Actions prioritaires

Traiter le secret comme compromis

Ouvrir un incident à accès restreint.
Ne pas recopier la valeur du secret dans les tickets, messages ou commandes.

Révoquer ou faire tourner le secret immédiatement

Déployer le nouveau secret puis désactiver l’ancien si un court recouvrement est nécessaire à la disponibilité.
En cas de privilèges élevés ou de suspicion d’exploitation, révoquer sans attendre.
Invalider également les sessions ou jetons déjà émis lorsque cela s’applique.
Réduire temporairement les permissions, origines autorisées ou quotas si la révocation prend du temps.

Arrêter la fuite à la source

Désactiver le log fautif ou déployer rapidement un filtre de masquage avant écriture.
Vérifier les applications, agents, collecteurs et pipelines susceptibles de reproduire le secret.

Préserver les preuves et déterminer le périmètre

Conserver une copie protégée des éléments nécessaires à l’enquête avant toute purge.
Identifier la première et la dernière occurrence, les index, réplicas, sauvegardes, archives, exports, alertes, tickets, fichiers locaux et systèmes dérivés concernés.
Examiner les journaux d’accès à la plateforme de logs et à la ressource protégée pour rechercher toute consultation ou utilisation suspecte.

Assainir les copies

Supprimer ou masquer les occurrences de manière ciblée, selon les procédures de conservation et avec validation des responsables sécurité, juridique ou conformité.
Traiter également les sauvegardes et systèmes dérivés, ou documenter le risque résiduel jusqu’à leur expiration.
La suppression des logs ne remplace jamais la révocation du secret.

Évaluer les obligations de notification

Impliquer sécurité, juridique et, si des données personnelles sont concernées, le DPO.
Qualifier l’incident et appliquer les délais réglementaires pertinents, notamment le délai RGPD de 72 heures pour notifier l’autorité lorsqu’une notification est requise.

Corriger durablement

Journaliser uniquement des champs explicitement autorisés.
Masquer notamment les en-têtes d’authentification, cookies, mots de passe, jetons, clés et chaînes de connexion.
Ajouter une détection automatique de secrets dans le code, la CI/CD et le pipeline de logs.
Restreindre et auditer les accès aux logs, automatiser la rotation et réaliser un retour d’expérience avec actions, responsables et échéances.