NIST SP 800-61 Rev. 3

Finalité, périmètre et autorité

Rev. 3 suit CSF 2.0 : Govern, Identify et Protect préparent ; Detect, Respond et Recover traitent l’incident avec amélioration continue. Ce n’est pas simplement l’ancien modèle renommé. [1]

Principes et logique opérationnelle [1]

1. Préparation

Fixer autorités, rôles, coordination et moyens. Rétention et accès conditionnent les enquêtes.

2. Détection et analyse

Corréler indices, impact et périmètre. Définir les critères de déclaration et les limites des preuves.

3. Gestion

Prioriser, coordonner et autoriser le confinement perturbateur ; prévoir personnes et systèmes indisponibles.

4. Enquête et preuves

Préserver intégrité et provenance ; enregistrer actions, constats et périmètre potentiel.

5. Confinement et communication

Traiter dommages, causes et persistance ; communiquer selon les obligations réelles. Supprimer un fichier ne suffit pas.

6. Reprise et amélioration

Valider services restaurés et informer ; apprendre pendant opérations et exercices, pas uniquement après clôture.

Application · recommandations éditoriales

Exercice proposé : identité compromise et messagerie principale indisponible. Qui déclare, isole, conserve les preuves et autorise la reprise ? Adapter les procédures aux plateformes réelles.

Preuves pour le RSSI · dossier proposé

Plan, contacts, escalade, conservation, procédures exercées, critères de reprise et améliorations suivies. Une clôture rapide ne prouve pas l’éradication.

Erreurs et limites

Éviter modèle limité au SOC, hypothèses fournisseurs non testées, clôture prématurée et Rev. 2 présentée comme actuelle. Lire les tableaux complets du profil.

Sources officielles et parcours de lecture

Sections à consulter dans la source: Sections 2–3; CSF 2.0 Community Profile.

1. NIST SP 800-61 Rev. 3 · 2025-04 · supersedes Rev. 2