Responsable CSIRT : piloter la réponse aux incidents cyber

Qu’est-ce qu’un responsable CSIRT ?

CSIRT signifie Computer Security Incident Response Team. C’est l’équipe chargée de coordonner et de traiter les incidents de cybersécurité d’une organisation. Le responsable CSIRT en est le pilote : il décide de l’activation, organise l’investigation, arbitre les mesures de confinement et rend compte.

Le SOC répond à « est-ce que quelque chose d’anormal se produit ? ». Le CSIRT répond à « que s’est-il exactement passé, jusqu’où cela va-t-il, et comment y met-on fin ? ».

L’ENISA a produit des travaux de référence sur ces équipes, notamment un guide de bonnes pratiques consacré à la mise en place d’un CSIRT et d’un SOC, qui décrit les phases d’évaluation, de conception, de mise en œuvre, d’exploitation et d’amélioration. Un cadre de maturité complète ces travaux pour évaluer le niveau réel d’une équipe.

Les autres appellations

• CSIRT Manager
• CERT Manager, selon les organisations
• Incident Response Manager
• Responsable de l’équipe de réponse à incident
• Head of Incident Response, dans les contextes internationaux
• Responsable DFIR, lorsque l’investigation numérique est fortement intégrée

CERT, CSIRT, SOC, cellule de crise : ne pas confondre

Ces quatre termes circulent souvent comme des synonymes. Ils ne le sont pas, et la confusion coûte cher au moment où il faut savoir qui décide de quoi.

1. SOC

   Dispositif de surveillance continue. Il détecte, qualifie et escalade. Sa logique est celle du flux : traiter beaucoup d’alertes, vite et correctement.

2. CSIRT

   Équipe de réponse aux incidents avérés. Elle investigue en profondeur, coordonne le confinement et l’éradication, préserve les preuves et organise le retour d’expérience. Sa logique est celle du cas.

3. CERT

   Appellation très proche du CSIRT, mais dont l’usage du nom est encadré : une organisation ne peut pas s’en prévaloir librement. En France, le CERT-FR est le CERT national et gouvernemental, rattaché à l’ANSSI ; il publie alertes, avis, rapports de menaces et indicateurs de compromission.

4. Cellule de crise

   Instance de direction, activée lorsque les conséquences dépassent la sphère technique. Elle arbitre, communique et engage l’organisation. Le CSIRT l’alimente en informations ; il ne la remplace pas.

Dans une organisation de taille moyenne, une seule équipe peut porter le SOC et le CSIRT. Cela ne pose pas de problème tant que les deux logiques restent distinctes : on ne pilote pas une investigation comme on traite une file d’alertes.

Le document RFC 2350

Les CSIRT publient fréquemment une description formelle de leur équipe au format RFC 2350 : périmètre couvert, mandat, services rendus, moyens de contact, politique de divulgation, horaires. C’est le document de référence qui permet à une organisation extérieure de savoir à qui s’adresser et à quoi s’attendre. En rédiger et en maintenir un fait partie des responsabilités du poste.

Ses principales missions

1. Organiser la préparation

   Playbooks, annuaire de crise, accès de secours testés, outils déployés à l’avance, vérification que les journaux nécessaires sont réellement collectés et conservés. La qualité d’une réponse se joue largement avant l’incident.

2. Définir les procédures et les critères d’activation

   À partir de quel seuil le CSIRT est-il mobilisé ? Qui a autorité pour l’activer ? Ces règles doivent être écrites et connues, sinon chaque incident commence par une discussion sur qui doit faire quoi.

3. Coordonner les investigations

   Répartir le travail entre analystes, fixer les priorités d’analyse, consolider les constats, arbitrer entre deux hypothèses concurrentes et décider quand l’investigation est suffisamment avancée pour agir.

4. Piloter le confinement

   Isoler, désactiver, couper. Chaque mesure a un coût métier immédiat, donc chaque décision se prend avec la production et se documente.

5. Prioriser les incidents

   Quand plusieurs incidents coexistent, décider lequel mobilise les ressources et lequel attend. C’est l’une des responsabilités les plus inconfortables du poste.

6. Mobiliser les expertises

   Forensic, analyse de codes malveillants, spécialistes d’une technologie, prestataire externe. Savoir qu’on ne sait pas et faire appel à temps est une compétence en soi.

7. Tenir les interfaces

   SOC, IT et production, juridique, DPO, communication, direction, métiers, parfois assureur et autorités. Le responsable CSIRT est le point de convergence de l’information fiable.

8. Préserver les preuves

   Collecte intègre, horodatage, journal des actions menées. Indispensable pour une plainte, une déclaration réglementaire, un litige assurantiel — et pour comprendre ce qui s’est passé.

9. Superviser la remédiation

   Vérifier que l’éradication est complète, que la voie d’entrée est fermée, que la restauration se fait dans un ordre maîtrisé et que la surveillance renforcée est en place.

10. Organiser le retour d’expérience

    Animer un REX honnête, sans recherche de coupable mais sans complaisance, et transformer les constats en actions suivies dans le temps.

Un cas concret : rançongiciel sur le système d’information

Voici comment se déroule, vu du responsable CSIRT, l’un des scénarios les plus redoutés. Il illustre bien la nature réelle du métier : peu de manipulations techniques personnelles, beaucoup de décisions.

1. 1. Alerte initiale

   Le SOC signale des chiffrements de fichiers sur plusieurs serveurs, simultanément. En parallèle, le support reçoit des appels d’utilisateurs qui ne peuvent plus ouvrir leurs documents.

2. 2. Qualification

   Confirmation en quelques minutes : il ne s’agit pas d’un incident isolé. L’étendue est encore inconnue, mais la nature de l’événement ne fait pas de doute.

