Qu’est-ce qu’un retour d’expérience après incident ?
Un retour d’expérience est une réunion, après un incident de sécurité, qui cherche ce qui a marché et ce qui doit changer. On y mesure aussi la rapidité de la réponse : combien de temps pour détecter, contenir et rétablir.
Ces durées montrent si l’équipe progresse d’un incident à l’autre.
À la fin de cette leçon
Remarque
Je peux mesurer la rapidité d’une réponse et en tirer des améliorations.
Mots-clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Retour d’expérience | une réunion après un incident pour en tirer des leçons | |
| Délai de détection | le temps entre le début de l’attaque et l’alerte | MTTD |
| Délai de confinement | le temps entre l’alerte et le confinement | |
| Délai de rétablissement | le temps entre le confinement et le retour du service | MTTR |
| Cause racine | la raison la plus profonde d’un problème | |
| Action corrective | un changement décidé pour éviter que cela recommence |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Trois durées mesurent une réponse
Le délai de détection va du début de l’attaque à l’alerte. Le délai de confinement va de l’alerte au confinement. Le délai de rétablissement va du confinement au retour du service.
On les écrit en minutes. Le début de l’attaque se retrouve après coup, grâce aux journaux.
Exemple travaillé : les durées d’un incident
| Événement | Instant | Durée depuis l’événement précédent |
|---|---|---|
| Début de l’attaque | 08:00 | Aucune |
| Alerte | 08:45 | 45 minutes : délai de détection |
| Confinement | 09:05 | 20 minutes : délai de confinement |
| Service rétabli | 13:35 | 270 minutes : délai de rétablissement |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Calculer une durée entre deux instants
python3 -c "from datetime import datetime as d; print(d(2026,10,14,13,35) - d(2026,10,14,9,5))"Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Une moyenne montre la tendance
Un seul incident est une anecdote. Plusieurs incidents montrent une tendance. On calcule le délai moyen : on additionne les délais, puis on divise par leur nombre.
On garde des minutes entières, en arrondissant vers le bas. Un délai moyen qui baisse d’un trimestre à l’autre montre que l’équipe progresse.
Exemple travaillé : le délai moyen de détection
| Incident | Délai de détection |
|---|---|
| Incident 1 | 45 minutes |
| Incident 2 | 15 minutes |
| Incident 3 | 60 minutes |
| Total | 120 minutes |
| Moyenne : 120 divisé par 3 | 40 minutes |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Calculer la moyenne des trois délais
python3 -c "print((45 + 15 + 60) // 3)"Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Changer une heure en minutes
# "09:05" devient 9 * 60 + 5 minutes depuis minuit.
def en_minutes(heure):
morceaux = heure.split(":")
return int(morceaux[0]) * 60 + int(morceaux[1])
print(en_minutes("09:05") - en_minutes("08:45"))
# À vous : affichez le délai entre 09:05 et 13:35.
On cherche des causes, pas des coupables
Après la réponse, l’équipe se réunit. Elle répond à quatre questions : qu’est-ce qui s’est passé, qu’est-ce qui a bien marché, qu’est-ce qui a manqué, que change-t-on ?
Le ton compte. On cherche la cause racine, c’est-à-dire la raison la plus profonde. On ne cherche pas qui a fauté.
Exemple travaillé : du problème à l’action
| Problème observé | Cause racine | Action corrective | Qui et quand |
|---|---|---|---|
| L’alerte est arrivée 45 minutes trop tard | Aucune règle sur les échecs répétés | Écrire la règle de rafale | Équipe de détection, fin du mois |
| Personne ne savait qui prévenir | La liste de contacts était périmée | La mettre à jour chaque trimestre | Responsable du plan, lundi |
| Le rétablissement a pris 270 minutes | Aucun test de restauration | Tester la restauration chaque mois | Équipe système, ce trimestre |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Erreur fréquente
Attention
Beaucoup de gens pensent qu’un délai court prouve une bonne équipe. Un petit incident se détecte vite. Comparez plusieurs incidents de taille proche, et regardez aussi ce qui a manqué. Un chiffre seul ne dit pas pourquoi.