📋 Conformité GRC pour CMMC 2.0, PCCC, CPA Canada, OCRCVM…Découverte des SaaS pour la gouvernance des donnéesModule de clavardage Web enrichi gratuit🚀 Soutien à distance enrichi, sans votre portable

Réponse aux incidents

Créez un plan de réponse aux incidents qui comprend chaque délai de déclaration et chaque contact exigés par vos règles, suivez un incident en cours par rapport à ces délais et mettez le plan à l’épreuve au moyen d’exercices sur table.

Ouvrir la réponse aux incidents dans votre console

Où la trouver
Conformité › Réponse aux incidents, ou Résilience › Réponse aux incidents. Aussi sous More (plus) dans la barre Conformité.
Qui peut l’utiliser
Toute personne dont le rôle de conformité (GRC) comprend la consultation; la création de plans, la consignation d’incidents et d’exercices, l’approbation et la suppression exigent chacune l’autorisation de conformité correspondante
Destiné à
Responsables d’incident, responsables de la conformité et de la protection des renseignements personnels, équipes de TI et fournisseurs de services gérés
Forfait
Plateforme de conformité GRC (incluse dans Complete), ou Résilience : risques liés aux fournisseurs et incidence sur les affaires. L’une ou l’autre ouvre cette page. Voir les tarifs

À quoi sert la page

Quand quelque chose tourne mal, le plus difficile n’est souvent pas la correction technique. C’est de savoir qui doit être avisé, et dans quel délai. Visa s’attend à être informé dans les trois jours civils, American Express dans les 72 heures, le NYDFS dans les 72 heures suivant l’établissement qu’un incident s’est produit, une entité visée par NIS2 dans les 24 heures et une entité financière visée par DORA dans les quatre heures suivant la classification d’un incident comme majeur. Chaque délai commence à un moment différent.

La page comporte trois onglets :

  • Plans : un générateur de plans qui ajoute le délai de déclaration et le contact de chaque organisme de réglementation et de chaque marque de cartes visés par les règles que vous suivez, vos propres avis, ainsi que des guides d’intervention en cas d’intrusion pour les services que vous utilisez, et qui imprime un plan complet.
  • Incident log (journal des incidents) : un dossier pour chaque incident, avec une chronologie et un compte à rebours de déclaration pour chaque déclaration applicable, calculé à partir des heures que vous consignez.
  • Tabletop exercises (exercices sur table) : des guides d’animation construits à partir de votre plan, consignés dans Tests de continuité.

Un plan approuvé compte comme preuve pour les contrôles de réponse aux incidents, comme IR-001 Incident Response Plan, IR-003 Incident Response Testing et REG-001 Regulatory Cybersecurity Incident Reporting, dans tous les cadres de référence qui les associent. Pour une vue d’ensemble, consultez La réponse aux incidents dans Lavawall.

Vérifié à la source. Chaque délai et chaque contact proviennent du texte publié par l’organisme de réglementation ou la marque de cartes, nomment sa section et renvoient à sa source. Ils ont été vérifiés pour la dernière fois le 7 octobre 2026. Lorsqu’une marque ne publie pas de délai (Discover, JCB et UnionPay), le plan l’indique et vous demande de confirmer auprès de votre acquéreur. Le plan est un outil, et non un avis juridique.

Règles couvertes par le plan

  • Cartes de paiement : PCI DSS v4.0.1, exigence 12.10, avec les contacts et les délais en cas d’incident pour Visa, Mastercard, American Express, Discover, JCB et UnionPay, ainsi que pour votre acquéreur.
  • Canada : la LPRPDE, la PPCDA proposée (projet de loi C-36), la loi 25 du Québec, la PIPA de l’Alberta, la règle de trois jours de CIRO pour les courtiers en placement, les Autorités canadiennes en valeurs mobilières (avis du personnel 33-322 et règles sur les marchés), la Loi sur la protection des cybersystèmes essentiels (adoptée, mais pas encore en vigueur) et les signalements volontaires au Centre canadien pour la cybersécurité.
  • Union européenne : NIS2, DORA et le RGPD.
  • États-Unis : la règle Safeguards de la FTC, la partie 500 du NYDFS, la politique de sécurité CJIS v6.1, les directives de sécurité de la TSA sur les pipelines, NERC CIP-008 et le formulaire OE-417 du DOE, HIPAA avec les lignes directrices du Health Sector Coordinating Council, le secteur public de l’Iowa et la loi de l’Iowa sur les atteintes à la sécurité des données, la publication 1075 de l’IRS et les signalements volontaires à la CISA.
  • Cadres de référence : CIS Controls v8.1, contrôle 17, et la Cloud Controls Matrix de la Cloud Security Alliance.

