Investigation : le guide de l’ANSSI lu avec SIM3

Le 16 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information, ANSSI (1), met en ligne un corpus de guides consacré à l’investigation. Le premier volet, L’investigation et la qualification d’incidents : les clés de décision, porte la mention Collection Investigation, version 1.0, septembre 2026. Il tient en douze pages, sous Licence Ouverte Etalab version 2.0. Il est annoncé comme un document de niveau stratégique, destiné aux décideurs d’une organisation affectée par un incident ou en soupçonnant un. Son périmètre est restreint aux incidents de cybersécurité d’origine malveillante : les pannes et les erreurs de configuration en sont explicitement exclues.

Le guide définit la qualification comme l’estimation de la gravité avérée et potentielle d’un incident, destinée à déterminer un engagement adapté aux impacts métiers. Il définit l’investigation comme l’acquisition d’une connaissance technique sur cet incident, et y adjoint la supervision renforcée, dédiée à l’incident en cours. Ces trois activités forment la phase de compréhension, présentée comme multi-itérative : qualification et investigation, collecte et analyse, investigation et supervision. Le guide énumère ensuite les accélérateurs à constituer hors incident, expose les limites de l’exercice, propose cinq stratégies d’investigation et se termine par sept recommandations.

SIM3 (2), Security Incident Management Maturity Model, est un modèle de maturité créé en 2008, détenu et maintenu par l’Open CSIRT Foundation, OCF (3). Il mesure la maturité d’une capacité de gestion des incidents, que le modèle appelle CSIRT (4) par économie de mots, sur des paramètres répartis en quatre quadrants : Organisation, Human, Tools, Processes. La version de référence est SIM3 v2 interim, datée du 1er janvier 2023, qui compte quarante-cinq paramètres. La version v1, en usage de 2008 à 2022, en comptait quarante-quatre, l’écart tenant à l’ajout du paramètre O-6 sur la politique de relation avec les médias publics. La version 2 complète, attendue dans le courant de 2026, étendra le modèle aux SOC (5), PSIRT (6) et ISAC (7). Chaque paramètre est noté sur une échelle unique de cinq niveaux, de 0 à 4.

• Niveau 0 : le sujet n’est ni traité ni identifié par l’équipe.
• Niveau 1 : implicite, connu de quelques personnes mais non écrit.
• Niveau 2 : écrit, en interne, sans formalisation ni approbation.
• Niveau 3 : écrit et approuvé par le responsable de l’équipe ou au-dessus.
• Niveau 4 : niveau 3, plus un contrôle périodique décidé au-dessus du responsable de l’équipe, assorti d’un retour vers celle-ci.

Le guide de l’ANSSI répond à la question « que fait-on maintenant, et à quel coût ». SIM3 répond à la question « de quoi dispose-t-on, et depuis quand est-ce écrit ». Aucun des deux ne cite l’autre. Leur différence de nature explique pourquoi ils ne peuvent pas se substituer l’un à l’autre.

La conséquence pratique est simple. Une équipe peut connaître les cinq stratégies par coeur et n’en avoir aucune de disponible. À l’inverse, un profil SIM3 flatteur ne dit rien de la qualité de l’arbitrage rendu à trois heures du matin sur un périmètre mal connu.

Le guide consacre une section aux connaissances tierces dont l’acquisition préalable conditionne la réussite et la rapidité des investigations. Il en liste quatre, puis ajoute la capacité du système d’information à conserver ses traces et à les protéger. Ces cinq éléments se lisent presque terme à terme dans le quadrant Tools et le quadrant Processes de SIM3, à une exception près.

SIM3 fixe par ailleurs deux seuils chiffrés qui parlent directement à la réponse à incident. Le paramètre H-2 pose trois membres, à temps plein ou partiel, comme minimum absolu pour une équipe. Le paramètre O-7 impose une réaction humaine sous deux jours ouvrés aux sollicitations des équipes pairs. Le second est un plancher de modèle, pas un objectif de temps chaud.

