La coordination est la pratique consistant à organiser les personnes et les équipes afin que la réponse à un incident soit ordonnée plutôt que chaotique. Elle établit qui commande, ce dont chacun est responsable, et comment le travail et l'information circulent entre les équipes, de sorte que de nombreux contributeurs agissent comme un effort cohérent et unique.
Au sein de la phase de réponse, la coordination est le tissu conjonctif qui tient ensemble les autres activités. Le tri, l'investigation, le confinement, l'éradication et la communication font chacun appel à des compétences différentes et souvent à des équipes différentes, et sans coordination elles peuvent entrer en collision, dupliquer les efforts ou laisser des lacunes. Une structure de commandement claire garantit que les décisions sont prises, les actions séquencées, et que rien de critique ne tombe entre les rôles.
En pratique, la coordination recourt souvent à un modèle de commandement d'incident qui désigne un responsable d'incident pour diriger et qui définit des rôles de soutien pour le travail technique, la communication et la tenue des enregistrements. Le responsable fixe les priorités, suit l'état d'avancement et gère les passations lorsque les équipes se relaient ou que des spécialistes arrivent et partent. Des rôles clairs réduisent la confusion sous pression, et un enregistrement tenu à jour des actions et des décisions soutient à la fois la réponse en direct et la revue ultérieure. Répéter ces structures avant un incident, au moyen d'exercices, rend la coordination fiable lorsqu'un véritable événement l'exige.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- FIRST, Computer Security Incident Response Team services framework