Les règles proposées et celles qui ne sont pas encore en vigueur sont signalées comme telles. Les inclure dès maintenant fait en sorte que le plan soit prêt le jour de leur entrée en vigueur. Les avis qui ne s’appliquent qu’aux États-Unis, comme les signalements volontaires à la CISA, n’apparaissent que si vous cochez We operate in the United States (nous exerçons nos activités aux États-Unis).

Ce que vous voyez

La page Réponse aux incidents, avec les boutons Record an incident et Build a plan, les onglets Plans, Incident log et Tabletop exercises, et une carte « No plan yet » qui énumère les règles auxquelles renvoient les cadres de référence sélectionnés.
La page Réponse aux incidents avant le premier plan. Données d’exemple.
  1. Record an incident (consigner un incident) et Build a plan (créer un plan) : les deux boutons en haut de la page.
  2. Onglet Plans : Plan, Rules covered (règles couvertes), Statut, Last tested (dernier test; avec Test due, test à effectuer, lorsqu’il est en retard), Next review (prochaine révision) et Mis à jour.
  3. Onglet Incident log : Incident, Gravité, Statut, Discovered (découvert), Next deadline (prochain délai; avec un compte à rebours) et Lead (responsable).
  4. Onglet Tabletop exercises : Plan to exercise (plan à mettre à l’épreuve), six scénarios avec Open the facilitator guide (ouvrir le guide d’animation) et Recent tabletop exercises (exercices sur table récents).

Les modifications s’enregistrent au fur et à mesure. Chaque champ d’un plan, de l’éditeur de section et d’un incident s’enregistre de lui-même peu après que vous le modifiez. Une petite note Enregistré apparaît à côté du champ, ou Non enregistré : suivie du motif et de Try again (réessayer). Il n’y a aucun bouton d’enregistrement, et rien n’est perdu lorsque vous quittez la page.

Comment créer un plan

  1. Sélectionnez Build a plan.
  2. Cochez ce qui décrit votre organisation, par exemple We accept or process payment cards (nous acceptons ou traitons des cartes de paiement) ou We operate in Canada (nous exerçons nos activités au Canada). Les réponses auxquelles renvoient les cadres de référence que vous avez sélectionnés sont déjà cochées et marquées from your frameworks (selon vos cadres de référence). Sélectionnez Suivant.
  3. Vérifiez les règles que le plan couvrira. Les règles issues des cadres de référence sélectionnés et de vos réponses sont déjà cochées, avec la mention selected framework (cadre sélectionné) lorsqu’un cadre de référence les a ajoutées. Sélectionnez Suivant.
  4. Si PCI DSS est coché, cochez les marques de cartes que vous acceptez et choisissez votre Acquirer or payment processor (acquéreur ou processeur de paiements). Saisissez une partie d’un nom ou d’un pays pour rechercher dans la liste des banques et des processeurs du Canada, des États-Unis, du Royaume-Uni, d’Europe, d’Australie, de Nouvelle-Zélande, du Mexique et d’autres pays. Le contact publié par chacun apparaît sous la liste, et son téléphone et son courriel publiés sont inscrits sous Incident phone for your acquirer (téléphone d’incident de votre acquéreur) et Incident email for your acquirer (courriel d’incident de votre acquéreur). Si votre acquéreur vous a donné une autre ligne pour les incidents, saisissez-la par-dessus. Si le vôtre ne figure pas dans la liste, choisissez Other (enter the name) (autre; saisir le nom). Sélectionnez Suivant.
  5. Saisissez le nom du plan, le responsable de l’incident (Incident lead; votre nom est inscrit au départ), le responsable adjoint (Deputy incident lead), le responsable technique (Technical lead) et le parrain de la direction (Executive sponsor), ainsi que votre cyberassureur et votre firme d’analyse judiciaire si vous en avez. Sélectionnez Create plan (créer le plan). Le plan s’ouvre à l’état de brouillon, avec les services que Lavawall voit déjà que vous utilisez, énumérés sous Services we use (services que nous utilisons).
Étape 2 de l’assistant de création d’un plan de réponse aux incidents : règles regroupées par région, avec PCI DSS, CIS Controls, la LPRPDE et la PPCDA cochés et marqués comme cadres de référence sélectionnés.
Étape 2 de l’assistant. Les règles proposées et celles qui ne sont pas encore en vigueur sont signalées. Données d’exemple.