Le guide présente cinq stratégies d’investigation comme des archétypes à adapter, utilisables successivement au fil de l’incident. Deux d’entre elles reposent explicitement sur des mesures de détection en temps réel et sur des équipes en capacité de traiter les alertes. Le guide ne dit pas comment savoir, avant l’incident, si ces conditions sont remplies. SIM3 le dit.

Ce que la lecture croisée fait apparaître

Une stratégie n’est pas disponible parce qu’elle figure dans un guide. Les stratégies d’observation, contrainte ou passive, supposent un outillage de détection défini et un effectif capable de tenir la surveillance dans la durée. Un paramètre T-9 à 1 ou 2, ou un H-2 en dessous du minimum de trois membres, ferme ces deux options avant tout arbitrage de coût. Reste alors l’isolement, avec son impact métier, ou l’environnement dégradé, qui est une situation subie.

Le guide décrit lui-même le mode d’échec de la stratégie « observer et contraindre » : une qualification erronée du périmètre compromis, éventuellement liée à un mauvais jugement de la capacité à superviser, rend la stratégie inefficace et épuise les équipes. Traduit en paramètres, ce risque se lit sur O-8, le schéma de classification des incidents, et sur P-5, le processus de détection. Ce sont deux paramètres qu’une équipe peut noter correctement sur le papier tout en étant incapable de qualifier un périmètre en urgence.

Le guide demande enfin que les incertitudes résiduelles fassent l’objet d’une analyse de risque et soient validées par le bon niveau hiérarchique. C’est exactement la logique du niveau 4 de SIM3, qui distingue ce qui est approuvé par le responsable d’équipe de ce qui est contrôlé au-dessus de lui. Le paramètre qui porte ce passage est P-1, l’escalade vers la gouvernance.

Le guide se clôt sur sept recommandations pour réussir son investigation. Six d’entre elles se rattachent à un ou plusieurs paramètres du modèle. La septième n’a pas d’équivalent, et c’est une information en soi.

La recommandation « Ne restez pas seul » mérite un mot de plus. Le guide renvoie aux prestataires de réponse à incident, dont les PRIS (9) qualifiés par l’ANSSI, et aux centres de réponse aux incidents ministériels, sectoriels, territoriaux ou national. SIM3 pose la même exigence en trois paramètres séparés, ce qui permet de voir lequel manque : une équipe peut être membre d’une communauté sans que personne ne s’y rende, et se rendre aux rencontres sans avoir écrit ce qu’elle échange avec qui.

Le croisement laisse trois zones sans couverture, qu’aucun des deux documents ne prétend d’ailleurs traiter.

• La politique de conservation des journaux du système d’information. Le guide en fait une condition de l’investigation, SIM3 ne la mesure pas : elle relève de l’architecture du système d’information et de son exploitant.
• La chaîne de préservation de la preuve. Le guide demande des collectes reproductibles, centralisées, inventoriées et empreintées en vue d’une judiciarisation. Aucun paramètre SIM3 ne porte cette exigence, P-11 traitant de la confidentialité et non de l’intégrité.
• La qualité de la décision elle-même. SIM3 mesure la formalisation, le guide propose des archétypes. Ni l’un ni l’autre ne dit si la stratégie retenue était la bonne, ce qui relève du retour d’expérience et du processus P-8.

Les deux documents analysés sont primaires. Les paramètres SIM3 ont été relevés sur le standard v2 interim, non sur une présentation tierce, et les valeurs du guide sur le fichier d’origine.

Utiliser les stratégies comme grille de priorisation

Une équipe notée sur quarante-cinq paramètres a rarement les moyens de tous les faire progresser. Les cinq stratégies fournissent un critère de tri : monter en priorité les paramètres qui ouvrent les stratégies dont l’organisation aura besoin, compte tenu de sa menace et de ses contraintes métier.

