L'amélioration est la pratique qui consiste à transformer ce qu'un incident a appris en changements concrets qui rendent l'organisation plus résiliente. Elle prend les constats issus de l'évaluation et de la reconstruction et les convertit en contrôles plus solides, en meilleurs processus et en plans plus clairs, afin que la même faiblesse ne cause pas deux fois le même dommage.
Au sein de la phase post-incident, l'amélioration est le moment où l'apprentissage devient action. Une revue honnête n'a de valeur que si ses conclusions changent quelque chose. L'amélioration boucle cette boucle, en attribuant des responsables et des échéances aux recommandations et en les suivant jusqu'à leur achèvement plutôt que de les laisser s'estomper une fois la pression retombée.
En pratique, l'amélioration produit des actions correctives priorisées : détections nouvelles ou réglées, configurations durcies, lacunes corrigées, runbooks mis à jour et plans de réponse révisés. Elle peut aussi remodeler la formation, les effectifs ou l'outillage là où l'incident a révélé des limites. Chaque action est suivie, vérifiée et, lorsque c'est possible, testée pour confirmer qu'elle fonctionne. Au fil du temps, cette boucle de rétroaction élève le niveau de référence, de sorte que chaque incident, aussi coûteux soit-il, contribue à une défense qui est mieux préparée, de façon mesurable, pour le prochain.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- ISO/IEC 27035, Information Security Incident Management