À propos des contacts des acquéreurs. La plupart des acquéreurs ne publient qu’une ligne de soutien aux commerçants, et non une ligne distincte pour les atteintes à la sécurité des données. La liste indique de quel type est chaque contact et d’où il provient. Demandez à votre acquéreur son contact pour les incidents et saisissez-le par-dessus celui qui est publié : c’est le numéro que le plan imprime comme celui qui vous a été donné. Si ce que vous avez saisi diffère du contact publié, le plan propose Use the published contact instead (utiliser plutôt le contact publié). Les Merchant IDs (identifiants de commerçant) sont stockés chiffrés. Ils s’impriment en haut du plan et s’affichent sous Who to call (qui appeler) dans un incident, mais jamais dans le texte des sections du plan, dans les courriels ni dans la copie d’un réviseur.

Comment remplir les détails du plan

  1. Sous Incident response team (équipe de réponse aux incidents), remplissez chaque rôle avec un numéro de téléphone qui fonctionne à 2 h du matin. Sélectionnez Add a person (ajouter une personne) pour toute autre personne, et Retirer pour un rôle que vous n’utilisez pas.
  2. Sous Other contacts (autres contacts), ajoutez votre assureur, votre firme d’analyse judiciaire, votre conseiller juridique et la police. Government help (aide gouvernementale) est rempli pour vous sous forme de liste des centres nationaux de chaque pays visé par vos règles.
  3. Sous Who must be told, and how fast (qui doit être avisé, et dans quel délai), chaque référence renvoie à sa source. Lorsqu’une ligne mentionne « your CSIRT » ou « your competent authority » (votre CSIRT ou votre autorité compétente), indiquez laquelle est la vôtre dans Our recipient or note (notre destinataire ou note). Cette mention s’imprime dans le plan et s’affiche sur les comptes à rebours de déclaration de l’incident. Pour exclure une déclaration, consultez comment choisir les avis inclus dans le plan.
  4. Sous Services we use, vérifiez les services pour lesquels le plan comporte des guides d’intervention. Consultez comment choisir les services et leurs guides d’intervention.
  5. Cochez les Playbooks to include (guides d’intervention à inclure) et saisissez le responsable du plan (Plan owner) et la date de la prochaine révision (Next review). Chaque modification s’enregistre d’elle-même.

Les numéros de téléphone du plan (l’équipe, les autres contacts, l’aide gouvernementale, les acquéreurs et les guides d’intervention des services) sont des liens. Sur un téléphone, touchez-en un pour appeler.

Comment choisir les services et leurs guides d’intervention

Lavawall dispose de guides d’intervention en cas d’intrusion pour environ 470 services : Microsoft 365, Google Workspace, AWS, votre propre compte Lavawall, HubSpot, Salesforce et des outils populaires de CRM, de comptabilité et de PGI, de marketing et de productivité, des agents d’IA et des fournisseurs de modèles d’IA, une centaine d’hébergeurs Web, une soixantaine de registraires de domaines, Cloudflare, une cinquantaine de pare-feu applicatifs Web et des filtres de sécurité du courriel. Lorsqu’un plan est créé, les services que la découverte des SaaS, les connexions Microsoft 365, Google Workspace et AWS, ainsi que l’analyse de domaine (registraire, serveurs de noms, fournisseur de courriel, hébergeur Web et pare-feu applicatif Web) montrent que vous utilisez sont activés.