• Relever le niveau actuel des dix paramètres qui commandent les cinq stratégies : T-1, T-2, T-9, O-3, O-7, O-8, P-1, P-5, P-9 et P-17.
• Vérifier les deux seuils chiffrés du modèle, trois membres au minimum pour H-2 et réaction humaine sous deux jours ouvrés pour O-7, et écrire le délai réellement applicable en incident, qui n’est pas celui-là.
• Consigner dans la charte d’équipe, paramètre O-10, les stratégies d’investigation retenues et les lignes rouges qui déclenchent un basculement de l’une à l’autre. Le guide demande ces lignes rouges sans dire où les écrire.
• Rattacher l’arbitrage sur les incertitudes résiduelles au processus d’escalade P-1, en nommant le niveau hiérarchique qui valide, puisque le guide exige cette validation sans la nommer.
• Documenter, pour chaque périmètre d’administration interne et externalisé, un contact actionnable et le niveau de service applicable en incident urgent, la note 6 du guide désignant son absence comme un frein direct.
• Traiter hors modèle ce que le modèle ne mesure pas : durée de conservation des journaux, inventaire et empreintes des éléments collectés, chaîne de possession. À défaut de paramètre, en faire un point explicite du processus de résolution P-6 et du processus d’audit P-8.

Ce qui ne se rattrape pas en temps chaud

Le guide le dit en une phrase : les accélérateurs se préparent en dehors de tout incident. La cartographie, les sources de menace, les contacts d’administration et la journalisation ne se constituent pas pendant la crise, et leur absence se paie en heures de collecte et en incertitudes non levées. C’est précisément ce que mesure un profil de maturité relevé à froid. Un tel profil n’a aucune utilité relevé pendant l’incident, et toute son utilité six mois avant.

1. ANSSI (1) : Agence nationale de la sécurité des systèmes d’information, autorité nationale française en matière de cybersécurité et de cyberdéfense.
2. SIM3 (2) : Security Incident Management Maturity Model, modèle de mesure de la maturité d’une capacité de gestion des incidents de sécurité.
3. OCF (3) : Open CSIRT Foundation, fondation néerlandaise sans but lucratif qui détient et maintient SIM3, forme et certifie les auditeurs.
4. CSIRT (4) : Computer Security Incident Response Team, équipe de réponse aux incidents de sécurité informatique. Terme employé par SIM3 pour désigner toute capacité de gestion des incidents, équipe, service ou fonction.
5. SOC (5) : Security Operations Center, centre de supervision de la sécurité opérant la détection en continu.
6. PSIRT (6) : Product Security Incident Response Team, équipe de réponse aux incidents affectant les produits d’un éditeur ou d’un constructeur.
7. ISAC (7) : Information Sharing and Analysis Center, structure sectorielle de partage et d’analyse d’informations de sécurité.
8. CTI (8) : Cyber Threat Intelligence, connaissance documentée des menaces, de leurs modes opératoires et de leurs objectifs.
9. PRIS (9) : Prestataire de réponse aux incidents de sécurité, qualification délivrée par l’ANSSI.
10. TLP (10) : Traffic Light Protocol, protocole de marquage qui définit les conditions de rediffusion d’une information. Son usage est le minimum exigé par le paramètre P-11 de SIM3.

1. ANSSI, L’investigation et la qualification d’incidents : les clés de décision, Collection Investigation, version 1.0, septembre 2026, 12 pages, Licence Ouverte Etalab version 2.0.
2. ANSSI, annonce de la publication du corpus de guides sur l’investigation, 16 septembre 2026. x.com
3. ANSSI, guide de remédiation, référencé en note du document analysé. cyber.gouv.fr
4. CERT-FR, bulletins CTI, référencés par le guide comme source de connaissance de la menace. cert.ssi.gouv.fr
5. Open CSIRT Foundation, SIM3 v2 interim, Security Incident Management Maturity Model, Full Standard, 1er janvier 2023. opencsirt.org
6. Open CSIRT Foundation, page SIM3 Model & References, consultée le 17 septembre 2026. opencsirt.org
7. Open CSIRT Foundation, SIM3 v1, version mkXVIIIc, en usage de 2008 à 2022. opencsirt.org
8. GFCE, Global CSIRT Maturity Framework, version 2.0, avril 2021, qui reprend les quarante-quatre paramètres de SIM3 v1. cybilportal.org