Diagramme de Sankey de réponse aux incidents : modèle
Suivez les alertes de supervision du tri jusqu'au bruit, aux faux positifs, aux incidents mineurs et majeurs, et voyez qui résout chacun. Remplacez les chiffres par les vôtres.
Un Sankey de réponse aux incidents suit les alertes depuis l'outil de supervision jusqu'à la personne qui les résout. Il montre quelle part du volume est du bruit et quelle part est escaladée.
Sur 2 000 alertes dans la période d'exemple, plus de la moitié sont clôturées automatiquement. Sur les 900 examinées, 400 sont des faux positifs et 500 sont de vrais incidents, dont 140 sont escaladés vers une équipe spécialisée.
Ce visuel sert à revoir le processus, pas à évaluer des personnes. Remplacez les chiffres par l'export de votre outil de gestion des incidents.
Comment lire ce diagramme
- 1 100 alertes sur 2 000 (55 %) sont du bruit ; 400 autres sont des faux positifs après examen.
- 500 vrais incidents : 380 mineurs et 120 majeurs.
- 100 des 120 incidents majeurs sont escaladés, contre 40 des 380 incidents mineurs.
- L'ingénieur d'astreinte résout 360 incidents ; l'équipe spécialisée 130 ; 10 restent ouverts.
Les données derrière le diagramme
Chiffres inventés à titre d'illustration. Ils ne décrivent aucune entreprise réelle.
| De | Vers | Quantité (alertes) |
|---|---|---|
| Alertes | Clôturées automatiquement (bruit) | 1100 |
| Alertes | Examinées | 900 |
| Examinées | Faux positif | 400 |
| Examinées | Incident mineur | 380 |
| Examinées | Incident majeur | 120 |
| Incident mineur | Résolu par l'astreinte | 340 |
| Incident mineur | Escaladé | 40 |
| Incident majeur | Résolu par l'astreinte | 20 |
| Incident majeur | Escaladé | 100 |
| Escaladé | Résolu par l'équipe spécialisée | 130 |
| Escaladé | Toujours ouvert | 10 |
Les mêmes données en CSV
source,target,value
Alertes,Clôturées automatiquement (bruit),1100
Alertes,Examinées,900
Examinées,Faux positif,400
Examinées,Incident mineur,380
Examinées,Incident majeur,120
Incident mineur,Résolu par l'astreinte,340
Incident mineur,Escaladé,40
Incident majeur,Résolu par l'astreinte,20
Incident majeur,Escaladé,100
Escaladé,Résolu par l'équipe spécialisée,130
Escaladé,Toujours ouvert,10Comment cela fonctionne
Exporter les alertes et les incidents d'une période
Incluez la gravité, l'issue et la personne qui a résolu chaque cas.
Ajouter le résultat du tri
Bruit, faux positif, incident mineur ou majeur.
Ajouter l'escalade et la résolution
Qui l'a résolu, et ce qui reste ouvert.
Vérifier l'équilibre
Le nombre d'escalades doit être égal aux résolutions par l'équipe spécialisée plus les incidents toujours ouverts.
Questions fréquentes
Que faire si un incident est escaladé puis renvoyé ?
Retenez le dernier responsable de la résolution, ou ajoutez un flux de retour. L'éditeur dessine un flux qui revient vers un nœud précédent comme un flux de retour.
Puis-je l'utiliser pour des alertes de sécurité ?
Oui, pour des volumes qui passent d'une catégorie à l'autre. C'est un visuel de reporting, pas un outil de détection.
Modifier ce Sankey d'incidents
Ouvrez l'exemple comme votre propre diagramme et saisissez vos volumes d'alertes.