  1. Ouvrez le plan et repérez Services we use.
  2. Ouvrez Why these were added (pourquoi ces services ont été ajoutés) pour voir ce qui a permis de trouver chaque service.
  3. Pour ajouter un service, recherchez dans la liste Services par nom ou par type de service. Pour en ajouter un qui ne figure pas dans la liste, saisissez son nom et choisissez Add "…" as a service we use (ajouter « … » comme service que nous utilisons). Vérifiez le nom (Name), choisissez le type de service (Kind of service), ajoutez la façon de les joindre en cas d’intrusion (How to reach them about a breach (optional)) et sélectionnez Add it (l’ajouter). Le plan lui attribue les étapes générales correspondant à ce type de service.
  4. Pour retirer un service, retirez-le de la liste. Un service trouvé automatiquement reste exclu du plan après son retrait.
  5. Si Lavawall trouve d’autres services plus tard, un avis indique Found since this plan was set up (trouvés depuis la création de ce plan). Sélectionnez Add them (les ajouter), ou Not used here (non utilisés ici) pour les laisser de côté.

Chaque service choisi reçoit un guide d’intervention sous Playbooks for the services we use (guides d’intervention pour les services que nous utilisons) dans le document du plan : à qui faire la déclaration chez le fournisseur, les journaux à recueillir et les étapes pour contenir un compte à cet endroit. Dans un incident, choisissez les Services affected (services touchés) et le guide d’intervention de chacun apparaît sous Service playbooks (guides d’intervention des services).

Comment choisir les avis inclus dans le plan

  1. Sous Who must be told, and how fast, chaque déclaration prévue par les règles du plan a la case In plan (dans le plan) cochée.
  2. Décochez In plan pour exclure une déclaration du plan imprimé. Le plan la répertorie séparément comme exclue par décision.
  3. Dans un incident, les déclarations exclues apparaissent tout de même, en dernier, sous Left out of your plan (exclues de votre plan), afin que vous puissiez vérifier si elles s’appliquent à cet incident.

Comment ajouter vos propres avis

Utilisez Our own notifications (nos propres avis) pour toute autre personne que vous devez aviser : les clients dont les contrats fixent un délai d’avis, une société mère, un franchiseur ou le procureur général d’un État.

  1. Sous Our own notifications, sélectionnez Add a notification (ajouter un avis).
  2. Remplissez Who to tell (qui aviser) et What to send (quoi envoyer).
  3. Sous Deadline (délai), saisissez un nombre, choisissez hours (heures), days (jours) ou business days (jours ouvrables), puis choisissez from discovery (à partir de la découverte) ou from determination (à partir de l’établissement).
  4. Ajoutez la formulation ou la condition (Wording or condition) et le contact (Contact). Sélectionnez Retirer pour supprimer une ligne.

Un avis assorti d’un délai obtient son propre compte à rebours de déclaration dans chaque incident visé par le plan, et peut être marqué comme déposé comme n’importe quelle autre déclaration.

Comment modifier le document du plan

Sous The plan document (le document du plan), vous voyez le plan exactement tel qu’il s’imprime, section par section. Chaque section peut être modifiée dans l’éditeur de texte enrichi.

  1. Sélectionnez Modifier à côté d’une section et changez le texte. Il s’enregistre au fur et à mesure de la saisie. Sélectionnez Terminé lorsque vous avez fini.
  2. Une section que personne n’a modifiée est rédigée à partir des détails du plan et suit chaque changement apporté à ceux-ci. Une section modifiée conserve votre formulation. Si les détails du plan changent par la suite, elle est marquée Out of date (périmée).
  3. Pour revenir au texte rédigé à partir des détails du plan, sélectionnez Rebuild from plan details (reconstruire à partir des détails du plan). Pour rétablir une formulation antérieure, ouvrez Modifier et choisissez une version sous Start from (partir de). Les cinq dernières versions de chaque section sont conservées.
  4. Les liens doivent commencer par https://, mailto: ou tel:. Les images ne sont pas conservées; créez plutôt un lien vers elles.

La page de l’incident et la vérification d’approbation lisent l’équipe et les contacts dans les détails du plan; modifiez donc les personnes à cet endroit plutôt que seulement dans le document.

