Ouvre le dossier
Choisis le dossier de travail qui contient tes procédures et sélectionne Ask first pour que chaque changement attende ton OK.
Workflows
Cadre NIST de réponse aux incidents : vérifie ta procédure étape par étape
03
Compare une procédure avec des recommandations publiques
Le cadre NIST de réponse aux incidents désigne ici la SP 800-61, le guide de traitement des incidents du NIST en 4 phases. Choisis une procédure. Compare-la à ces phases, en commençant par la section qui pose le plus de problèmes à ton équipe dans la gestion des incidents, et note les lacunes.
Lis le guide public
Demande à l'agent de lire le guide avec web_search et http_get, et de lister ses phases dans un fichier de notes.
Compare les phases
L'agent lit ta procédure avec read_file et grep, puis liste les phases qu'elle couvre et celles qu'elle ne mentionne jamais.
Relis le diff
Lis chaque modification proposée sous forme de diff, accepte celles qui conviennent à ton organisation et refuse les autres.
Une courte liste de contrôle que l'agent peut écrire
Compare docs/triage.md avec les phases du guide public et liste ce qui manque.
- web_search
NIST SP 800-61 phases3 résultats - http_get
nist.gov SP 800-61 pagerécupérée - read_file
docs/triage.mdlu - grep
recovery0 occurrence - edit_file
docs/triage.md+8 lignes
En attente de ton OK avant l'étape suivanteRefuserAccepter
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesLe fichier est court. Une petite équipe peut garder une liste comme celle-ci sur une seule page, avec 5 titres de phase et quelques lignes de tâches chacun, puis la faire grandir plus tard en plan de réponse cyber.
Confronte un brouillon au cadre SANS de réponse aux incidents
Compare les étapes de deux guides publics
Le cadre SANS de réponse aux incidents s'enseigne en général en six étapes : préparation, identification, confinement, éradication, reprise et retour d'expérience. Demande à l'agent de placer ces étapes à côté des 4 phases de la SP 800-61 dans un tableau. web_search trouve les pages et http_get récupère une page à la fois. Ensuite read_file ouvre ta procédure et grep cherche chaque étape par son nom, de sorte que le résultat est un tableau des étapes que ton document nomme et de celles qu'il omet. Rien n'est encore modifié. Lis le tableau toi-même, et décide avec tes collègues quelles lacunes comptent avant toute modification.
Ajoute qui est prévenu, quand et comment
Un plan de communication répond à qui est prévenu, quand, par qui et par quel canal, et un canal de secours ne doit pas dépendre des systèmes qui peuvent être touchés. Si tu évalues des prestataires tiers, demande à chacun un contact pour les incidents et ajoute-le à la liste, car un incident chez un fournisseur peut toucher tes propres systèmes. read_file ouvre la liste et edit_file ajoute une section de communication pour la direction, l'informatique, le juridique, les RH, le personnel concerné, les clients et les autorités. Les obligations et les délais de notification varient selon le pays et le secteur, alors confirme-les avec un juriste ; ce n'est pas un conseil juridique. Ask first affiche le diff. Appelle ensuite chaque contact une fois à la main pour tester la liste.
