L'évaluation est la revue structurée menée après la résolution d'un incident pour comprendre ce qui s'est passé, combien cela a coûté et pourquoi c'est survenu. Elle établit un récit convenu de l'événement, mesure l'impact sur les opérations et les données, et remonte la chaîne des causes jusqu'à leurs racines.
Au sein de la phase post-incident, l'évaluation est la première étape vers l'apprentissage. Une fois la menace immédiate maîtrisée et la reprise engagée, l'organisation a besoin d'une image honnête de l'événement avant de pouvoir décider quoi changer. L'évaluation fournit cette image, ancrée dans les preuves plutôt que dans les impressions.
En pratique, l'évaluation combine l'analyse d'impact avec l'investigation de la cause racine. Les équipes quantifient ce qui a été affecté, combien de temps la perturbation a duré et quels actifs ou enregistrements ont été touchés, puis remontent la chronologie pour trouver les conditions qui ont permis l'incident : un contrôle manquant, une lacune de processus ou une réponse tardive. Les revues les plus efficaces sont sans blâme, se concentrant sur les systèmes et les décisions plutôt que sur les individus, de sorte que les gens partagent librement l'information. Le résultat est un ensemble clair de constats qui alimente l'amélioration, transformant un événement douloureux en une compréhension durable.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- SANS, Incident Handler's Handbook