Le moment le pire pour chercher un prestataire d’Incident Response, c’est pendant l’incident. Un retainer IR (contrat de réserve) inverse cette logique : vous préparez l’intervention avant d’en avoir besoin.
Qu’est-ce qu’un retainer IR ?
C’est un accord préalable qui réserve :
- un canal d’urgence (souvent 24/7 selon le niveau)
- des SLA de prise en charge
- une équipe déjà familiarisée avec votre contexte
- parfois un volume d’heures prépayées / crédits d’intervention
- des activités de préparation (playbooks, access reviews, tabletop)
Vous n’achetez pas seulement des jours-hommes : vous achetez du temps de réaction.
Pourquoi le « on verra le jour J » coûte plus cher
Sans retainer, les frictions s’accumulent :
- qualification juridique / achats sous stress
- onboarding à froid (architecture, accès, contacts)
- négociation de périmètre pendant la propagation
- concurrence avec d’autres victimes du même groupe ransomware
Chaque heure perdue augmente l’exfiltration, le chiffrement et le coût total de reprise.
Ce que doit contenir un bon contrat
Vérifiez au minimum :
- SLA clairs (accusé réception, kick-off, on-site / remote)
- Périmètre de compétences (IR, forensics, threat hunting, crisis support)
- Modalités d’accès d’urgence (break-glass, VPN, EDR, IdP)
- Confidentialité / sous-traitance
- Livrables (timeline, RCA, recommandations, support assureur)
- Exercices inclus (tabletop, revue de préparation)
Un contrat flou produit une intervention floue.
Retainer ≠ externaliser toute la sécurité
Le retainer complète votre dispositif interne. Il ne remplace pas :
- un SOC / une supervision minimale
- des sauvegardes testées
- une gouvernance de crise
- le durcissement de base (MFA, privilèges, EDR)
Il accélère la montée en puissance quand vos équipes sont saturées.
Comment savoir si vous en avez besoin
Signaux forts :
- dépendances métier critiques au SI
- maturité IR interne limitée
- exposition ransomware / OIV-like
- exigences assureur ou clients grands comptes
- absence d’exercices de crise récents
Dans ces cas, le retainer est souvent moins cher que le surcoût d’une improvisation.
Conclusion
Anticiper une crise cyber, c’est accepter qu’elle arrivera un jour — et décider d’y faire face avec un dispositif déjà en place. Un retainer IR bien conçu transforme une nuit de chaos en une réponse structurée, plus rapide et plus maîtrisée.
Retour au blog