Comment envoyer un plan pour examen et l’approuver

  1. Sélectionnez Send for review. Sous Reviewers (réviseurs), recherchez par nom ou par courriel. La liste montre les personnes qui peuvent approuver des plans dans Lavawall, vos autres utilisateurs Lavawall, les personnes de votre annuaire Microsoft 365 ou Google Workspace et les personnes qui ont déjà examiné un plan.
  2. Pour ajouter une personne qui ne figure pas dans la liste, comme un propriétaire, un membre du conseil d’administration ou un conseiller juridique externe, saisissez son nom ou son adresse courriel et choisissez Add "…" as a new reviewer (ajouter « … » comme nouveau réviseur).
  3. Les personnes qui peuvent approuver des plans dans Lavawall reçoivent un courriel contenant un lien vers le plan. Toutes les autres sont énumérées sous By private link (par lien privé) avec leur Name (nom), leur Email (courriel) et leur Job title (titre du poste). Cochez Can approve (peut approuver) pour permettre à cette personne d’approuver elle-même le plan.
  4. Définissez Link open for (days) (durée d’ouverture du lien, en jours; 14 au départ, jusqu’à 90) et Visits allowed (visites permises; 5 au départ, jusqu’à 50). Ajoutez au besoin un Message (optional) et sélectionnez Send (envoyer).
  5. Le plan passe à In review (en révision). La carte Review indique qui a été sollicité, quand, et si chaque courriel a été envoyé. Sélectionnez Resend (renvoyer) pour l’envoyer de nouveau (au plus une fois toutes les cinq minutes par personne), ou Change reviewers (changer de réviseurs) pour solliciter quelqu’un d’autre.
  6. Un réviseur dans Lavawall ouvre le plan et sélectionne Approve (approuver), ou Return for changes (retourner pour modifications) avec une note. La personne qui a demandé l’examen reçoit un courriel dans les deux cas.
  7. L’approbation exige le nom et le numéro de téléphone du responsable de l’incident. Si une section modifiée est périmée, l’approbateur voit laquelle et confirme avant d’approuver.
  8. Si vous avez rédigé le plan ou que vous l’avez modifié en dernier, quelqu’un d’autre doit l’approuver, à moins que votre administrateur ne permette l’auto-approbation dans les Paramètres de conformité.
  9. Modifier un plan approuvé le renvoie à l’état In review et efface l’ancien examen; envoyez-le donc de nouveau pour examen.

Qui peut cocher Can approve. Seule une personne qui peut approuver des plans peut permettre à un réviseur d’approuver. À moins que votre administrateur ne permette l’auto-approbation, l’expéditeur ne doit pas avoir rédigé le plan ni l’avoir modifié en dernier, et le réviseur ne peut pas être une personne qui l’a envoyé, rédigé ou modifié en dernier. Le plan doit aussi avoir un responsable de l’incident doté d’un numéro de téléphone, et aucune section modifiée ne doit être périmée.

La même option Add "…" as a new reviewer se trouve dans la boîte de dialogue Send for review de la page Documents.

Ce que voit un réviseur muni d’un lien privé

  1. Le réviseur ouvre le lien du courriel et sélectionne Email me a code (m’envoyer un code par courriel).
  2. Il saisit le code à six chiffres sous Enter the code (saisir le code) et sélectionne Continue (continuer).
  3. Il lit le plan exactement tel qu’il s’imprime, sans les identifiants de commerçant.
  4. Avec Can approve, il choisit Approve the plan (approuver le plan) ou Changes needed (modifications nécessaires). Sinon, il choisit No changes needed (aucune modification nécessaire) ou Changes needed. Des commentaires sont obligatoires lorsque des modifications sont nécessaires.
  5. Il saisit son nom sous Type your full name to sign (saisissez votre nom complet pour signer) et sélectionne Submit review (soumettre l’examen). La réponse est consignée avec l’heure, son adresse IP et son navigateur.

Une approbation par lien approuve le plan, et la ligne d’approbation du plan indique qui l’a approuvé au moyen d’un lien d’examen. Un Changes needed de la part d’un réviseur qui peut approuver retourne le plan pour modifications. Les autres réponses sont transmises à la personne qui a envoyé le lien.

Sur la carte Review, By private link énumère chaque lien avec la date de son envoi, les visites utilisées, son statut et la réponse. Un statut Waiting for an answer (en attente d’une réponse), Link expired (lien expiré), Visits used up (visites épuisées) ou Plan changed since sent: resend (plan modifié depuis l’envoi : renvoyer) vous indique où en est le lien. Sélectionnez Send a new link (envoyer un nouveau lien) ou Révoquer. Les liens se ferment lorsque le plan est approuvé, retourné, retiré ou supprimé, et un lien n’affiche rien une fois que le plan a changé après son envoi.

