De l'alerte à la décision : gérer une file d'attente d'enquêtes qui suit le rythme

Exécutez deux files d'attente avec deux tâches distinctes. La file d'attente d'alerte sert au triage rapide : examiner les éléments de preuve, déterminer si des investigations supplémentaires sont nécessaires et consigner le résultat. La file d'attente d'enquête est dédiée aux dossiers dont vous avez la responsabilité : une personne, un client, une échéance et un résultat enregistré avec sa justification.

La plupart des files d'attente s'engorgent car les tâches sont mélangées. Chaque alerte se transforme en mini-enquête, un même client est examiné par trois personnes le même jour, et aucune trace n'est faite de la raison de la clôture d'une alerte. Séparer les tâches, les regrouper par client et rendre les résultats obligatoires permet à une petite équipe de gérer sa charge de travail.

Quelle est la différence entre une alerte et une enquête ?

Une alerte est un signal nécessitant un tri. Elle indique ce qui s'est passé et pourquoi le système l'a déclenchée. Une enquête (souvent appelée dossier) est le compte rendu des opérations : un responsable, des preuves, une décision et une justification.

Toden Cas et SAR Le processus de classement (flux de travail d'enquête et rédaction des rapports réglementaires) suit cette répartition. Les alertes s'ouvrent automatiquement depuis la Surveillance des transactions , et une enquête est ouverte à partir d'une ou plusieurs alertes lorsque les preuves nécessitent un responsable ou un résultat. La documentation relative aux enquêtes (s’ouvre dans un nouvel onglet) décrit les deux types d'enregistrements.

Comment les alertes doivent-elles être regroupées ?

Regrouper de deux manières : les déclenchements répétés en une seule alerte, et les alertes en une seule enquête par client.

Regroupez les déclenchements répétés. Lorsqu'une même règle est déclenchée cinq fois dans la même journée pour un même client, l'analyste n'a besoin que d'une seule alerte indiquant le nombre d'occurrences, et non de cinq tickets. Toden regroupe les déclenchements répétés des mêmes règles sur le même client en une seule alerte et augmente son nombre d'occurrences, qui est également inclus dans lealert.updatedwebhook.

Enquêtez par client, et non par alerte. Un compte mule déclenche généralement plusieurs règles : fréquence, mouvements rapides, nombreux expéditeurs distincts. Prises individuellement, chaque alerte semble limite. En les examinant ensemble, le schéma apparaît clairement. Toden Plusieurs alertes peuvent être regroupées dans une même enquête si elles concernent le même client, et d'autres alertes de ce client peuvent être ajoutées tant que l'enquête est ouverte. Le fait de ne retenir qu'un seul client par enquête permet également de garantir la clarté des données pour tout rapport ultérieur.

Exemple concret : un client de portefeuille électronique à Abuja déclenche une alerte de vitesse à 9 h 10, une alerte de smurfing à 11 h 40 et une alerte de mouvement rapide à 14 h 05. Ces alertes signalent des transferts de fonds de plusieurs expéditeurs vers un même compte sortant en quelques minutes. Le premier analyste qui détecte l’une de ces trois alertes ouvre une enquête, relie les trois et se l’attribue. Les deux autres alertes sont immédiatement retirées de la file d’attente.

Comment prioriser les tâches ?

La priorité doit être déterminée par le risque, et non par l'ordre d'arrivée. Une grille d'évaluation simple permet de garantir la cohérence des décisions entre les analystes :

Attribuez une date limite à chaque priorité et diffusez-les en interne. L'intérêt d'une date limite est que l'équipe identifie les risques avant qu'ils ne surviennent. Toden enregistre une priorité ( LOW , MEDIUM , HIGH ou CRITICAL ) et un délai pour chaque enquête, et envoiecase.sla_at_risklorsque l'échéance approche etcase.overdueUne fois l'événement terminé, transmettez-le directement au chef d'équipe, et non à l'ensemble du canal, afin de favoriser une réaffectation plutôt que de générer du bruit. La documentation relative aux webhooks d'alertes et d'investigations (s’ouvre dans un nouvel onglet) répertorie les événements et les champs.

