incident-room/1.0.0 · mis à jour le 9 juil. 2026

Incidents et salle opérationnelle

Comment ouvrir, coordonner et clore des incidents avec tasks, evidence et une réponse traçable.

ADDA Incidents transforme des signaux dispersés en une réponse coordonnée avec des responsables, des tâches, des preuves et des décisions visibles.

Ouvrir tôt un incident ne signifie pas dramatiser. Cela permet d'organiser le contexte, d'éviter les actions en double et de maintenir un historique opérationnel que d'autres équipes peuvent reprendre.

La salle d'incident gagne en valeur lorsqu'elle réunit mail, WAF, Access, evidence, reports, tasks, automations et manual candidates dans un même fil de travail.

Liste de contrôle

• Ouvrir un incident lorsque la situation traverse plusieurs modules ou exige une coordination.
• Affecter tasks et evidence depuis le même flux.
• Clore avec un état, des enseignements et des prochaines étapes visibles.

Démarrage rapide

1. Ouvrez un incident lorsqu'un constat cesse d'être un événement isolé.
2. Déplacez dans l'incident les evidence, tasks et artefacts pertinents.
3. Utilisez la clôture de l'incident pour laisser un apprentissage opérationnel réutilisable.

Flux opérationnel

Ouvrir

Définissez un titre, une sévérité et un périmètre sans attendre un contexte parfaitement complet.

Créer tôt un fil de travail.

Orchestrer

Ajoutez tasks, evidence, reports ou automations selon la situation.

Concentrer la réponse et le suivi.

Clore et apprendre

Documentez l'issue, les éléments en attente et les améliorations du manuel ou du produit.

Transformer la réponse en capacité institutionnelle.

flowchart LR
  S1["Ouvrir"]
  S2["Orchestrer"]
  S3["Clore et apprendre"]
  S1 --> S2
  S2 --> S3

Validateurs et contrôles

Ils exécutent une lecture contextuelle de cette surface et proposent des étapes à visée opérationnelle.

Examiner la couverture des incidents

Résumé opérationnel pour l'ouverture, l'escalade et la clôture de la réponse.

Exemples

Payload pour ouvrir un incident

{
  "title": "Campaña de phishing contra acceso institucional",
  "severity": "red",
  "summary": "Se detectan múltiples correos con dominio imitador y presión sobre login."
}

Liens et références

Routes associées

Incidents dans l'espace de travail SOC

APIs

/api/adda/v1/incidents
/api/adda/v1/incidents/[id]
/api/adda/v1/tasks

Docs et routes d'appui

docs/ADDA_SOC_OPERATIVO.md
docs/ADDA_API.md

Problèmes fréquents

• Répondre depuis plusieurs vues sans incident produit des traces fragmentées.
• Clore un incident sans manual candidate ni apprentissage fait perdre la capacité accumulée.

Actions suggérées

• Promouvez en incident lorsque la situation traverse mail, Access, WAF ou evidence.
• Utilisez la clôture pour produire des tasks résiduelles ou des améliorations du manuel.

Reason codes utiles

Dictionnaire de score

severity

Priorité institutionnelle du signal sur l'échelle ADDA.

action

Prochaine étape opérationnelle recommandée par le moteur.

reasonCodes

Motifs explicables qui justifient l'évaluation.

Notes de protocole

• Incidents organise la coordination ; il ne remplace pas le jugement technique de chaque module.

Historique de l'article

9 juil. 2026

Nouvel article sur l'incident room, les tasks et l'apprentissage opérationnel.