Un enregistrement d'incident est l'aperçu que vous conservez de ce qui s'est passé, quand, dans quel système et qui a été impliqué, à partir du moment où vous remarquez quelque chose d'anormal jusqu'au moment où le problème est résolu. Pour un prestataire de services informatiques, cela signifie concrètement : l'heure du premier signalement, les systèmes du client qui ont été affectés, quel employé ou sous-traitant avait accès à ce moment-là, les mesures qui ont été prises et quand la situation est revenue à la normale.
Cet enregistrement n'est pas en soi une obligation de signalement légale — celle-ci s'applique aux organisations soumises à la loi sur la cybersécurité, pas automatiquement à leurs fournisseurs. Mais un client qui est soumis à cette obligation doit pouvoir évaluer sa propre chaîne d'approvisionnement, et il le fait en vous demandant comment vous enregistrez les incidents et les rendez vérifiables. Sans une réponse claire à cette question, un contrat n'aboutit souvent pas au-delà de la phase initiale.
Pourquoi cela est particulièrement pertinent pour les prestataires de services informatiques
Une entreprise d'installation ou un cabinet de conseil a généralement un seul environnement à surveiller : le leur. Un prestataire de services informatiques travaille structurellement dans les systèmes d'autres organisations, souvent à distance, parfois avec des droits d'administration très étendus. Si quelque chose se passe mal, la question n'est pas seulement ce qui s'est passé chez vous, mais aussi ce qui a affecté le client et si cela peut être attribué à une session, un compte ou un moment d'accès précis. Les clients soumis à l'obligation de diligence s'attendent à ce que vous puissiez démontrer cette traçabilité, même si l'incident remonte à des mois.
Gestion à distance : ce que vous enregistrez
La gestion à distance implique trois éléments qui doivent être distingués séparément : qui a lancé la session, depuis quel compte ou quel poste de travail, et ce qui a été fait pendant cette session. De nombreux outils de gestion à distance enregistrent cela automatiquement, mais la question qui compte n'est pas si l'outil l'enregistre, mais si vous pouvez montrer cet enregistrement quand un client ou une autorité de supervision vous le demande. Tenir une liste séparée des environnements clients accessibles à distance et par qui est souvent suffisant pour répondre à cette question sans avoir besoin d'approfondir la technique.
Accès aux systèmes clients : accordé, utilisé, révoqué
L'accès à un système client n'est généralement pas un état permanent mais un moment : quelqu'un reçoit un compte, l'utilise pour une tâche, puis l'accès est révoqué. En cas d'incident, la première question est souvent qui avait accès à ce moment-là, pas qui a jamais eu accès. Un registre indiquant quand l'accès a été accordé et quand il a été révoqué permet de répondre rapidement et précisément à cette question. Si cet aperçu fait défaut, vous devez le reconstituer au moment où il y a déjà une urgence, et c'est précisément le moment où c'est le plus difficile.
Sous-traitants : la chaîne ne s'arrête pas à vous
Si vous travaillez vous-même avec un sous-traitant pour une partie de la gestion, la question ne se déplace pas, elle s'étend. Un client qui évalue votre travail veut savoir si un incident survenu chez votre sous-traitant vous est également visible, et pas seulement après coup par un coup de téléphone. Concrètement, cela signifie que les accords avec les sous-traitants précisent les délais de signalement mutuel, et que votre propre enregistrement des incidents laisse place à l'indication de la part d'un incident qui relevait d'un tiers. par sujet, ce qui est pertinent pour votre situation a été élaboré constitue un bon point de départ pour voir quelles questions de chaîne d'approvisionnement correspondent à votre type de prestation de services.
Ce qu'un enregistrement est et n'est pas
L'enregistrement d'un incident est une documentation, non une réaction. Il s'agit de ce que vous pouvez démontrer après résolution d'une situation, et non de la rapidité de votre intervention ou des mesures techniques que vous mettez en place pendant un incident — ce dernier point relève des équipes de réponse aux incidents, des SOC et des enquêteurs judiciaires, et c'est expressément hors du champ de cet article et de secria.eu. Ce que nous faisons, c'est clarifier la vue d'ensemble : quelle mesure correspond à quelle preuve, et qui dans votre organisation en est responsable. réponses aux questions que les fournisseurs PME posent souvent montre où se situe la limite entre documentation et intervention réelle.
Où vous l'intégrez
Que vous soyez vous-même soumis à la Cybersecurity Act ou que vous soyez impacté via un client, la question de l'enregistrement d'incidents réapparaît dans presque tous les questionnaires de sécurité. Une réponse structurée commence par savoir exactement où vous en êtes : voir en quelques questions si et comment vous êtes concerné le clarifie en quelques minutes, sans avoir besoin d'un compte.
Vous souhaitez voir comment une telle documentation devient en pratique un dossier vivant, avec un statut, une preuve et un responsable pour chaque mesure ? Effectuez la vérification NIS2 gratuite ou consultez la base de connaissances sur secria.eu ; les deux sont accessibles sans compte.