Catégories

Ce qu'on ne peut pas voir, on ne peut pas l'investiguer. Journalisation absente, trop courte, ou non consultable au moment où elle compte.

Frontières de confiance mal posées ou mal révoquées : identités, sessions, comptes de service, privilèges permanents.

Le signal existe mais le processus ne le transforme pas en action : triage, escalade, vérification post-blocage.

Sauvegardes présentes mais atteignables par l'attaquant, non testées, ou dépendantes du même plan de confiance que la production.

Personne n'a le mandat de décider pendant l'incident : autorité d'isolement, plan jamais testé, périmètre d'intervention flou.

Les intervenants externes indispensables sont découverts pendant la crise plutôt que préparés avant : assurance, conseil juridique, prestataires.

Défaillances propres aux environnements infogérés, où la compromission d'un point d'accès partagé étend le rayon d'impact à plusieurs environnements.