La personne ou l’équipe qui intervient hors des heures de bureau dépend du service retenu, des systèmes couverts et des autorisations données. Une surveillance annoncée 24/7 ne répond pas, à elle seule, à la question de savoir qui prendra une décision et qui réalisera les travaux nécessaires.
Imaginez qu’un comportement suspect soit détecté un samedi soir. Un courriel est envoyé, mais votre responsable TI ne le consulte que le lendemain. Cet exemple hypothétique illustre une distinction importante : produire une alerte et prendre en charge une menace sont deux choses différentes.
Une alerte doit mener à une analyse
La détection signale une activité à examiner. L’analyse cherche ensuite à comprendre ce qui s’est passé, quels systèmes sont concernés et quelles actions sont nécessaires. Demandez qui fait ce travail en dehors de vos heures d’ouverture et comment une situation jugée importante est transmise aux bonnes personnes.
Vous devriez pouvoir obtenir une réponse plus précise que « le système nous avertit ». Qui consulte l’alerte? Selon quelle couverture? Que se passe-t-il lorsque le contact habituel n’est pas joignable? Ces questions permettent de comprendre le fonctionnement réel du service.
Contenir une menace et rétablir les activités ne sont pas la même chose
Une intervention de confinement vise à limiter la progression d’une menace. Selon la situation et les moyens disponibles, elle peut concerner un appareil ou un accès. Elle peut aussi affecter temporairement le travail de certains employés. Les actions possibles et les autorisations doivent être convenues avant l’incident.
Après cette première intervention, d’autres travaux peuvent être nécessaires : traiter les éléments compromis, vérifier les systèmes et préparer la remise en service. Demandez qui les réalise et ce qui est inclus dans votre offre. Le fait qu’une menace soit contenue ne signifie pas que tous les employés peuvent immédiatement reprendre leurs activités.
Que signifie MDR?
MDR désigne un service de détection et de réponse gérées aux menaces. Dans l’offre Sophos MDR, des spécialistes assurent une surveillance et une prise en charge des menaces 24/7. Le service s’applique aux environnements couverts et aux capacités prévues par la configuration retenue. Sophos présente le fonctionnement de son service MDR.
Les autorisations comptent autant que les outils. La documentation Sophos sur les modes de réponse distingue notamment une collaboration nécessitant un accord et un mode autorisant des actions de confinement en amont. Il faut donc faire confirmer le mode configuré, les actions permises et les contacts à joindre pour votre entreprise.
Les questions à poser avant un incident
- Quels appareils, comptes et environnements sont effectivement couverts?
- Qui analyse les alertes le soir, la nuit et la fin de semaine?
- Quelles actions peuvent être réalisées sans attendre un nouvel accord?
- Qui est contacté et quelle relève est prévue en cas d’absence?
- Qui coordonne le traitement des systèmes compromis et leur reprise?
- Quels travaux sont inclus et lesquels peuvent être facturés séparément?
Demandez des réponses rattachées à votre entente et à votre configuration, pas seulement à une brochure générale. Vous pourrez ensuite vérifier que votre responsable TI et les personnes de relève connaissent ce fonctionnement.
Le rôle de ProSecure et de l’équipe ALT
ProSecure associe des technologies de sécurité, la surveillance spécialisée Sophos MDR et l’accompagnement ALT. Le service de surveillance des menaces 24/7 ne doit pas être confondu avec un soutien général aux employés à toute heure.
Les plans distinguent aussi la surveillance et le confinement du traitement des éléments compromis. Ce traitement est compris dans ProSecure II et III; pour ProSecure I, il est facturable selon l’entente. Les conditions de coordination, les interventions et la reprise doivent être précisées pour votre environnement. Vous pouvez consulter les plans ProSecure pour comparer leur portée.
ALT accompagne le déploiement, le suivi et l’évolution de vos protections. Pour comprendre la surveillance spécialisée et les informations utilisées, consultez également notre page sur la surveillance des menaces 24/7.
Préparez la prise en charge, pas seulement les notifications
Une liste de contacts à jour, une relève identifiée et des responsabilités comprises rendent la coordination plus claire. Revenez sur ces éléments lorsqu’une personne change de rôle ou qu’un service important est ajouté à votre environnement.
Vous voulez savoir ce que couvre votre organisation actuelle? Parlons de votre surveillance et de votre prise en charge des menaces. Nous pourrons préciser les services et les responsabilités à examiner avec vous.
