CSIRT

01 — DéfinitionQu'est-ce qu'un CSIRT ?

Un CSIRT (Computer Security Incident Response Team) est une équipe dédiée à la réception, au traitement et à la coordination de la réponse aux incidents de cybersécurité pour une organisation, un secteur ou une communauté définie. Il peut s'agir d'une équipe interne à une entreprise, d'un service externe d'un prestataire, ou d'une structure sectorielle ou nationale.

Le CSIRT n'est pas un outil mais une structure humaine et organisationnelle : experts en analyse forensique, spécialistes malware, gestionnaires de crise, juristes, communicants de crise. Il dispose de processus documentés, d'outils spécifiques (sandboxes, plateformes de collecte de preuves, plateformes de partage d'IOC) et d'une permanence adaptée à son périmètre (24/7 pour les structures critiques, heures ouvrées étendues pour d'autres).

La discipline est née en novembre 1988 avec le ver Morris, premier ver informatique à se propager massivement sur Internet (paralysie de 6 000 ordinateurs sur les 60 000 connectés à l'époque). En réponse, la DARPA finance la création du CERT/CC (Computer Emergency Response Team Coordination Center) à la Carnegie Mellon University. Ce premier CERT sert de modèle à tous les suivants.

Aujourd'hui, plusieurs milliers de CSIRT existent dans le monde. Ils se coordonnent via des organisations internationales :

• FIRST (Forum of Incident Response and Security Teams) : fondé en 1990, plus de 700 membres dans 100+ pays.
• TF-CSIRT : Task Force européenne regroupant les CSIRT du continent.
• ENISA : agence européenne qui coordonne les CSIRT nationaux.

Un CSIRT n'est pas réservé aux grandes organisations. Les TPE et PME y accèdent via les CSIRT régionaux mis en place dans le cadre de NIS2, ou via les offres commerciales de prestataires spécialisés.

02 — TerminologieCERT vs CSIRT

CERT — le terme historique

CERT (Computer Emergency Response Team) est le nom original créé en 1988 par la Carnegie Mellon University. À l'époque, le terme était générique pour toute équipe de réponse à incident. Les premières équipes nationales et sectorielles ont adopté cette appellation : CERT-FR, CERT-EU, CERT-Bund (Allemagne), JPCERT (Japon), KrCERT (Corée).

Pourquoi « CSIRT » a émergé

Carnegie Mellon a déposé le nom CERT comme marque. Depuis, l'usage du terme « CERT » est juridiquement restreint aux équipes ayant signé un accord de licence avec Carnegie Mellon. Pour éviter cette contrainte et avoir un terme générique, la communauté internationale a adopté CSIRT dans les années 1990.

Usage actuel

En pratique :

• Les équipes historiques (CERT-FR, CERT-EU, CERT-Santé) conservent l'appellation CERT, avec accord Carnegie Mellon.
• Les nouvelles structures adoptent plutôt CSIRT (CSIRT-Paris, CSIRT régionaux français, CSIRT sectoriels émergents).
• Les grandes entreprises et prestataires utilisent souvent CSIRT pour leur service interne.

Fonctionnellement, CERT et CSIRT désignent la même chose. Le choix d'appellation relève de considérations historiques, juridiques ou marketing. Cette fiche utilise indifféremment les deux termes selon le contexte.

Quelques variantes

• CIRT : Computer Incident Response Team, variante peu utilisée.
• PSIRT : Product Security Incident Response Team, équipe qui gère spécifiquement les vulnérabilités d'un produit logiciel (Cisco PSIRT, Microsoft MSRC, Oracle PSIRT).
• IRT : Incident Response Team, terme plus générique.
• SIRT : Security Incident Response Team.

03 — MissionsLes activités d'un CSIRT

Les missions d'un CSIRT se répartissent en trois grandes catégories selon les standards ENISA et FIRST : réactives, proactives et de qualité.

Services réactifs (le cœur)

Traitement des alertes et incidents

Point d'entrée pour les signalements d'incidents par les utilisateurs ou les systèmes automatisés. Qualification initiale, priorisation, attribution aux analystes appropriés, suivi du traitement jusqu'à la clôture.

Analyse et investigation

Expertise forensique sur les systèmes compromis : analyse mémoire, analyse disque, reconstitution de la timeline d'attaque, identification des IOC et TTP, attribution éventuelle. Utilisation d'outils spécialisés (Volatility, Autopsy, FTK, X-Ways, EnCase, analyses de logs avancées).

Analyse de malware

Analyse statique (désassemblage, ingénierie inverse) et dynamique (sandbox, comportement) de binaires malveillants. Extraction d'IOC, identification de familles, corrélation avec des campagnes connues.

Coordination de la réponse

Pilotage de la gestion de crise cyber : coordination des équipes internes (IT, sécurité, juridique, communication, direction), liaison avec les prestataires externes, interaction avec les autorités (ANSSI, CNIL, police, justice), communication avec les médias si nécessaire.

