Le post-incident est la phase finale du cycle de vie défensif, menée une fois la restauration terminée. Elle transforme l'expérience d'un incident en amélioration durable. Plutôt que de refermer le dossier, cette phase se demande ce qui s'est passé, pourquoi cela s'est produit et comment l'organisation peut en sortir plus forte la prochaine fois. Ses conclusions sont réinjectées directement dans la préparation, faisant du cycle de vie une boucle continue plutôt qu'une ligne droite. Menée honnêtement et sans recherche de coupable, elle constitue l'une des sources d'apprentissage les plus précieuses dont dispose une organisation.
Ce pilier couvre le travail de réflexion et d'amélioration.
- La reconstruction et la forensique établissent un récit détaillé et fondé sur des preuves de la façon dont l'incident s'est déroulé, de l'accès initial jusqu'à l'impact.
- L'évaluation et les retours d'expérience examinent ce qui a fonctionné, ce qui n'a pas marché et les lacunes révélées par l'incident au niveau des personnes, des processus et de la technologie.
- L'amélioration réinjectée dans la préparation traduit ces enseignements en changements concrets des contrôles, des détections, des plans et des formations.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response
- SANS Institute, ressources sur les retours d'expérience et l'analyse d'incidents