Un CSIRT (Computer Security Incident Response Team) est une équipe chargée de répondre aux incidents de sécurité informatique : qualification des alertes, analyse, confinement, remédiation et coordination des acteurs concernés. Le sigle CERT désigne la même fonction. La nuance entre les deux tient à l’histoire, et leur articulation avec le SOC à l’organisation de chaque entreprise.
CERT, CSIRT : deux sigles pour une même fonction
Le sigle CERT (Computer Emergency Response Team) est apparu en 1988 à l’université Carnegie Mellon, où le CERT Coordination Center a été créé après la propagation du ver Morris. Le nom est resté une marque de l’université : les équipes qui souhaitent l’utiliser lui en demandent l’autorisation, ce qui explique l’adoption progressive du terme générique CSIRT, « équipe de réponse aux incidents de sécurité informatique » en français.
Dans l’usage courant, les deux appellations recouvrent le même métier. Un CERT bancaire, le CSIRT interne d’un assureur ou une équipe commerciale vendant de la réponse à incident rendent des services comparables. Ce qui distingue réellement une équipe, c’est sa « constituency » : le périmètre — organisation, secteur, population d’utilisateurs — pour lequel elle est légitime à intervenir.
Les missions d’une équipe de réponse à incident
Le traitement des incidents forme le socle. Devant une intrusion, un rançongiciel ou une fuite de données, l’équipe reconstitue le mode opératoire de l’attaquant, mesure le périmètre compromis, propose des mesures de confinement puis accompagne l’éradication et le retour à la normale. Ce travail mobilise l’investigation numérique et suppose une lecture fine du risque cyber propre à l’organisation.
D’autres activités gravitent autour de ce socle :
- la coordination des parties prenantes pendant l’incident, des équipes internes aux autorités, en passant par les prestataires et les CERT partenaires ;
- la veille sur les vulnérabilités et les menaces, restituée sous forme de bulletins, d’avis et d’alertes ;
- la préparation, qui va des procédures de réponse à l’outillage d’investigation et aux exercices réguliers.
Les enseignements tirés des incidents réels servent aussi en dehors de l’équipe : ils nourrissent les règles de détection et fournissent à la sensibilisation des collaborateurs des scénarios ancrés dans le vécu de l’organisation.
CERT-FR, le CSIRT gouvernemental français
En France, cette fonction est portée au niveau de l’État par le CERT-FR, rattaché à l’ANSSI. Il répond aux incidents visant les administrations, publie des avis de sécurité sur les vulnérabilités et des alertes lors de campagnes d’attaques en cours, et assure la coordination avec les équipes françaises et étrangères. Ses bulletins alimentent la veille de nombreux CSIRT privés, qui les reprennent dans leur propre processus de gestion des vulnérabilités.
À l’échelle européenne, l’ENISA assure le secrétariat du réseau des CSIRT nationaux institué par la directive NIS et publie des référentiels de maturité dont se servent les organisations qui structurent une nouvelle équipe.
La différence avec le SOC
Un SOC (Security Operation Center) surveille le système d’information en continu : collecte des journaux, corrélation des événements, levée d’alertes et tri de premier niveau, le plus souvent en service permanent. Beaucoup de ces alertes se règlent au niveau de la supervision, sans qu’un incident soit confirmé.
Le CSIRT entre en scène lorsqu’une alerte devient un incident avéré. Son travail commence là où le tri s’arrête : analyse approfondie, collecte de preuves, stratégie de confinement, pilotage de la remédiation, échanges avec les autorités et les partenaires. La supervision fonctionne en flux continu ; la réponse à incident, elle, traite des dossiers délimités, ouverts puis clos et documentés.
Les deux fonctions s’alimentent mutuellement : le SOC escalade les incidents, le CSIRT lui restitue des marqueurs techniques et des règles de détection issues de ses investigations. Certaines organisations poussent l’intégration jusqu’au Cyber Fusion Center, qui réunit supervision, renseignement sur la menace, réponse à incident et lutte contre la fraude afin de raccourcir le circuit entre détection et décision.
FIRST et le partage entre pairs
Un incident d’ampleur déborde souvent le périmètre d’une seule équipe : comprendre une campagne qui touche plusieurs acteurs ou faire neutraliser une infrastructure malveillante hébergée à l’étranger suppose des relations de confiance entre CSIRT. La communauté FIRST (Forum of Incident Response and Security Teams) fédère ces équipes à l’échelle mondiale, avec une adhésion fondée sur le parrainage par des membres existants. Elle maintient des standards d’usage quotidien pour les praticiens, dont le protocole TLP, qui encadre la diffusion d’informations sensibles entre équipes, et le système de notation des vulnérabilités CVSS.
Dans le secteur financier : équipes internes, DORA et préparation
Les grands établissements bancaires et les assureurs disposent généralement de leur propre équipe de réponse, parfois désignée CERT et membre de FIRST. Sur des systèmes de paiement ou des infrastructures de marché, un incident technique soulève très vite des questions de conformité et de communication avec les régulateurs ; beaucoup d’établissements préfèrent donc confier la réponse à une équipe qui connaît leur métier.
Le règlement européen DORA impose aux entités financières de détecter, classifier et notifier à leur autorité compétente les incidents majeurs liés aux technologies de l’information, dans des délais encadrés. Cette chaîne de notification repose directement sur le travail du CSIRT, qui qualifie l’incident, en documente la chronologie et fournit la matière technique du reporting. La mise en œuvre opérationnelle de DORA se joue pour une bonne part dans ses procédures.
Reste la préparation. Les simulations de crise confrontent l’équipe de réponse, la direction et les métiers à des scénarios réalistes, construits par exemple à partir d’un référentiel de scénarios de risques cyber. Lorsqu’un incident dégrade durablement les services, la réponse technique s’articule avec le dispositif de gestion de crise et avec le plan de continuité d’activité, qui couvrent les dimensions organisationnelles et métier que l’équipe technique ne porte pas seule.
Questions fréquentes sur les CSIRT et les CERT
Quelle est la différence entre un CERT et un CSIRT ?
Aucune sur le fond : les deux sigles désignent une équipe de réponse aux incidents de sécurité. CERT est une marque de l’université Carnegie Mellon, dont l’usage est soumis à autorisation, tandis que CSIRT est le terme générique retenu par la communauté. Une équipe porte l’un ou l’autre nom selon son histoire et ses choix.
Un SOC peut-il remplacer un CSIRT ?
Non, leurs rôles diffèrent. Le SOC surveille et détecte en continu, tandis que le CSIRT analyse en profondeur, répond et coordonne une fois l’incident confirmé. Dans les petites structures, une même équipe cumule parfois les deux casquettes, mais la fonction de réponse demande des compétences d’investigation et des procédures qui ne se réduisent pas à la supervision.
Qu’est-ce que le CERT-FR ?
Il s’agit de l’équipe de réponse aux incidents de l’État français, placée au sein de l’ANSSI. Les administrations victimes d’une attaque s’adressent à lui. Ses publications de sécurité alimentent par ailleurs la veille de nombreuses équipes privées, et il représente la France auprès de ses homologues étrangers.
Une banque doit-elle avoir son propre CSIRT ?
Aucun texte n’impose cette appellation, mais la gestion des incidents exigée par DORA, jusqu’à la notification des cas majeurs dans des délais encadrés, suppose une capacité de réponse organisée. Selon leur taille, les établissements l’internalisent, la mutualisent au sein d’un groupe ou s’appuient sur un prestataire, et combinent souvent ces approches.
