7.4 Amélioration de la réponse (RS.IM)
Objectif de la catégorie
Cette catégorie garantit que chaque incident traité devient une opportunité d’amélioration du dispositif cybersécurité global à travers des retours d’expérience formalisés et suivis.
Success
La maturité cyber se mesure à la capacité à apprendre de ses erreurs.
RS.IM-01 : Intégration du retour d’expérience (REX)
- Chaque incident majeur donne lieu à une session REX :
- Acteurs impliqués (techniques, métiers, direction…)
- Ce qui a bien/mal fonctionné
- Format :
- Fiche REX synthétique
- Plan d’action associé
RS.IM-02 : Mise à jour des procédures
- Le REX doit aboutir à :
- Mise à jour du plan de réponse (PRI)
- Mise à jour des procédures de détection, tri, escalade, communication
- Amélioration des guides utilisateurs et des FAQ internes
RS.IM-03 : Réévaluation des risques
- Intégration des leçons de l’incident dans la cartographie des risques :
- Mise à jour des scénarios
- Réévaluation des niveaux de gravité
- Nouvelle classification de certains actifs ou processus
RS.IM-04 : Suivi des actions correctives
- Intégration dans le POA&M (Plan of Action and Milestones)
- Suivi par la gouvernance SSI
- Indicateurs :
- Délai de mise en œuvre
- Taux d’actions correctives mises en œuvre à temps
- Nombre d’actions issues des REX en attente
RS.IM-05 : Communication des améliorations
- Communication ciblée :
- Métiers concernés
- Direction
- Équipe SSI
- Objectif : démontrer que l’organisation apprend et s’améliore
- Valorisation auprès des parties prenantes (clients, régulateurs…)
Synthèse opérationnelle
| Élément | Bonnes pratiques |
|---|---|
| REX | Obligatoire après tout incident significatif |
| Procédures | Mises à jour et versionnées |
| Risques | Réévaluation formalisée |
| POA&M | Actions tracées avec échéances |
| Communication | Transparente et valorisante |