Guide d’intervention en cas d’incident · Canada · FR / EN
Décider la première heure avant d’en avoir besoin, pas pendant.
This guide is maintained in English as well. Incident response plan →
Les dépenses de sécurité retiennent la plupart de l’attention; ce qui se passe dans la première heure après qu’une personne a cliqué sur un lien malveillant en reçoit beaucoup moins. Un plan d’intervention n’est pas un produit de sécurité — c’est un petit ensemble de décisions prises à l’avance sur qui est appelé, ce qui est isolé et comment le personnel sait vraiment quoi faire.
La décision à rendre possible
Décider qui est le premier appel, ce qui est isolé immédiatement, et ce qui prouve que la formation du personnel fonctionne vraiment — avant qu’un incident n’impose l’improvisation.
01 Nommer le premier appel avant le premier incident
Les minutes qui suivent immédiatement le moment où quelqu’un soupçonne un compte compromis ou une pièce jointe malveillante comptent plus que presque tout ce qui se passe ensuite. Confirmez par écrit qui le personnel contacte en premier, ce que cette personne est autorisée à faire immédiatement, et comment ce chemin fonctionne en dehors des heures de bureau.
- Qui le personnel contacte dès que quelque chose semble anormal
- Ce que ce premier contact est autorisé à faire sans approbation supplémentaire
- Si le chemin fonctionne les soirs et fins de semaine, pas seulement pendant les heures de bureau
Décider ce qui est isolé immédiatement, et qui peut l’autoriser
Déconnecter un appareil du réseau, désactiver un compte ou bloquer un expéditeur peut empêcher un petit problème de se propager — mais quelqu’un doit avoir l’autorité de le faire immédiatement, pas après qu’une réunion soit planifiée. Nommez cette autorité à l’avance, séparément de qui enquête par la suite.
Définir ce que « formé » prouve vraiment
Une formation de sensibilisation à la sécurité que le personnel parcourt une fois par année prouve la présence, pas la préparation. Décidez quelle preuve démontrerait vraiment que le personnel peut reconnaître une tentative réelle — un test d’hameçonnage simulé, un taux de signalement, ou un exemple réel récent revu en équipe — plutôt qu’un simple certificat de complétion.
- Quel comportement précis la formation est censée produire
- Comment ce comportement est réellement testé, pas seulement enseigné
- Ce qui arrive quand quelqu’un signale une fausse alerte — confirmer qu’on l’encourage à signaler, pas qu’on le décourage
Répéter le plan avant un incident, pas pendant
Un plan qui n’a jamais existé que comme document est une hypothèse, pas une capacité. Parcourez un scénario plausible — un compte courriel compromis, une pièce jointe suspecte déjà ouverte — et confirmez que chaque personne nommée connaît vraiment son rôle avant que ce soit testé pour de vrai.
CritèreSignal utileQuestion de direction
Premier appelLe personnel sait exactement qui contacter en premier, à toute heure.Si cela arrivait un vendredi à 18 h, qui recevrait vraiment l’appel?
Autorité d’isolementQuelqu’un est autorisé à déconnecter ou désactiver immédiatement, sans réunion.Qui peut désactiver un compte ou isoler un appareil maintenant, sans attendre d’approbation?
Preuve de formationLa sensibilisation est mesurée par le comportement, pas seulement la complétion.Quelle preuve montre que le personnel reconnaîtrait vraiment une tentative réelle?
RépétitionLe plan a été parcouru, pas seulement rédigé.Quand ce plan a-t-il été testé pour la dernière fois contre un scénario réaliste?
Scénarios pratiques
Le même cadre, appliqué à des décisions différentes.
Un employé clique sur un lien d’hameçonnage convaincant un vendredi après-midi
Situation : Un employé réalise, après coup, qu’un lien sur lequel il a cliqué demandait ses identifiants et qu’il les a entrés.
Réponse utile : Suivez le premier appel convenu d’avance et les étapes d’isolement immédiat — réinitialisation du mot de passe, révocation de session et vérification d’accès supplémentaires — plutôt que d’attendre lundi parce que le moment semblait trop mineur pour être signalé.
Limite : Ce guide n’effectue aucune intervention ni enquête judiciaire; il cadre les décisions à préparer avant d’en avoir besoin.
La formation annuelle de sensibilisation affiche 100 % de complétion, mais les incidents continuent
Situation : Chaque employé a complété la formation annuelle requise, mais le personnel continue de se faire prendre par des tentatives d’hameçonnage réalistes.
Réponse utile : Traitez le taux de complétion comme le mauvais indicateur, et testez plutôt le comportement réel de reconnaissance — une tentative simulée, un taux de signalement ou une courte revue d’un exemple réel récent — pour voir ce que la formation produit vraiment.
Limite : Ce guide ne choisit ni n’évalue aucune plateforme ou fournisseur de formation précis.