Qu’est-ce que la gestion des incidents informatiques; lorsque l’informatique connait des problèmes, les conséquences que cela a sur les opérations de l’entreprise peuvent être désastreuses, et il convient d’intervenir avant que cela ne devienne des problèmes.
Indispensable, la gestion des incidents informatiques permet notamment de réduire l’impact des incidents sur les activités de l’entreprise, accélérer leur détection, limiter l’apparition de nouveaux incidents et plus importants encore améliorer grandement la qualité des informations exploitées par l’entreprise.
La gestion des incidents (dénommée parfois GDI), est un processus de gestion du cycle de vie de tous les incidents qui peuvent se produire, avant de devenir des problèmes. Elle s’assure que l’exploitation normale des services, soit rétablie, dès que possible, en tous cas, le plus rapidement, pour que les impacts, soient réduits à leur minima.
Tout cela se traduit forcément par une meilleure productivité et un avantage considérable par rapport aux concurrents qui ne se soucient guère de la gestion des incidents informatiques, de plus des incidents non gérés aboutissent à des problèmes certains.
Mais qu’est-ce que précisément la gestion des incidents informatiques, en complément la gestion des incidents, est un processus, inclus dans la démarche ITIL et ISO 2000, et c’est ne question à laquelle nous allons tenter de répondre dans cet article.
Qu’est-ce qu’un incident informatique ?
Les incidents informatiques sont des événements peu fréquents observables ou reconnaissables qui menacent ou entraînent des conséquences néfastes pour la confidentialité, l’intégrité, la continuité ou encore la disponibilité des données et des ressources informatiques d’une organisation.
En informatique, on dénombre 4 grandes catégories d’incidents :
- Les incidents qui touchent les logiciels et les applications ;
- Les incidents qui concernent le matériel ;
- Les incidents qui touchent les demandes de service ;
- Enfin, les incidents dits de cybersécurité.
Une liste non exhaustive d’incidents informatiques potentiels peut comprendre :
- L’effacement accidentel des données ;
- Des défaillances ou pannes matérielles (problèmes des disques durs, blocage des imprimantes, dysfonctionnement des serveurs…) ;
- Panne de courant ou de connexion internet ;
- Accès non autorisé aux ressources informatiques de l’entreprise, aux systèmes ou aux informations ;
- Violation de la politique d’utilisation appropriée des ressources informatiques ;
- Violation de la politique de sécurité de l’information ;
- Modifications non autorisées des systèmes de production d’entreprise ;
- Perte, vol ou détérioration des ressources informatiques de l’entreprise ;
- Interruption imprévue ou indisponibilité du système informatique ;
- Comptes d’utilisateurs compromis ;
- Divulgation non autorisée d’informations sensibles ;
- Attaques malveillantes propagées par des virus informatiques, des logiciels malveillants ou des schémas de phishing ;
- Logiciel malveillant, attaques DoS, attaque par interception (MitM), attaque par force brute,
- Indisponibilité inattendue du serveur ;
- Problèmes de connexion aux serveurs, aux applications et autres.
Qu’est-ce que la gestion des incidents informatiques ?
La gestion des incidents informatiques fait référence à un ensemble d’actions, un processus chargé de gérer le cycle de vie de tous les incidents informatiques, quelle que soit leur origine.
Ses principaux objectifs sont :
- Empêcher l’apparition d’incidents, du moins dans la mesure du possible ;
- Rétablir le fonctionnement normal du service aussi rapidement que possible en cas d’incident ;
- Minimiser l’impact négatif des incidents sur les opérations commerciales ;
À part cela, la gestion des incidents informatiques vise aussi à faire en sorte que les niveaux de qualité de service convenus soient maintenus, notamment :
- En veillant à ce que des méthodes et procédures normalisées soient utilisées pour une réponse, une analyse, une documentation, une gestion continue et un signalement efficaces et rapides des incidents ;
- En augmentant la visibilité et la communication des incidents au personnel d’assistance commerciale et informatique ;
- En améliorant la perception de l’informatique par l’entreprise grâce à l’utilisation d’une approche professionnelle pour résoudre et communiquer rapidement les incidents lorsqu’ils surviennent ;
- En alignant les activités et les priorités de gestion des incidents avec celles de l’entreprise
- Ou encore en maintenant la satisfaction des utilisateurs vis-à-vis de la qualité des services informatiques.
Les étapes de la gestion des incidents informatiques
Pour gérer les incidents, les responsables informatiques, avec l’aide de tous les départements dans l’entreprise, établiront et réviseront, au besoin ou selon les besoins, les protocoles de gestion des incidents informatiques.
Comme évoqué plus haut, la gestion des incidents informatiques est un processus, un processus à plusieurs étapes, qui sont les suivantes :
Préparation à devoir faire face à d’éventuel incidents :
dans le cadre du processus de gestion des incidents, il est nécessaire de développer un programme de gestion des risques. Cela se traduit par la mise en place d’un système pouvant identifier les risques potentiels et ainsi permettre à l’équipe de gestion des incidents d’agir sur ces risques potentiels identifiés avec des incidents bien réels ne surviennent.
