Playbooks de réponse aux incidents cyber

La prestation porte sur la conception, la rédaction et le test de trois playbooks adaptés à l’organisation et au système d’information d’ATMB, et non sur la simple transposition d’un modèle générique. Ils couvrent la compromission d’un équipement de mise en sécurité autoroutier, une fuite de données incluant des données de gestion clientèle et la propagation d’un rançongiciel sur un seul segment réseau. Ce dernier playbook pourra être étendu par itérations dans le cadre d’une consultation ultérieure.

Contenu et fonctionnement

Pour chaque scénario, le playbook doit guider les premières étapes de réponse à incident — détection, qualification et endiguement — avec des déclencheurs, critères d’activation, personnes habilitées, informations à recueillir, questions à poser et éléments permettant de caractériser le vecteur d’attaque, le périmètre touché et l’urgence. Il doit aider les équipes à identifier les vérifications, acteurs, décisions et décideurs, l’ordre des actions, les précautions, les actions à éviter et les seuils d’escalade. Des arbres de décision sont attendus dans la mesure du possible.

Les actions d’endiguement doivent être concrètes et contextualisées, en précisant autant que possible leur objectif, la situation qui les justifie, les acteurs chargés de les réaliser ou de les autoriser, l’état recherché, les conséquences — notamment sur les activités d’ATMB et le niveau de sécurité — et les informations à documenter. Des fiches réflexes ou modes opératoires doivent éviter les consignes trop générales. Pour le scénario de fuite de données, le playbook doit notamment inclure la photo et la localisation des routeurs Internet permettant d’isoler une partie du système d’information d’Internet.

Chaque playbook doit également préciser les éléments à préserver pour les investigations ultérieures (journaux, horodatages, captures d’écran, main courante), les communications à réaliser (destinataires, étape ou fréquence, niveau d’information, canal, validation et canaux de secours) et comporter une matrice RACI incluant les partenaires concernés, tels que SOC, CSIRT et titulaires de contrats de maintien en conditions opérationnelles. Les playbooks doivent signaler les actions susceptibles d’aggraver l’incident ou de compromettre la collecte de preuves, sans reproduire les procédures techniques existantes.

Périmètre des investigations et limites

La phase de compréhension de l’existant, des moyens de sécurité et des scénarios redoutés doit porter sur les principaux chemins d’attaque et permettre de vérifier l’efficience des mesures d’endiguement, sans constituer un inventaire exhaustif de la surface d’attaque. Sont exclus le test d’intrusion, la recherche exhaustive de vulnérabilités, la Red Team, la simulation d’attaque réelle et l’audit technique exhaustif du système d’information. Aucune exploitation de vulnérabilité ni action susceptible d’altérer, dégrader ou perturber un système ou service d’ATMB ne peut être réalisée sans son accord explicite et préalable. L’éviction, l’éradication et la reconstruction des systèmes affectés sont exclues de la prestation, bien que les playbooks doivent aider à identifier les mesures appropriées.

Test et livrables

Le titulaire prépare et anime un test de l’opérationnalité du playbook relatif au rançongiciel sur un segment réseau. L’offre doit décrire la préparation, l’animation et les critères d’évaluation. La cellule de crise de l’entreprise n’est pas mobilisée, mais ses interactions peuvent être simulées. Le test donne lieu à une restitution à chaud et à une restitution managériale.

Les livrables comprennent les trois playbooks, une description de l’exercice (objectif, stimuli, modalités d’évaluation et attendus), les supports d’animation, une restitution des travaux et enseignements sous forme de plan d’action, ainsi que la mise à jour du ou des playbooks à la suite du test. L’offre doit présenter la démarche, les enjeux et difficultés anticipés, la compréhension des capacités de détection et de réponse, des exemples de fiches réflexes par playbook, les acteurs associés, l’organisation du test et le contenu des livrables. Le prestataire doit disposer de la qualification PRIS délivrée par l’ANSSI et d’une expérience significative en réponse à incident cyber et conception de dispositifs opérationnels. L’équipe doit comprendre au minimum un profil technique orienté réponse à incident et un profil à dominante organisationnelle pour formaliser les playbooks et préparer et animer le test.