KLKin Levi
Ressources

Matrice de décision en cas d’incident : CEO, RSSI et CTO

Précisez les pouvoirs pour six décisions critiques, les limites de délégation et les conditions d’escalade. Modifiez et téléchargez la matrice en CSV.

Kin Levi

Un intitulé de poste ne suffit pas à établir une autorité en période de crise. Cette matrice aide à transformer le plan de réponse en pouvoirs explicites. Complétez-la pour un service et un scénario définis, examinez-la avec le responsable d’incident et les responsables métier, puis approuvez la délégation selon le processus de l’organisation.

Télécharger la matrice vierge (.csv)

Définir les pouvoirs avant la montée de la pression

  1. Distinguer les rôles

    Séparez coordination de l’incident, exécution technique, acceptation du risque métier et communication externe. Discutez des contributions du dirigeant, du RSSI, du CTO, du responsable de service et du pilote d’incident. Attribuez à chaque décision un rôle réellement habilité et un suppléant ; une personne peut cumuler plusieurs rôles dans une petite structure.

  2. Délimiter l’action déléguée

    Précisez services, environnements clients, changements d’accès, durée et effets couverts par la délégation. Définissez les preuves requises et le point où l’action dépasse ce pouvoir. L’autorisation d’isoler une charge de travail ne doit pas devenir implicitement celle d’arrêter tous les services.

  3. Simuler l’absence du décideur

    Dans un exercice sur table, rendez le décideur principal injoignable et introduisez une priorité métier contradictoire. Vérifiez si le suppléant peut agir, si un canal indépendant fonctionne et si la décision est consignée. Une liste de contacts est utile lorsque les pouvoirs de chacun sont clairs.

Exemple : confinement limité à un service

Dans un service hébergé fictif, un accès suspect touche l’environnement d’un client. Le plan approuvé permet au pilote d’incident de l’isoler pendant une durée définie, l’action étant exécutée par un spécialiste plateforme. Des preuves d’accès à d’autres environnements déclenchent une escalade vers l’autorité métier désignée et la direction technique. Si le décideur principal est absent, le suppléant documenté agit dans les mêmes limites. Le journal conserve preuves, autorisation, périmètre et heure de réexamen. Cet exemple illustre une délégation sans imposer ces rôles à toute organisation ni affirmer que le confinement a réussi.

Construire la matrice

Vos réponses restent sur cette page et servent à créer le fichier dans votre navigateur. Téléchargez-le avant de fermer ou de recharger : le site n’enregistre pas cette fiche remplie.

Indiquez le service, le scénario, le plan de réponse applicable et la condition de réexamen ou d’expiration de la délégation.

1. Déclarer l’incident et nommer son pilote

Éléments à examiner: Événements observés, services touchés, confiance dans l’évaluation et critères du plan de réponse.

Quel rôle habilité peut décider ? Qui le remplace en cas d’absence et comment joindre cette personne ?

Que peut-on autoriser sans nouvelle approbation ? Définissez les frontières, la durée et les effets opérationnels acceptables.

Quelles preuves, quels effets ou délais dépassent la délégation ? Précisez le destinataire de l’escalade et la prochaine revue.

2. Contenir un accès ou isoler un service

Éléments à examiner: Accès suspect, périmètre, préjudice client, faisabilité technique, réversibilité et solutions de continuité.

Quel rôle habilité peut décider ? Qui le remplace en cas d’absence et comment joindre cette personne ?

Que peut-on autoriser sans nouvelle approbation ? Définissez les frontières, la durée et les effets opérationnels acceptables.

Quelles preuves, quels effets ou délais dépassent la délégation ? Précisez le destinataire de l’escalade et la prochaine revue.

3. Préserver les preuves avant une modification destructive

Éléments à examiner: Artefacts pertinents, contraintes d’acquisition, traçabilité, urgence et pertes possibles lors d’une réinitialisation ou reconstruction.

Quel rôle habilité peut décider ? Qui le remplace en cas d’absence et comment joindre cette personne ?

Que peut-on autoriser sans nouvelle approbation ? Définissez les frontières, la durée et les effets opérationnels acceptables.

Quelles preuves, quels effets ou délais dépassent la délégation ? Précisez le destinataire de l’escalade et la prochaine revue.

4. Autoriser les communications externes et notifications

Éléments à examiner: Faits vérifiés, publics concernés, responsable de communication et obligations évaluées par les spécialistes compétents.

Quel rôle habilité peut décider ? Qui le remplace en cas d’absence et comment joindre cette personne ?

Que peut-on autoriser sans nouvelle approbation ? Définissez les frontières, la durée et les effets opérationnels acceptables.

Quelles preuves, quels effets ou délais dépassent la délégation ? Précisez le destinataire de l’escalade et la prochaine revue.

5. Remettre un service en production

Éléments à examiner: Contrôles des identités et données, tests de restauration, restrictions restantes, surveillance, retour arrière et acceptation métier.

Quel rôle habilité peut décider ? Qui le remplace en cas d’absence et comment joindre cette personne ?

Que peut-on autoriser sans nouvelle approbation ? Définissez les frontières, la durée et les effets opérationnels acceptables.

Quelles preuves, quels effets ou délais dépassent la délégation ? Précisez le destinataire de l’escalade et la prochaine revue.

6. Clore l’incident et attribuer les actions de suivi

Éléments à examiner: Exposition persistante, engagements clients, contrôles temporaires, responsables des corrections et échéances.

Quel rôle habilité peut décider ? Qui le remplace en cas d’absence et comment joindre cette personne ?

Que peut-on autoriser sans nouvelle approbation ? Définissez les frontières, la durée et les effets opérationnels acceptables.

Quelles preuves, quels effets ou délais dépassent la délégation ? Précisez le destinataire de l’escalade et la prochaine revue.

Valider la délégation dans votre organisation

Remplir cette page ne confère aucun pouvoir et ne remplace pas un plan approuvé. Examinez la matrice avec les responsables métier, techniques, juridiques et de communication concernés. Résolvez les pouvoirs absents ou contradictoires avant un incident réel. Gardez une copie accessible et révisez-la lorsque services, personnes ou pouvoirs changent. Vos réponses restent dans le navigateur jusqu’au téléchargement ; le site n’enregistre pas la matrice remplie.

Méthode et références

Fiche de décision originale avec des sources primaires de réponse à incident. Ce n’est pas un modèle officiel du NIST ou de la CISA.

Poursuivre la lecture

Modèle de briefing cybersécurité pour le conseil →