Pour les incidents qui ne pourront malheureusement être évités, lors de cette étape, il convient déjà de prendre des mesures pour pouvoir y faire face de la manière la plus efficace, comme mettre en place un plan de réponse aux incidents, installer un outil de surveillance et de détection des incidents, former une équipe d’intervention en cas d’incident…
Identification et classification des incidents :
l’incident signalé par l’outil de surveillance informatique utilisé doit ensuite être analysé puis classifié comme simple incident informatique ou bien comme incident informatique majeur. Cette classification aidera à déterminer la procédure d’intervention appropriée et la sélection du personnel pour gérer l’intervention.
Confinement et éradication :
les données, les systèmes ou encore les matériels affectés ou impliqués doivent être isolés et/ou surveillés davantage pour éviter un impact négatif plus large ou supplémentaire. Lors de cette étape, l’équipe de gestion des incidents met en œuvre les actions permettant de traiter l’incident en cours. Ainsi, les systèmes compromis seront immédiatement isolés du réseau. Les comptes d’utilisateurs compromis qui constituent une menace seront également bloqués ou isolés du réseau.
Récupération et restauration :
une fois les systèmes bloqués enfin sécurisés, les matériels défaillants remplacés ou bien réparés et toutes les menaces éradiquées, une surveillance, une journalisation et un audit continus de l’activité doivent être mis en œuvre lorsque les systèmes bloqués seront réintroduits dans le réseau. Toutes les constatations importantes seront documentées, y compris les étapes d’analyse et de correction.
Conclusion et tirer des leçons :
les activités post-incident comprendront des réunions de débriefing, l’examen des procédures de traitement des incidents et des discussions sur les leçons apprises. Les éditions et republications des procédures seront basées sur les réunions de débriefing.
Lors de cette étape, il convient également de penser aux nouvelles mesures à prendre pour éviter que des incidents similaires ne se produisent à l’avenir.
Utiliser un système moderne SIEM pour la détection des incidents informatiques
SIEM est l’abréviation de Security Information and Event Management, gestion des événements et des informations de sécurité en français. Les systèmes SIEM sont des logiciels conçus pour collecter des données de rapport d’incident cohérentes et sensibles au facteur temps.
Pour détecter les menaces, les écarts de performance, les anomalies, les évènements dangereux comme les attaques informatiques ou autres évènements inhabituels que l’on pourrait considérer comme des incidents informatiques, le système SIEM analyse principalement les données des journaux fournies par diverses sources (comme le système d’exploitation, les périphériques, les applications…) puis les corrèle.
Et si effectivement, un incident est détecté ou bien les prémisses d’un incident, le système SIEM réagit en déclenchant une alerte et en fournissant aux équipes de la sécurité informatique les informations nécessaires pour permettre la prise en charge rapide de l’incident. Il fournit également des rapports détaillés de l’incident permettant à l’équipe de la sécurité informatique d’agir pour que des incidents similaires ne se produisent à l’avenir.
Ou bien, utiliser une supervision & gestion des astreintes, MEMOGuard V5.
- MEMOGuard V5, est un gestionnaire d’astreintes et de supervision, offrant de multiples possibilités, il s’intègre à tous les protocoles connus sur le marché, et à plus de 200 outils de surveillance, ITSM *, ChatOps**, il peut faire fonction aussi d’outil d’orchestration.
- Un ITSM est un outil ou logiciel, qui fournit des services informatiques, qu’il soit autonome (individuel), ou composé d’une suite d’applications, qui feront des fonctions diverses. Les DSI les réclament, car ils rendent de nombreux services, et aident à gérer les incidents.
- Les ChatOps, sont des espaces d’échange entre intervenants sur un même projet, ainsi, ils permettent aux entreprises d’organiser des espaces de travail partagés, dans lesquels l’information circule dans un espace ouvert aux équipes de gestion (un des exemples parmi les plus connus est le Drive). C’est une nouvelle évolution ou révolution, dans le monde de l’informatique, qui innove sans cesse, et interconnectant tous ces outils, (incluant les robots), les experts arrivent à simplifier la gestion des worflows..
Clever Technologies, Editeur de MEMOGuard V5, depuis 1999.
Quel que soit votre environnement, nous répondrons à toutes à vos questions, testez-nous, mettez-nous au défi, rejoignez nos 800 clients partout dans le monde.
La supervision ne peut pas s’inventer, c’est un monde complexe, et les applications se doivent d’être performantes et robustes, seule la fiabilité compte.
Le nouveau MEMOGuard V5, modulaire, est reconnu par tous les utilisateurs, comme l’un des meilleurs outils et des plus complets du marché. Faites un test gratuitement. Tl. 01.60.53.60.53
Antonio Rodriguez, Directeur Clever Technologies