Sélectionnez Printable plan (plan imprimable) et utilisez la boîte de dialogue d’impression de votre navigateur pour l’enregistrer en PDF. Conservez une copie imprimée à un endroit où vous pouvez la consulter si vos systèmes sont hors service. Les liens s’impriment avec leur adresse complète.

Ce que contient le plan imprimé

Vos identifiants de commerçant en haut (si vous en avez saisi), l’objet et la portée, l’équipe, la façon d’activer le plan et les niveaux de gravité, un tableau de chaque déclaration avec son destinataire, son délai, ses contacts et vos propres notes sur le destinataire, vos propres avis, une liste des déclarations exclues par décision, une section sur les cartes de paiement avec votre acquéreur, les règles de chaque marque et les exigences d’enquête judiciaire, d’autres contacts avec l’aide gouvernementale par pays, les guides d’intervention, les guides d’intervention des services que vous utilisez, les communications, les preuves et les dossiers, le rétablissement, les tests et les leçons apprises, ce que chaque ensemble de règles attend du plan, et les sources.

Comment consigner un incident

  1. Sélectionnez Record an incident dès que vous soupçonnez un incident. Vous pourrez tout modifier plus tard.
  2. Saisissez un nom court, choisissez le type d’incident (Kind of incident; saisissez du texte pour rechercher dans la liste), la gravité (Gravité) et le moment où il a été découvert (Discovered). Ajoutez le moment où il a été établi qu’il s’agissait d’un incident (Determined to be an incident) si c’est arrivé.
  3. Choisissez le plan (Plan). Sans plan, l’incident utilise les règles auxquelles renvoient vos cadres de référence sélectionnés, de sorte que les comptes à rebours de déclaration s’exécutent quand même.
  4. Cochez ce qui est en cause dans la mesure de vos connaissances, décrivez What happened (ce qui s’est passé) dans l’éditeur de texte enrichi, puis sélectionnez Record incident (consigner l’incident).
  5. L’incident s’ouvre avec les Reporting clocks (comptes à rebours de déclaration) en haut. Parcourez la liste de haut en bas : le délai le plus proche vient en premier.

Comment fonctionnent les comptes à rebours de déclaration

  • Chaque ligne indique la déclaration, qui la reçoit, quand elle est due dans votre fuseau horaire et un compte à rebours. Ouvrez la ligne pour voir le libellé de la règle, sa section, la façon de déposer la déclaration et les contacts.
  • To file (à déposer) signifie que la déclaration s’applique. Check (à vérifier) signifie qu’elle dépend d’un fait que vous n’avez pas encore consigné, par exemple si des renseignements personnels sont en cause ou combien de personnes sont touchées. Does not apply (ne s’applique pas) signifie que les faits l’excluent.
  • Certains comptes à rebours attendent un moment que vous n’avez pas consigné, comme Determined to be an incident, ou le dépôt d’une déclaration précédente. La ligne indique ce qu’elle attend.
  • Les avis qui vous sont propres, issus du plan, ont leurs propres comptes à rebours et peuvent être marqués comme déposés.
  • Les déclarations que le plan exclut sont affichées en dernier, sous Left out of your plan.
  • Les heures sont saisies dans votre fuseau horaire et stockées en temps universel coordonné (UTC), de sorte que tout le monde voit le même délai.

Comment marquer une déclaration comme déposée

  1. Sélectionnez Mark filed (marquer comme déposée) sur la ligne.
  2. Vérifiez When it was filed (quand elle a été déposée), ajoutez un numéro de référence si vous en avez un et sélectionnez Record (consigner). La déclaration affiche Filed (déposée), et toute déclaration qui en dépend démarre son propre compte à rebours.
  3. Si vous avez marqué la mauvaise déclaration, sélectionnez Withdraw (retirer) et indiquez pourquoi. Les deux entrées demeurent dans la chronologie.

