AnalysesINS-12 / Préparation aux incidents

Plan de communication d’incident : la liste de contrôle qui doit exister avant l’incident

Un annuaire de contacts n’est pas un plan de communication. Le plan doit pouvoir être activé avec une confiance réduite, être testable et exercé régulièrement.

Relu sur le plan éditorial · 13 août 202612 MIN

Réponse directe

Un plan complet de communication d’incident définit le déclenchement, les rôles de décision, un arbre de contacts indépendant, des canaux principal et de secours, les données autorisées, un format de situation standard, des délais d’escalade, la séparation des preuves, des exercices et les procédures de retour.

Points clés

Le déclenchement et le retour ont un décideur nommé et un horodatage.
Chaque contact principal a un suppléant joignable en dehors du système principal.
Le choix du canal distingue la panne de la compromission.
Le plan est exercé sous forme de chronologie et mis à jour après chaque test.

01 - Déclencheur et autorité

Nommez des conditions de déclenchement observables, comme une panne du fournisseur d’identité, un soupçon de prise de contrôle de compte, des indices de manipulation ou un rançongiciel. « Si nécessaire » n’est pas un déclencheur exploitable.

Les rôles principal et suppléant peuvent déclencher. L’heure, le motif, la limite de confiance concernée et la prochaine revue sont consignés immédiatement.

Critères de déclenchement observables
Rôle de décision principal et suppléant
Délai maximal jusqu’à la première mise à jour confirmée
Conditions de pause, d’escalade et de retour

02 - Un arbre de contacts en dehors de l’incident

Des contacts stockés uniquement dans l’annuaire ou la boîte mail touchés peuvent être indisponibles au moment voulu. Conservez un arbre minimal protégé, hors ligne ou hors bande, avec des suppléants.

La liste a un responsable, un rythme de revue et un dernier test consigné.

03 - Une échelle de canaux avec hypothèses de confiance

Documentez la finalité, la limite de protection et les exclusions de chaque canal. Le téléphone peut confirmer une identité, mais convient mal aux gros fichiers de preuves ; une messagerie coordonne, mais dépend toujours de l’état des points d’extrémité et des identités.

Classez les canaux selon la confiance restante : principal, secours indépendant, dernier recours personnel et page d’état publique pour les déclarations approuvées.

04 - Rôles, approbations et format des mises à jour

Les équipes techniques, la direction, le personnel, les clients, les autorités et les médias ont des besoins d’information différents. Nommez l’auteur, l’approbateur et le canal pour chaque public.

Utilisez un format standard : fait, évaluation, décision et prochaine échéance. Évitez les attributions et les impacts non confirmés.

05 - Limites des données et des preuves

Indiquez quelle classe de données peut passer par quel canal. Les identifiants, secrets, données personnelles sensibles et artefacts forensiques bruts n’ont souvent pas leur place dans la salle générale.

Consignez rapidement les décisions tandis que les preuves originales restent dans leur dépôt maîtrisé.

06 - Exercice, mesure et maintenance

Exercez le déclenchement au moins après chaque changement important et à un rythme proportionné à la criticité. Mesurez le déclenchement, l’accessibilité, la confirmation d’identité, la première mise à jour correcte et les blocages ouverts.

Chaque constat reçoit un responsable et une échéance. Un plan sans suivi des corrections n’est qu’un espoir documenté.

Dernier test de l’arbre de contacts et part joignable
Délai jusqu’à la salle qui fait foi et à la première mise à jour
Participants manquants, erronés ou en double
Retour réussi avec décisions transférées

Preuves et outils VENTEXCommunication pendant une cyberattaque Télécharger le playbook du pilote Divulgation responsable

Sources primaires externesNIST SP 800-61 Rev. 3 - Incident Response Recommendations CISA Emergency Communications Guidance ENISA - Secure Group Communications

FAQ / FACTS

FAQ

Un annuaire de contacts n’est pas un plan de communication. Le plan doit pouvoir être activé avec une confiance réduite, être testable et exercé régulièrement.

Après chaque changement important et régulièrement selon la criticité. Les chemins critiques de contact et de bascule doivent être exercés plus souvent qu’une relecture sur papier.

Oui, avec des publics, des approbations et des canaux distincts. Les détails techniques et les déclarations publiques ne doivent pas être mélangés sans contrôle.

Non. Elle structure la capacité de communication et doit être intégrée au modèle d’incident, de continuité et de protection des données de l’organisation.