Que couvre une prestation de réponse à incident ?

Une prestation de réponse à incident couvre la qualification de l’incident, le confinement de l’attaque, l’investigation pour comprendre ce qui s’est passé, l’éradication de l’attaquant et l’accompagnement du redémarrage. Elle se conclut par un rapport. Selon les offres, elle inclut aussi l’appui aux notifications et à la cellule de crise. La reconstruction complète et le juridique restent en général hors périmètre.

Cet article fait partie de notre série sur la réponse à incident. Pour la vue d’ensemble, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Les briques d’une prestation

1. Prise en charge et qualification

L’intervenant recueille les premiers éléments : ce qui a été observé, depuis quand, quels systèmes semblent touchés. Il confirme qu’il s’agit bien d’un incident, en estime la gravité et fixe les premières priorités. Voir Qu’est-ce qu’un incident de cybersécurité ?.

2. Confinement

L’objectif est d’arrêter la progression de l’attaque : isoler des postes ou des serveurs depuis l’EDR, désactiver des comptes, bloquer des flux réseau, couper un accès distant. Ces gestes se font en préservant les preuves, et en accord avec le client et son infogérant, car ils ont un impact sur l’activité.

3. Investigation

C’est la partie d’enquête : recherche d’indicateurs de compromission, analyse des journaux, investigation numérique des machines touchées, analyse des logiciels malveillants retrouvés. Elle répond à quatre questions : par où l’attaquant est entré, ce qu’il a fait, ce qu’il a pu emporter, et s’il est encore présent.

4. Éradication

Une fois l’attaque comprise, il faut retirer tout ce que l’attaquant a laissé : comptes créés, portes dérobées, tâches planifiées, outils d’accès à distance. Réinitialiser les mots de passe sans avoir trouvé ses accès de secours revient à le laisser revenir. Voir Comment sait-on que l’attaquant est parti ?.

5. Accompagnement du redémarrage

L’intervenant indique quels systèmes peuvent repartir, dans quel ordre et sous quelles conditions de surveillance. La remise en service elle-même est souvent conduite par l’infogérant. Voir La réponse à incident inclut-elle la restauration des données ?.

6. Rapport

Le rapport retrace la chronologie, le point d’entrée, l’étendue de la compromission, les actions menées et les recommandations. Il sert à la direction, à l’assureur, aux autorités et, le cas échéant, à la justice. Voir Que contient un rapport d’incident ?.

Ce qui est inclus, en option ou hors périmètre

Élément	Situation habituelle
Qualification, confinement, investigation, éradication	Cœur de la prestation
Rapport d’incident	Inclus en général, détail variable
Éléments factuels pour les notifications (NIS2, CNIL)	Souvent inclus ; la notification reste faite par l’entreprise
Appui à la cellule de crise	Selon l’offre ; activité distincte dans le référentiel PRIS de l’ANSSI depuis octobre 2025
Intervention sur site	Souvent en option
Reconstruction complète du système d’information	Plutôt un projet de remédiation, souvent porté par l’infogérant
Restauration des données	Selon le contrat ; dépend des sauvegardes disponibles
Conseil juridique, relations avec l’assureur	Avocat, courtier
Communication publique	Direction, éventuellement agence spécialisée

L’ANSSI distingue d’ailleurs, dans son corpus « Cyberattaques et remédiation », la gestion de l’incident de la remédiation, qui est un projet à part entière. Le NIST, dans la révision 3 de son guide SP 800-61 (avril 2025), place la réponse à incident dans la gestion globale des risques et non comme une intervention isolée.

Les trois modes d’engagement

1. À la demande : on appelle un prestataire au moment de l’attaque. Il faut alors négocier le contrat, ouvrir les accès et déployer les outils, ce qui fait perdre des heures. Voir Peut-on faire appel à un prestataire de réponse à incident sans contrat préalable ?.
2. Contrat préalable (retainer) : le cadre, les délais et les accès sont définis avant l’incident.
3. Inclus dans un SOC managé : l’équipe qui surveille connaît déjà l’environnement et passe directement de la détection à la réponse. C’est le modèle de Cyna : le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Les points à vérifier dans le contrat

• Le délai de mobilisation prévu, de jour comme de nuit.
• Ce qui se fait à distance et ce qui justifie un déplacement.
• Les outils sur lesquels s’appuie l’intervenant (EDR, journaux, accès aux consoles).
• Le partage des rôles avec l’infogérant : qui isole, qui restaure, qui valide.
• Le contenu et le délai de remise du rapport.
• La conservation et la confidentialité des preuves.

Pour aller plus loin sur le choix d’un intervenant, voir Qu’est-ce qu’un prestataire de réponse aux incidents qualifié (PRIS) ?.

Faire le point avec un expert

Vous voulez vérifier ce que couvre votre dispositif actuel, ou celui de vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Une prestation de réponse à incident se fait-elle à distance ou sur site ?

Le plus souvent à distance, en s'appuyant sur l'EDR et les journaux déjà en place, ce qui permet d'agir vite. Un déplacement sur site peut être utile pour des systèmes isolés ou une forte dimension de crise. Vérifiez ce que prévoit le contrat.

Le prestataire négocie-t-il avec les attaquants en cas de rançongiciel ?

Ce n'est pas le cœur d'une prestation de réponse à incident. Cybermalveillance.gouv.fr recommande de ne pas payer la rançon, car rien ne garantit la récupération des données. La décision appartient à la direction, en lien avec son avocat et son assureur.

Combien coûte une réponse à incident ?

Le prix dépend du mode d'engagement (à la demande, contrat préalable ou inclus dans un SOC managé), de la taille du périmètre, de la durée de l'intervention et du besoin de déplacement. Les interventions sans contrat préalable sont en général les plus coûteuses. Voir Qu'est-ce qu'un contrat de réponse à incident (retainer) ?.

Faut-il des outils déjà en place pour que la prestation fonctionne ?

C'est très préférable. Un EDR déployé et des journaux conservés permettent d'agir vite et de reconstituer l'attaque. Sans eux, l'intervenant doit d'abord installer ses outils, ce qui retarde le confinement. Voir Faut-il un EDR pour un SOC managé ?.