Mesures d'Isolation Rapide

En pleine attaque, la question qui fait perdre le plus de temps n’est pas technique : c’est « qui a le droit de couper ? ». Tant qu’elle se pose pendant l’incident, elle se règle par escalade, et l’escalade consomme les heures dont la propagation a besoin.

Ce cadre répond à la question avant l’incident. Il pose quatre boutons, chacun avec son déclencheur, son autorité de décision, son degré d’automatisation et sa procédure :

• le bouton rouge, isolement préventif sur signal faible ;
• le bouton orange, confinement réactif sur incident avéré ;
• le bouton noir, arrêt ultime — la mesure qu’on espère ne jamais prendre ;
• le bouton vert, retour à la normale, qui est une procédure à part entière et non l’absence des trois autres.

Aucune mesure de coupure n’y figure sans sa procédure de retour. C’est la règle qui structure tout le document : une coupure sans chemin de retour documenté transforme un confinement de quelques heures en arrêt prolongé, parce que plus personne n’ose rallumer.

Ce que contient le document

Neuf chapitres — fondements et typologie des boutons, analyse des risques et identification des besoins, stratégie et gouvernance, architecture et mise en œuvre technique, facteurs humains et culture d’entreprise, pilotage et amélioration continue, études de cas, perspectives, recommandations.

Et dix annexes, qui sont la partie directement utilisable :

• cinq check-lists de déclenchement, une par bouton, plus une de préparation d’exercice ;
• quatre runbooks types — isolement d’un poste via EDR ou contrôle d’accès réseau, confinement d’un serveur, arrêt complet, retour à la normale ;
• des scénarios détaillés : rançongiciel hautement destructeur, intrusion latérale persistante, brèche sur un réseau industriel, retour à la normale après un sinistre physique ;
• deux tableaux RACI, l’un général, l’autre détaillé bouton par bouton ;
• des schémas : pyramide de résilience, flux décisionnel de l’alerte à l’activation, orchestration par un SOAR ;
• un glossaire, les références normatives, une FAQ de quinze questions, et un plan d’action en six étapes pour démarrer.

À qui il s’adresse

À ceux qui devront décider : responsable de la sécurité des systèmes d’information, responsable de la continuité, direction informatique, cellule de crise. Le document est écrit pour être découpé — on peut n’en prendre que les check-lists et les RACI, les adapter, et laisser le reste de côté.

Il est publié sous licence Creative Commons Attribution – Pas d’utilisation commerciale – Partage dans les mêmes conditions : vous pouvez le diffuser et l’adapter, en citant l’auteur, sans usage commercial, et en conservant la même licence.