Comment tenir le dossier à jour

  1. Sous What we know (ce que nous savons), mettez à jour les heures, les faits, le statut, What happened et les Lessons learned (leçons apprises). Chaque modification s’enregistre d’elle-même. Une modification de l’heure, de la gravité, d’un fait, des services touchés ou des règles applicables est inscrite automatiquement dans la chronologie.
  2. Choisissez les Services affected. Le guide d’intervention de chacun apparaît sous Service playbooks.
  3. Sous Timeline (chronologie), ajoutez chaque action, décision ou note au fur et à mesure avec Add to timeline (ajouter à la chronologie). Laissez When (quand) vide pour l’instant, ou saisissez une heure antérieure.
  4. Suivez le Playbook (guide d’intervention) correspondant au type d’incident. Who to call énumère l’équipe du plan, votre acquéreur et son contact publié, les identifiants de commerçant, l’assureur, la firme d’analyse judiciaire, le conseiller juridique, la police et toute autre personne que le plan demande d’aviser. Touchez un numéro de téléphone pour l’appeler. The plan (le plan) affiche chaque section telle qu’elle s’imprime.
  5. Sélectionnez Incident report (rapport d’incident) pour obtenir un dossier imprimable des faits, de chaque déclaration avec son délai et la date de son dépôt, et de la chronologie complète, destiné à votre assureur, à un organisme de réglementation ou à vos dossiers.
  6. Réglez le statut à Closed (fermé) lorsque l’incident est terminé, et consignez les leçons apprises.

Comment mener un exercice sur table

Un exercice sur table est une discussion, et non un test de systèmes : l’équipe passe en revue un incident réaliste à l’aide du plan. PCI DSS, le NYDFS, DORA, CJIS, la publication 1075 de l’IRS et CIRO en exigent tous un au moins une fois par année, et NERC CIP-008, tous les 15 mois. Les six scénarios sont un rançongiciel, le vol de données de cartes sur une page de paiement, un paiement à un fournisseur détourné, une intrusion chez un fournisseur infonuagique, un ordinateur portable volé, et un déni de service accompagné d’une demande d’extorsion.

L’onglet Tabletop exercises, avec la liste Plan to exercise et les cartes de scénarios : rançongiciel un lundi matin, code de vol de données de cartes sur la page de paiement, paiement à un fournisseur détourné, intrusion chez un fournisseur infonuagique, ordinateur portable volé et déni de service.
L’onglet Tabletop exercises. Données d’exemple.
  1. Ouvrez l’onglet Tabletop exercises, choisissez le Plan to exercise et sélectionnez Open the facilitator guide sur un scénario.
  2. Lisez Before the exercise (avant l’exercice) et sélectionnez Printable guide (guide imprimable) pour l’animateur.
  3. Menez l’exercice en dévoilant chaque développement à peu près à la minute indiquée. Le guide ajoute des questions et les délais que le scénario déclencherait pour les règles de votre plan.
  4. Sous Record the exercise (consigner l’exercice), saisissez la date, How it went (comment cela s’est passé), Who took part (qui a participé) et Findings, owners and dates (constats, responsables et dates). Sélectionnez Record in Continuity Tests (consigner dans Tests de continuité). La date du dernier test du plan est mise à jour, et le prochain exercice est dû selon ce qu’exige votre règle la plus stricte.

Où cette fonctionnalité apparaît aussi

  • Contrôles : les contrôles de réponse aux incidents affichent un panneau Incident response (réponse aux incidents) avec vos plans, la date du dernier test de chacun et les décomptes du journal des incidents. Consultez Détail du contrôle.
  • Tests de continuité : les exercices sur table consignés apparaissent avec vos autres tests. Consultez Tests de continuité.
  • Plans & Docs (plans et documents) : la carte Incident Response Plan renvoie ici pour les délais, les contacts et les exercices sur table. Consultez Plans et documents.

Conseils

  • Consignez d’abord l’incident et enquêtez ensuite. Plusieurs comptes à rebours commencent à la découverte, et non au moment où vous êtes certain.
  • Notez qui a établi qu’il s’agissait d’un incident, et quand. Les délais du NYDFS, de NERC CIP-008 et de DORA partent de cette décision.
  • Ne collez pas de numéros de cartes, de mots de passe ni d’autres données sensibles dans le dossier de l’incident. Décrivez-les plutôt.
  • En cas de compromission de données de cartes, isolez les systèmes touchés plutôt que de les éteindre ou de les reconstruire, afin qu’un enquêteur judiciaire puisse les examiner.
  • Modifier un plan approuvé le renvoie à l’état In review, de sorte qu’une approbation correspond toujours au plan.
  • Surveillez la note Enregistré à côté d’un champ. Si elle indique Non enregistré, corrigez ce qu’elle dit et sélectionnez Try again. Votre navigateur ne demande confirmation avant que vous quittiez la page que lorsqu’une modification n’a pas pu être enregistrée.
  • Envoyez un lien privé à toute personne qui doit donner son aval mais n’a pas de compte Lavawall, comme un propriétaire ou un conseiller juridique externe, plutôt que de lui envoyer une copie imprimée par courriel. Le lien affiche le plan tel qu’il est et consigne la réponse.