Deux habitudes contribuent à maintenir l'honnêteté dans une file d'attente :

• Attribuez l'enquête dès son ouverture. Une enquête non attribuée n'appartient à personne. L'attribution doit faire partie intégrante de l'ouverture de l'enquête.

• Escaladez les dossiers en fonction de leur statut, et non par message. Si un dossier nécessite l'intervention d'un expert, faites-le passer en statut « escaladé » afin que cela soit consigné dans le dossier. Un message de chat ne laisse aucune trace.

À quoi ressemble une bonne décision de triage ?

Le triage doit répondre à une question en quelques minutes : ce problème nécessite-t-il un responsable ? Attribuez aux analystes une séquence fixe :

1. Lisez les raisons. Quelles règles ont été déclenchées, et avec quel niveau de détail (par exemple, « montant 48000 > 10000 ») ?

2. Vérifiez l'historique récent du client et toute enquête en cours.

3. Décidez : classer l'affaire, la rattacher à une enquête en cours ou en ouvrir une nouvelle.

4. Notez le nom du label et une brève explication.

La clôture d'une alerte est une décision réfléchie, et non un raccourci. Un faux positif justifié (« traitement de paie régulier vers des comptes d'employés connus ») constitue une information précieuse pour ajuster la règle ultérieurement. Une alerte clôturée sans justification représente une information perdue.

Comment une enquête doit-elle être close ?

Distinguer la résolution de la clôture et exiger une justification pour les deux.

La résolution consigne le résultat étayé par des preuves. Toden utilise quatre résultats :

La clôture finalise le travail opérationnel : actions effectuées sur le compte, client contacté, rapport rédigé le cas échéant. La distinction entre les deux permet au responsable de suivre les dossiers tranchés mais nécessitant encore un suivi.

Dans Toden Le résultat est consigné dans le dossier de risque du client ; ainsi, une enquête confirmée augmente le risque enregistré pour ce client. La justification, l’acteur et les horodatages sont conservés dans la chronologie de l’enquête, et une enquête close peut être rouverte en cas de nouveaux éléments de preuve. Chaque modification est enregistrée dans le journal d’audit de l’organisation.

Attention à ne pas laisser le terme « non concluant » devenir la norme. Il s'agit d'un résultat légitime, mais si une grande partie des enquêtes aboutissent ainsi, c'est soit que les preuves à la disposition des analystes sont insuffisantes, soit que les règles déclenchant l'alerte ne sont pas assez précises.

Comment faites-vous pour suivre le rythme lorsque le volume de travail augmente brusquement ?

Les pics de trafic sont généralement dus à un changement de règle, au lancement d'un produit ou à une véritable attaque. Il convient de traiter chaque situation différemment.

• Après une modification de règle, vérifiez si une règle est responsable du pic d'augmentation. Si c'est le cas, revoyez cette règle plutôt que de recruter pour la corriger.

• Après le lancement, il est probable que les règles basées sur les valeurs de référence soient instables jusqu'à ce que les nouveaux clients aient constitué un historique. Envisagez une pondération temporairement plus faible, enregistrée avec une date de révision.

• Lors d'une attaque, il est crucial de se regrouper rapidement. L'attribution et le traitement groupés des alertes clairement liées et légitimes permettent à l'équipe de se concentrer sur les cas importants. Toden Permet d'effectuer des actions groupées sur les enquêtes, mais chaque élément conserve son propre résultat et son propre enregistrement.

Liste de contrôle pour les files d'attente

• Les alertes et les enquêtes sont des files d'attente distinctes avec des cibles distinctes.

• Les tirs répétés font l'objet d'une seule alerte ; les enquêtes concernent un client par enquête.

• Les priorités sont définies par une grille d'évaluation écrite, et chaque priorité a une date limite.

• Chaque enquête a un responsable dès son ouverture.

• Les alertes concernant les délais parviennent au chef d'équipe avant même qu'un dossier ne soit en retard.

• Aucune alerte n'est clôturée sans étiquette ; aucune enquête n'est résolue sans justification.

• Les résultats sont réinjectés dans l'évaluation des risques clients et dans l'ajustement des règles.

Si vous pouvez répondre à la question « à qui appartient ceci, quand et pourquoi a-t-il été fermé » pour chaque élément de la file d'attente, alors la file d'attente est sous contrôle.