Un incident de sécurité de l'information est un ensemble d'un ou de plusieurs événements, ou de changements dans l'état d'un système d'information, d'un bien ou d'une architecture, qui nécessite une action de sécurité rapide et immédiate pour l'évaluer, le contenir, y répondre et s'en remettre.les organisations bien préparées peuvent, avec de l'habileté et de la chance, limiter les dommages aux biens et les perturbations des processus d'entreprise qu'un incident pourrait autrement causer.les organisations mal préparées sont plus susceptibles de commettre de graves erreurs dans la caractérisation et la gestion d'un incident et peuvent se causer plus de tort dans le processus.le traitement adéquat des incidents de sécurité de l'information dépend autant des processus opérationnels quotidiens que des spécificités des processus de réponse aux incidents.la détection, l'évaluation, l'escalade, la communication, le rétablissement et l'apprentissage à partir de l'événement sont des activités généralement intégrées dans le processus de réponse aux incidents de l'organisation. Le fait de préciser qui fait quoi en cas d'incident et dans quelles circonstances aidera grandement l'organisation à reprendre ses activités.le professionnel de la sécurité doit comprendre ses responsabilités légales et organisationnelles en matière de gestion des incidents et être en mesure d'évaluer les activités et l'efficacité globale de la pratique de réponse aux incidents de l'organisation.

L'investigation numérique, en tant que processus et domaine d'étude, est une combinaison de défis fascinants et passionnants. Les personnes qui participent à ces enquêtes découvrent que leurs compétences créatives, leur souci du détail et leur curiosité innée sont mis à rude épreuve lorsqu'ils tentent d'appréhender les aspects humains, organisationnels et techniques d'un incident lié à la sécurité de l'information. Les personnes qui soutiennent les enquêteurs, que ce soit avant ou pendant l'enquête, sont également mises à l'épreuve, mais de manière très différente. L'équipe de soutien a des tâches à accomplir dans le cadre de la prestation de services aux enquêteurs, aux dirigeants et aux gestionnaires de l'organisation, ainsi qu'aux utilisateurs finaux de l'organisation, et elle doit s'acquitter de ces tâches avec une fiabilité et une fiabilité à toute épreuve, au mieux de ses capacités. En d'autres termes, ils doivent suivre les procédures et s'assurer que tous les processus requis sont respectés, étape par étape, dans les moindres détails.le module 2 a souligné la nécessité d'une préparation et d'une planification solides avant le premier incident, et d'un état d'esprit souple, réactif et agile pour ajuster ces plans lorsque le premier incident se produit et montre que les plans doivent être modifiés. La préparation d'une enquête sur un incident constitue une part importante de ce que l'équipe chargée des opérations de sécurité doit accomplir.pour mettre cette préparation en perspective, ce module examinera plus en détail le processus d'investigation lui-même. En cours de route, nous mettrons en évidence les opportunités pour le professionnel de la sécurité avant-gardiste de préparer l'organisation, ses utilisateurs, son personnel IT et OT et ses managers et dirigeants à soutenir différents types d'enquêtes médico-légales lorsqu'elles deviendront nécessaires.le module 3 présente quelques-unes des techniques d'investigation numérique. Vous les trouverez peut-être utiles et nécessaires lors du dépannage d'un incident impliquant des systèmes technologiques plus anciens (comme dans les architectures OT), ou des environnements plus petits, hébergés localement, de type SOHO ou SMB. Les mêmes concepts de base s'appliquent toujours dans le nuage et dans le monde du big data, mais le passage à ce niveau nécessite une approche et un état d'esprit très différents en matière de criminalistique. Voyons cela de plus près.

Ce chapitre a montré comment l'objectif, la perspective et l'importance de la détection et de la réponse aux incidents ont tous changé, et de façon spectaculaire, au cours des dix dernières années environ. Auparavant, les professionnels de la sécurité concentraient leurs efforts sur l'identification, l'énumération et la sécurisation des actifs ; ils s'attachaient à renforcer les systèmes et les réseaux. Ces efforts étaient nécessaires, mais ils signifiaient parfois que la détection d'une brèche ou d'une intrusion était moins prioritaire. La plupart des brèches cybernétiques et des rançongiciels qui ont fait la une des journaux ces dernières années montrent que les attaquants ont profité des six à huit mois qu'il faut à l'entreprise moyenne pour s'apercevoir qu'un intrus s'est introduit dans ses systèmes (au passé), ce qui doit changer. Il faut que cela change : le renseignement de toutes sources, en tant que moyen d'identifier et de caractériser les intrusions possibles, s'avère être un moyen puissant d'obtenir des informations sur vos systèmes et de détecter les intrusions (ou les tentatives d'intrusion dans ces systèmes). Associée à l'analyse pour la sécurité, elle permet également de renverser une pratique éprouvée qui consistait à être très sélectif dans les événements qui génèrent des signaux d'enregistrement, dans les signaux qui sont enregistrés (et à quelle fréquence) et dans la manière dont les fichiers d'enregistrement sont gérés, rassemblés et analysés. Le professionnel de la sécurité d'aujourd'hui doit être un peu plus un scientifique des données qu'il ne l'était dans le passé et peut-être plus un analyste de données de renseignement également. Nous avons également examiné la criminalistique numérique, principalement du point de vue des petits systèmes plutôt que des grands environnements d'entreprise hébergés dans le nuage. Quoi qu'il en soit, dans la plupart des cas, il est préférable de laisser l'enquête elle-même et l'analyse des preuves aux examinateurs de systèmes informatiques certifiés, formés et experts ; mais en tant que professionnel de la sécurité sur place, le fait d'avoir quelques connaissances sur la nature des preuves numériques, la manière de les analyser et les enseignements que l'on peut en tirer peut vous aider à mieux préparer l'organisation au moment où elle devra faire appel aux enquêteurs.