elle comprend aussi la fermeture de la porte d’entrée : correctif de la vulnérabilité exploitée, renforcement des accès distants, réinitialisation des mots de passe, en particulier des comptes à privilèges.

Une éradication incomplète est la première cause de réinfection. La question « l’attaquant est-il vraiment parti ? » doit trouver une réponse étayée avant de redémarrer. Voir Comment sait-on que l’attaquant est parti ?.

Étape 6 : la restauration

Vient ensuite la remise en service. Les systèmes sont reconstruits à partir d’images saines, les données restaurées depuis des sauvegardes antérieures à la compromission, les applications vérifiées avec les utilisateurs. Le redémarrage se fait par étapes, en commençant par les services vitaux, sous surveillance renforcée.

Le moment du redémarrage est une décision de la direction, éclairée par l’équipe de réponse. Voir Quand peut-on redémarrer la production après une cyberattaque ? et La réponse à incident inclut-elle la restauration des données ?.

Étape 7 : le rapport et le retour d’expérience

La réponse se clôt par un rapport d’incident : chronologie, cause, étendue, actions menées, données touchées, recommandations. Ce document sert à la direction, à l’assureur, aux autorités et, le cas échéant, à l’enquête judiciaire. Voir Que contient un rapport d’incident ?.

Le retour d’expérience transforme l’incident en plan d’action : correctifs, durcissement, surveillance renforcée, formation, mise à jour des procédures. Les semaines qui suivent sont aussi une période à risque, car un attaquant qui connaît le système peut tenter de revenir. Voir Que se passe-t-il après la réponse à incident ? et Comment éviter une seconde attaque dans la foulée ?.

En parallèle : les obligations à tenir

Pendant que l’équipe technique travaille, plusieurs délais courent :

• RGPD : lorsque des données personnelles sont touchées, l’article 33 prévoit une notification à l’autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance, sauf absence de risque, et l’article 34 une information des personnes si le risque est élevé.
• NIS2 : pour les entités concernées, l’article 23 prévoit une alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous un mois auprès du CSIRT ou de l’autorité compétente. Au 21 septembre 2026, la loi française de transposition n’est pas adoptée.
• Assurance : en France, l’article L. 12-10-1 du code des assurances, issu de la loi dite LOPMI, traite du lien entre indemnisation des pertes liées à une cyberattaque et dépôt de plainte, avec un délai de 72 heures. Les conditions qui s’appliquent à votre situation se vérifient dans votre contrat d’assurance, avec votre assureur et votre conseil juridique.

Selon Cybermalveillance.gouv.fr, il est préférable de déposer plainte avant la réinstallation des machines, pour préserver les preuves. Voir Qui contacter en cas de cyberattaque ?.

Combien de temps dure une réponse à incident ?

Il n’y a pas de durée type. Une compromission de compte de messagerie détectée tôt peut se traiter rapidement ; un rançongiciel qui a touché l’ensemble du système d’information demande souvent bien plus de temps, en particulier pour la restauration. La rapidité de détection, la qualité des sauvegardes et la préparation en amont pèsent lourd. Voir Combien de temps prend une réponse à incident ?.

Qui fait quoi : CERT, infogérant, direction

Une réponse à incident mobilise plusieurs acteurs : analystes et experts du CERT, équipe du SOC, infogérant ou DSI, direction, et selon les cas juristes, communication, assureur. La coordination entre eux compte autant que la technique. Voir Qui intervient dans une équipe de réponse à incident ?.

Reste à savoir si l’on peut tout gérer en interne. Une équipe informatique connaît le système, mais elle a rarement l’expérience des attaques, les outils d’investigation et la disponibilité nécessaires en pleine crise. Voir Faut-il un prestataire externe ou l’équipe interne suffit-elle ?. Et si aucun contrat n’a été signé avant l’attaque, voir Peut-on faire appel à un prestataire de réponse à incident sans contrat préalable ?.

Ce que la préparation change

Une réponse à incident se joue en grande partie avant l’incident. Les organisations qui s’en sortent le mieux ont en commun quelques éléments :

• une surveillance continue, pour détecter tôt ;
• des outils déjà déployés (EDR, collecte des journaux), pour investiguer sans délai ;
• une équipe de réponse identifiée et un contrat déjà en place ;
• des sauvegardes hors ligne testées ;
• une liste de contacts et une répartition des rôles écrites à l’avance.

Le modèle Cyna

Chez Cyna, le SOC managé surveille l’environnement 24h/24 et 7j/7 depuis la France, avec des équipes internes. Le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients et sont associés aux différentes étapes. Voir SOC managé et infogérant : qui fait quoi ?.

Faire le point avec un expert

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Pour préparer votre organisation ou celle de vos clients, votre infogérant partenaire de Cyna est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Qui décide des actions pendant une réponse à incident ?

La direction de l'entreprise attaquée garde la décision sur les choix qui touchent l'activité (couper un service, redémarrer, communiquer). L'équipe de réponse recommande et exécute les actions techniques, en lien avec l'infogérant. Voir Qui intervient dans une équipe de réponse à incident ?.

Faut-il arrêter toute l'activité pendant la réponse ?

Pas toujours. Le confinement vise à isoler ce qui est compromis tout en préservant ce qui peut continuer. L'ampleur de l'arrêt dépend de l'étendue de l'attaque et des solutions de secours disponibles.

La réponse à incident se fait-elle à distance ou sur site ?

Le plus souvent d'abord à distance, grâce aux outils déjà déployés (EDR, journaux, console de supervision), ce qui fait gagner du temps. Une intervention sur site peut s'y ajouter, par exemple pour des machines isolées ou des copies de disques.

Existe-t-il un cadre de référence pour la réponse à incident ?

Oui. Le plus cité est le guide du NIST, SP 800-61, dont la révision 3 a été publiée en avril 2025 et s'aligne sur le NIST Cybersecurity Framework 2.0. Voir Quelles sont les étapes d'une réponse à incident ?.