Quelles sont les étapes d'une réponse à incident ?

Une réponse à incident suit sept étapes : préparation, détection et qualification, confinement, investigation, éradication, restauration et retour d’expérience. C’est le découpage pratique qui découle du NIST SP 800-61, dont la révision 3, publiée en avril 2025, range désormais ces activités dans les six fonctions du NIST Cybersecurity Framework 2.0. Les étapes se chevauchent souvent.

Cet article détaille chaque étape. Pour une vue d’ensemble du déroulé, de l’alerte au rapport final, voir notre guide Comment se déroule une réponse à incident ?.

Ce qui a changé avec la révision 3 du NIST

Pendant plus de dix ans, la référence a été le NIST SP 800-61 révision 2 (2012) et son cycle en quatre phases : préparation ; détection et analyse ; confinement, éradication et restauration ; activités post-incident.

La révision 3, finalisée en avril 2025, remplace la révision 2. Elle ne décrit plus un cycle autonome : elle intègre la réponse à incident dans la gestion globale du risque, en s’appuyant sur les six fonctions du CSF 2.0.

• Govern, Identify, Protect : la préparation. Gouvernance, connaissance des actifs, mesures de protection.
• Detect, Respond, Recover : la réponse proprement dite. Détection, analyse, atténuation, communication, restauration.
• Improvement (catégorie de la fonction Identify) : les leçons tirées de chaque incident alimentent la préparation suivante.

Le message est clair : la réponse à incident ne commence pas au moment de l’alerte, elle se prépare en continu.

Les sept étapes en pratique

Étape	Objectif	NIST révision 2	Fonction CSF 2.0
1. Préparation	Être prêt avant l’incident	Préparation	Govern, Identify, Protect
2. Détection et qualification	Confirmer l’incident, mesurer sa gravité	Détection et analyse	Detect
3. Confinement	Stopper la propagation	Confinement, éradication, restauration	Respond
4. Investigation	Comprendre l’attaque	Détection et analyse	Respond
5. Éradication	Retirer l’attaquant et ses accès	Confinement, éradication, restauration	Respond
6. Restauration	Relancer l’activité en sécurité	Confinement, éradication, restauration	Recover
7. Retour d’expérience	Tirer les leçons	Activités post-incident	Identify (Improvement)

1. Préparation

Contacts d’urgence à jour, procédure d’escalade, sauvegardes testées, journaux conservés, EDR déployé, contrat avec une équipe de réponse. C’est ce qui fait gagner des heures le jour J. Voir Qu’est-ce qu’un contrat de réponse à incident (retainer) ?.

2. Détection et qualification

Une alerte n’est pas encore un incident. L’analyste vérifie qu’il ne s’agit pas d’un faux positif, puis évalue le périmètre touché et la gravité. Cette qualification décide du niveau de mobilisation. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

3. Confinement

On isole les postes et serveurs compromis, on désactive les comptes suspects, on coupe les flux sortants anormaux. Le confinement doit être rapide mais réfléchi : éteindre une machine efface des preuves. Voir Comment isoler un système sans détruire les preuves ?.

4. Investigation

Les analystes reconstituent la chronologie : point d’entrée, comptes utilisés, machines touchées, données consultées ou exfiltrées. Sans investigation, on ne sait pas quoi éradiquer.

5. Éradication

Suppression des outils de l’attaquant, des comptes créés, des tâches planifiées, des accès persistants ; correction de la faille d’entrée ; réinitialisation des mots de passe. Voir Comment sait-on que l’attaquant est parti ?.

6. Restauration

Remise en service progressive depuis des systèmes sains et des sauvegardes vérifiées, sous surveillance renforcée. Voir Quand peut-on redémarrer la production après une cyberattaque ?.

7. Retour d’expérience

Rapport d’incident, causes, actions correctives, mise à jour des procédures. C’est ce qui ferme la boucle et renforce la préparation.

Ce qui se passe en parallèle

Trois chantiers courent pendant toutes les étapes :

• La conservation des preuves, utile à l’enquête, à l’assureur et à une éventuelle plainte.
• Les notifications : pour les entités soumises à NIS2, l’article 23 de la directive prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Pour une violation de données personnelles, l’article 33 du RGPD prévoit une notification à l’autorité de contrôle (la CNIL en France) dans les 72 heures. Votre conseil juridique peut préciser ce qui s’applique à votre situation. Voir La réponse à incident est-elle obligatoire ?.
• La communication auprès de la direction, des salariés, des clients et des partenaires.

Comment Cyna organise ces étapes

Chez Cyna, le SOC managé 24/7, opéré depuis la France par des équipes internes, prend en charge la détection et la qualification. Le CERT, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement pour le confinement, l’investigation et l’éradication. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les modalités du service SOC (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire. L’infogérant partenaire reste l’interlocuteur du client et pilote la restauration de son côté.

Faire le point avec un expert

Vous voulez vérifier que vos procédures couvrent bien chaque étape, pour vous ou pour vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Le cycle en quatre phases du NIST est-il encore valable ?

Il reste un bon repère pédagogique, mais la révision 2 de 2012 a été remplacée en avril 2025 par la révision 3, qui s'appuie sur les fonctions du CSF 2.0. Les deux décrivent les mêmes activités, rangées différemment.

Existe-t-il un cadre français équivalent ?

L'ANSSI publie le corpus « Cyberattaques et remédiation », qui décrit la réponse à incident comme la combinaison de l'investigation, de la remédiation et de la gestion de crise. Il complète bien le NIST côté décision et pilotage.

Peut-on sauter l'étape de retour d'expérience ?

C'est l'étape la plus souvent oubliée, et pourtant celle qui évite de revivre le même incident. Le NIST la rattache à la catégorie Improvement du CSF 2.0 : elle nourrit la préparation suivante. Voir Que contient un rapport d'incident ?.

Qui déclenche la réponse à incident ?

En général le SOC, qui qualifie une alerte en incident, ou un utilisateur qui signale un comportement anormal. La décision d'engager le CERT revient ensuite au client et à son infogérant, selon la procédure d'escalade prévue.