Dépannage

« Incident response is not set up yet. » (La réponse aux incidents n’est pas encore configurée.)
La mise à jour de cette fonctionnalité pour votre organisation n’est pas terminée. Communiquez avec votre administrateur ou avec notre équipe de soutien.
« Name the incident lead and give a phone number, and save, before approving. » (Nommez le responsable de l’incident, indiquez un numéro de téléphone et enregistrez avant d’approuver.)
Remplissez la ligne Incident lead sous Incident response team, attendez la note Enregistré, puis approuvez.
« You wrote this, so someone else has to approve it. » (Vous avez rédigé ce plan; quelqu’un d’autre doit donc l’approuver.)
Demandez à un collègue dont le rôle de conformité comprend l’approbation. Un administrateur peut permettre l’auto-approbation avec un motif dans les Paramètres de conformité.
« Incidents were recorded under this plan, so it stays on record. » (Des incidents ont été consignés selon ce plan; il reste donc au dossier.)
Sélectionnez Retire (retirer) au lieu de le supprimer.
Une déclaration affiche « Check » (à vérifier) au lieu de « To file » (à déposer).
Consignez le fait dont elle dépend sous What we know, par exemple si des renseignements personnels sont en cause ou combien de personnes sont touchées. L’enregistrement est automatique.
« Your last change could not be saved. » (Votre dernière modification n’a pas pu être enregistrée.)
La note à côté du champ en explique la raison. Corrigez le problème, sélectionnez Try again, puis refaites ce que vous étiez en train de faire. Ce message s’affiche avant l’envoi pour examen, l’approbation ou le changement de statut du plan, de sorte que rien de ce que vous avez saisi n’est perdu.
Une section est marquée « Out of date » (périmée).
Les détails du plan ont changé après la modification de la section. Lisez-la, puis modifiez-la ou sélectionnez Rebuild from plan details.
Un réviseur n’a pas reçu le courriel.
Vérifiez la carte Review. « Email is turned off in Compliance Settings » (le courriel est désactivé dans les paramètres de conformité) signifie qu’un administrateur GRC a désactivé les notifications; « Could not send » (envoi impossible) signifie que le courriel a été refusé. Sélectionnez Resend, ou avisez vous-même le réviseur.
Le lien d’examen affiche « The plan has changed » (le plan a changé).
Le plan a été modifié après l’envoi du lien, de sorte que le lien ne l’affiche plus. Sur la carte Review, sélectionnez Send a new link pour ce réviseur.
Un lien privé a expiré ou ses visites sont épuisées.
Sélectionnez Send a new link sur la carte Review. Pour accorder plus de temps ou de visites, modifiez Link open for (days) ou Visits allowed au moment de l’envoi.
Je ne peux pas cocher Can approve.
Seule une personne qui peut approuver des plans peut permettre à un réviseur d’approuver. Cela est aussi impossible lorsque vous avez rédigé le plan ou l’avez modifié en dernier (à moins que votre administrateur ne permette l’auto-approbation), lorsque le réviseur l’a envoyé, rédigé ou modifié en dernier, lorsque le plan n’a pas de responsable de l’incident doté d’un numéro de téléphone, ou lorsqu’une section modifiée est périmée. Demandez à un approbateur de l’envoyer, ou corrigez ce que le message indique.
Un délai n’est pas affiché.
La règle ne fixe aucun délai précis (« as soon as feasible », soit dès que possible), ou le compte à rebours attend un moment que vous n’avez pas consigné. La ligne indique lequel.

Besoin d’aide supplémentaire?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous étiez :

Les noms, les entreprises, les appareils et les chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.

Nous utilisons des statistiques respectueuses de la vie privée, sans témoins, pour compter les visites, et un seul témoin pour faire fonctionner notre clavardage en direct. Les deux ne se chargent que si vous acceptez. Nous n’utilisons aucun traceur publicitaire et nous ne vous profilons pas d’un site à l’autre. Les témoins essentiels au fonctionnement du site restent toujours actifs. Consultez notre politique de confidentialité.