Gestion du plan de réponse aux incidents
La réponse aux incidents n’est pas différente de tout autre aspect de la sécurité des informations. Elle nécessite une planification réfléchie, une supervision continue et des mesures claires afin que les efforts puissent être correctement mesurés. Les initiatives de gestion en cours comprennent la fixation et la supervision des objectifs de réponse aux incidents, les tests périodiques de l’IRP pour garantir son efficacité et la formation de toutes les parties nécessaires sur les procédures de réponse aux incidents applicables. Les paramètres spécifiques utilisés pour mesurer l’efficacité des initiatives de réponse aux incidents pourraient inclure :
- Nombre d’incidents détectés.
- Nombre d’incidents manqués.
- Nombre d’incidents nécessitant une action.
- Nombre d’incidents répétés.
- Le délai de remédiation.
- Nombre d’incidents ayant conduit à des brèches.
En outre, les objectifs de réponse aux incidents pourraient inclure des domaines impliquant :
- Des examens et des mises à jour du plan de réponse aux incidents de routine.
- La planification et l’exécution de scénarios de test de réponse aux incidents.
- Les problèmes d’intégration avec les initiatives de sécurité connexes, telles que la sensibilisation à la sécurité, les systèmes de détection technique, la formation des employés et les tests de vulnérabilité et de pénétration.
- Le signalement des événements de sécurité à la direction générale ou à des parties extérieures.
- L’acquisition de technologies supplémentaires pouvant fournir une visibilité et un contrôle accrus du réseau.
Plans d’intervention en cas d’incident par rapport aux plans de continuité des activités
Avec pour objectifs de maintenir les opérations normales et de minimiser l’impact des événements imprévus, la réponse aux incidents pourrait être considérée comme faisant partie du processus de continuité des activités. Compte tenu des enjeux et des différentes variables impliquées, telles que les personnes, les technologies et les processus métier, la réponse aux incidents devrait avoir les plus hauts niveaux de visibilité au sein de l’organisation. Un IRP est dédié aux incidents et aux brèches ayant un impact sur les réseaux et les ordinateurs, les applications et les bases de données et les actifs informationnels connexes. Par conséquent, la plupart des organisations ont intérêt à conserver le plan de réponse aux incidents dans un document autonome, distinct du plan de continuité des activités, mais référencé dans celui-ci. Le plus important est de s’assurer que le plan de réponse aux incidents est facilement accessible par tous les membres de l’équipe lorsqu’il est nécessaire.
Outils . pour la réponse aux incidents
Il existe de nombreux outils et méthodologies qui peuvent être utilisés pour aider à la réponse aux incidents et qui sont généralement classés par prévention, détection ou réponse. Certaines organisations suivent la boucle OODA dérivée de l’armée pour la réponse aux incidents. La boucle OODA est une méthodologie qui encourage une entreprise à observer, à s’orienter, à décider et à agir lorsqu’un incident se produit, toutes choses auxquelles les outils de RI peuvent contribuer.
Par exemple, une organisation peut obtenir la visibilité nécessaire sur un incident grâce aux technologies d’analyse des paquets, de surveillance des ressources système et d’examen de l’intégrité des fichiers. Il est possible d’obtenir un aperçu des menaces en utilisant des indicateurs de menace en temps réel et des services de renseignement sur les menaces. En outre, certains outils peuvent fournir des détails médico-légaux tels que l’emplacement de la source, des informations techniques sur l’incident et des reconstitutions d’événements. Il existe également des outils qui permettent à une organisation d’agir contre une menace en l’empêchant de se propager ou en minimisant l’impact qu’elle a sur l’environnement informatique.
Alors que la réponse aux incidents est un processus, la technologie peut être utilisée pour automatiser et rationaliser des fonctions spécifiques de réponse aux incidents afin de minimiser les temps de détection et les erreurs système. Les prestataires de services axés sur le développement de la technologie de réponse aux incidents proposent généralement des produits dans les catégories suivantes :
- sensibilisation et formation des employés;
- gestion de la sécurité des points de terminaison;
- pare-feu, prévention des intrusions et atténuation du DoS;
- analyse forensique;
- analyse des flux de réseau et du trafic;
- gestion des incidents et des événements de sécurité (SIEM) ; et
- gestion des vulnérabilités.
Les outils de réponse aux incidents fournissent aux organisations à la fois de la visibilité et du contrôle. Ils fournissent également aux professionnels les informations nécessaires qu’ils doivent connaître pour traiter le comportement anormal. Enfin, les outils de réponse aux incidents aident aux efforts de réponse directe — ce qui permet aux organisations de minimiser les risques encourus.
La plupart des produits technologiques dans le secteur de la réponse aux incidents sont commerciaux et nécessitent une budgétisation adéquate des dépenses d’investissement et de fonctionnement. Alternativement, il existe de nombreuses offres de logiciels open source qui pourraient être adaptées pour répondre aux besoins d’une organisation spécifique. Lorsque l’on choisit l’approche open source, il est important de peser l’effort à fournir, l’efficacité avec laquelle elle pourra évoluer et son efficacité à long terme.
Une fois que les outils de réponse aux incidents sont mis en place, il est important de s’assurer qu’il y a suffisamment de personnel et d’expertise pour en assurer la maintenance et la mise à jour. Disposer des ressources nécessaires est essentiel pour la conception et la mise en œuvre initiales de la technologie, ainsi que pour l’administration et le dépannage continus.
Enfin, les dirigeants doivent se rappeler que les outils de réponse aux incidents ne peuvent pas comprendre l’ensemble du programme de réponse aux incidents. Bien que les outils et l’automatisation puissent jouer un rôle important, ils ne devraient toujours être qu’une composante des exigences globales en matière de réponse aux incidents.