3. 3. Activation du CSIRT

   Le responsable active formellement l’équipe, ouvre le journal d’incident, attribue les rôles et prévient le RSSI. À partir de cet instant, chaque action est tracée avec son heure.

4. 4. Isolement

   Décision de couper certaines interconnexions et d’isoler les segments touchés. Mesure brutale, prise avec la production, qui interrompt de l’activité — mais qui limite la propagation.

5. 5. Analyse de l’étendue

   Combien de serveurs ? Quels domaines ? Les sauvegardes ont-elles été atteintes ? Cette dernière question conditionne tout le reste de la gestion.

6. 6. Comptes compromis

   Identification des comptes utilisés par l’attaquant, en particulier les comptes à privilèges. Réinitialisation coordonnée : mal ordonnée, elle peut couper les équipes de leurs propres outils de réponse.

7. 7. Confinement complet

   Blocage des accès distants détournés, suppression des mécanismes de persistance identifiés, fermeture de la voie d’entrée initiale une fois celle-ci établie.

8. 8. Investigation

   Reconstitution de la chronologie : point d’entrée, date réelle de compromission — souvent bien antérieure au chiffrement —, déplacements latéraux, données consultées ou exfiltrées.

9. 9. Coordination élargie

   Le juridique et le DPO évaluent les obligations de notification ; la communication prépare les messages ; la direction arbitre sur la continuité d’activité. Si l’ampleur le justifie, la cellule de crise est activée et le responsable CSIRT devient son référent technique.

10. 10. Restauration

    Reconstruction dans un ordre défini, à partir de sauvegardes vérifiées, sur un environnement assaini, avec surveillance renforcée. C’est la phase la plus longue, souvent plusieurs semaines.

11. 11. Retour d’expérience

    Ce qui a permis l’intrusion, ce qui a retardé la détection, ce qui a manqué pendant la réponse. Puis un plan d’action suivi dans la durée, faute de quoi le même scénario se reproduira.

Dans ce scénario, le responsable CSIRT n’analyse presque rien lui-même. Il décide, arbitre, coordonne et rend compte — tout en protégeant son équipe de la pression pour qu’elle puisse travailler.

Responsable CSIRT, Incident Responder, responsable SOC, RSSI

1. Analyste réponse à incident

   Conduit l’investigation technique d’un incident : collecte, chronologie, analyse, éradication. Il produit les constats.

2. Responsable CSIRT

   Pilote l’équipe et le processus : activation, priorisation, arbitrage, interfaces, reporting, retour d’expérience. Il décide sur la base des constats.

3. Responsable SOC

   Pilote la détection en continu. Il alimente le CSIRT et récupère les enseignements des incidents pour améliorer la détection.

4. Gestionnaire de crise cyber

   Coordonne l’organisation entière lorsque l’incident devient une crise dépassant la sphère technique. Il s’appuie sur le CSIRT sans se substituer à lui.

5. RSSI

   Porte la stratégie et assume le niveau de risque. Il arbitre les moyens du CSIRT et rend compte à la direction générale.

Les qualités attendues

Le responsable CSIRT exerce sous une pression que peu de métiers connaissent : des décisions coûteuses, prises vite, avec des informations partielles, devant des interlocuteurs inquiets.

• Sang-froid durable : tenir plusieurs jours, pas seulement la première heure
• Capacité de décision : trancher sans certitude, et assumer
• Honnêteté intellectuelle : distinguer en permanence ce qui est établi, probable et inconnu
• Clarté de communication : dire l’essentiel à une direction, sans jargon ni faux apaisement
• Sens du collectif : protéger son équipe de la pression et organiser les relèves
• Rigueur documentaire : tout tracer, parce que tout sera relu ensuite
• Diplomatie : faire coopérer des équipes aux intérêts divergents
• Humilité : reconnaître ce que l’on ne sait pas et faire appel à l’extérieur à temps

Comment accéder au poste

C’est un poste de deuxième, souvent de troisième partie de carrière. L’expérience n’est pas une formalité de recrutement : elle est le cœur de la compétence.

Le niveau d’études fréquemment rencontré est Bac+5, sans que cela constitue une obligation : de nombreux responsables viennent de parcours plus courts et se sont construits par la pratique. Ce que regardent les recruteurs, ce sont les incidents traités, leur nature et le rôle réellement tenu.

Question à poser en entretien : le CSIRT dispose-t-il d’une autorité claire pour imposer un confinement, ou doit-il négocier chaque mesure ? La réponse en dit long sur la faisabilité du poste.

Où exerce-t-on ce métier ?

Chez un prestataire spécialisé, on intervient sur des environnements que l’on découvre au pire moment, avec une grande variété de situations. En interne, on connaît le système d’information mais on vit avec les conséquences de ses décisions pendant des mois. L’ANSSI qualifie par ailleurs des prestataires de réponse aux incidents de sécurité au titre du référentiel PRIS, dont la version 3.0 a été publiée fin 2024 en même temps que la mise à jour du référentiel d’audit PASSI.

Avantages et contraintes du métier

• Utilité immédiate et visible : on limite des dégâts réels
• Poste à forte responsabilité et à forte reconnaissance interne
• Vision complète de l’organisation, du technicien au comité de direction
• Compétences rares, très recherchées sur le marché
• Aucune routine : chaque incident est différent
• Passerelle naturelle vers la gestion de crise ou la direction des opérations cyber

• Mobilisation permanente : les incidents ne respectent pas les horaires
• Charge mentale prolongée sur les crises longues
• Décisions coûteuses prises avec des informations incomplètes
• Exposition directe à la pression de la direction et des métiers
• Nécessité de dire des choses désagréables à des gens qui ne veulent pas les entendre
• Usure réelle du métier : la gestion de la fatigue, la sienne et celle de l’équipe, fait partie du travail