Votre réponse à incident a un bus factor de 1
Posez la question à n'importe quel responsable de SOC ou DSI : « si votre meilleur analyste part demain, que devient votre capacité de réponse ? » La réponse honnête est presque toujours la même : elle part avec lui.
Ce n'est pas un problème de compétence. C'est un problème de méthode non écrite. Chaque senior a construit, incident après incident, sa propre façon de qualifier une alerte, de pivoter d'un artefact à l'autre, de décider quand escalader. Cette méthode fonctionne, mais elle est invisible, intransmissible, et elle disparaît avec son porteur.
La checklist qui rigidifie
La réaction classique est de documenter : on écrit des procédures, on les range dans un wiki, et six mois plus tard personne ne les ouvre pendant un incident réel. Pourquoi ?
- Une procédure écrite décrit un scénario ; l'incident réel en suit toujours un autre.
- Suivre une checklist pas à pas est plus lent que l'intuition d'un senior, donc le senior ne l'utilise pas, et le junior l'applique mécaniquement sans comprendre.
- La procédure ne capture pas les décisions : elle liste des actions, pas les questions qui mènent de l'une à l'autre.
Encoder les questions, pas les réponses
Les smart playbooks ARTEFACT partent d'un principe inverse : ce qu'il faut standardiser, ce n'est pas la suite d'actions, c'est la structure du raisonnement. Un incident de phishing, une exfiltration ou un ransomware ne suivent pas les mêmes actions, mais ils suivent les mêmes étapes de raisonnement : qualifier, cadrer le périmètre, pivoter, décider, tracer.
Concrètement, chaque playbook est construit sur trois référentiels fusionnés :
| Référentiel | Ce qu'il apporte | Ce qu'il ne couvre pas |
|---|---|---|
| NIST 800-61 | Le cycle de vie complet : préparation, détection, confinement, éradication, retour d'expérience | Le contenu concret de l'investigation |
| MITRE ATT&CK | Le langage commun des techniques adverses, savoir quoi chercher ensuite | L'ordre des opérations et les décisions |
| Kill chain | La logique de progression de l'attaquant, où il en est et ce qu'il va tenter | La granularité technique des détections |
Aucun des trois ne suffit seul. NIST donne le squelette, ATT&CK donne le vocabulaire des pivots, la kill chain donne le sens de lecture. Le smart playbook les assemble en une trame : à chaque étape, il présente à l'analyste le contexte déjà collecté, les questions à trancher et les pivots possibles. C'est ensuite l'analyste qui tranche.
Ce que ça change pour l'équipe
- Un junior suit la même trame qu'un senior : il va moins vite, mais il ne saute aucune étape critique et apprend le raisonnement, pas la recette.
- Chaque décision est tracée au moment où elle est prise, et la timeline de l'incident s'écrit toute seule, exploitable pour le retour d'expérience et les obligations réglementaires.
- Le senior qui améliore sa méthode l'améliore pour toute l'équipe : le playbook est versionné, pas tribal.
- L'escalade devient un critère explicite du playbook, plus une intuition. On sait pourquoi on réveille quelqu'un à 3 h du matin.
Le point le plus contre-intuitif : la standardisation accélère les seniors aussi. Non pas parce qu'elle leur apprend quoi faire, mais parce qu'elle élimine la friction. Le contexte est déjà rassemblé, la traçabilité est automatique, et ils ne passent plus leur temps à reconstituer ce qu'un collègue a fait avant eux.
Par où commencer, même sans ARTEFACT
Vous pouvez appliquer cette logique dès demain, avec ou sans notre plateforme :
- Prenez vos trois derniers incidents et écrivez, a posteriori, les questions qui ont structuré l'investigation, pas les actions.
- Identifiez les étapes où une décision a été prise par intuition : ce sont les points à expliciter en critères.
- Faites dérouler la trame obtenue par la personne la plus junior de l'équipe sur le prochain incident bénin. Les trous que vous verrez sont votre vraie dette méthodologique.
Si vous voulez voir comment cette méthode est outillée dans ARTEFACT (trame guidée, pivots ATT&CK contextuels, timeline automatique), le plus simple est de dérouler une alerte réelle avec nous.