Remédiation et reconstruction

Accompagnement des équipes techniques pendant la remédiation : isolement des systèmes compromis, identification et fermeture des points d'entrée, reconstruction sûre à partir de sauvegardes, surveillance renforcée post-remédiation.

Services proactifs

Veille sur les menaces

Production et diffusion de threat intelligence adaptée à la communauté servie. Bulletins d'alerte, analyses de campagnes, indicateurs à bloquer.

Audit et évaluation

Tests d'intrusion, évaluations de sécurité, revues d'architecture. Exercices de crise pour tester les capacités de réponse.

Sensibilisation et formation

Production de guides, organisation de formations, participation à des événements sectoriels. Culture cyber auprès des constituents (la communauté servie).

Annonces de vulnérabilités

Coordination de la divulgation responsable de vulnérabilités, publication de bulletins, accompagnement des éditeurs.

Services de qualité

Gestion de la configuration de sécurité

Définition et diffusion de standards de sécurité, guides de durcissement, baselines de configuration.

Contribution à la stratégie

Retours d'expérience structurés, recommandations d'amélioration, contribution aux politiques et à l'analyse de risques.

04 — DistinctionSOC vs CSIRT

SOC — la surveillance permanente

Le SOC (Security Operations Center) est une équipe qui surveille en permanence le système d'information : collecte des logs via SIEM, traitement des alertes EDR et XDR, première qualification, détection des menaces. Son horizon temporel est le jour et la semaine.

CSIRT — la réponse aux incidents majeurs

Le CSIRT intervient sur les incidents confirmés ou majeurs pour organiser la réponse, accompagner la remédiation et partager du renseignement. Son horizon temporel est l'incident (jours à semaines) et la crise cyber.

Articulation typique

1. Le SOC détecte une alerte significative via ses outils.
2. L'analyste SOC enquête et confirme qu'il s'agit d'un incident réel.
3. Selon la gravité, le SOC passe la main au CSIRT (escalade L2/L3).
4. Le CSIRT prend en charge l'investigation approfondie, la coordination, la gestion de crise.
5. Le CSIRT orchestre la remédiation avec les équipes techniques.
6. Le retour d'expérience post-incident alimente les processus SOC pour détection future.

Coexistence ou fusion ?

Dans les grandes organisations, les deux structures coexistent avec des responsabilités claires : SOC en niveau 1 et 2, CSIRT en niveau 3 et gestion de crise. Les équipes peuvent être distinctes ou partager certaines ressources.

Dans les structures plus petites, la même équipe assure les deux fonctions, avec un mode dégradé : surveillance quotidienne « soft » et montée en charge mobilisée lors des incidents. Certaines ETI externalisent le SOC (via un MDR) tout en gardant un CSIRT interne pour la gestion des incidents majeurs.

Analogie

• SOC : la vigie et la garde nationale. Surveillance 24/7, réaction aux alertes.
• CSIRT : les pompiers et les experts d'urgence. Mobilisés sur les incidents majeurs, avec des capacités d'intervention spécialisées.
• CERT-FR et ANSSI : les forces nationales qui peuvent appuyer en cas de crise sectorielle ou nationale.

05 — TypologieDifférentes familles de CSIRT

CSIRT nationaux

Structures étatiques qui assurent la coordination au niveau d'un pays. En France, le CERT-FR au sein de l'ANSSI joue ce rôle pour les administrations et les opérateurs d'importance vitale. En Europe : CERT-Bund (Allemagne), CERT-EU (institutions européennes), NCSC (Royaume-Uni, avec un rôle de CSIRT national). Aux États-Unis : US-CERT sous CISA.

CSIRT régionaux

Créés en France dans le cadre de la transposition NIS2, ils couvrent les PME et ETI qui n'ont pas de CSIRT interne. Financés par l'État et les régions :

• CSIRT Auvergne-Rhône-Alpes
• CSIRT Bretagne
• CSIRT Île-de-France
• CSIRT Nouvelle-Aquitaine
• CSIRT Occitanie
• CSIRT Hauts-de-France
• CSIRT Normandie, Grand Est, PACA, Centre-Val de Loire, Pays de la Loire, Bourgogne-Franche-Comté

Ces structures offrent une assistance gratuite ou à prix maîtrisé aux victimes d'incidents cyber sur leur territoire. Accès via Cybermalveillance.gouv.fr ou directement auprès de la structure régionale.

CSIRT sectoriels

Spécialisés sur un domaine :

• CERT-Santé : agence du numérique en santé (ANS), pour le secteur sanitaire et médico-social.
• CERT-Éducation : ministère de l'Éducation nationale.
• CERT-Industrie : pour les acteurs industriels.
• CERT-Banque, CERT-Aero : structures sectorielles privées ou mixtes.
• Au niveau européen : ISACs (Information Sharing and Analysis Centers) par secteur.

CSIRT internes d'entreprise

Équipes dédiées dans les grands groupes. Exemples français : Orange CERT, Société Générale CERT, Airbus CERT, TotalEnergies CERT, BNP Paribas CSIRT. Ces structures couvrent le périmètre de leur entreprise et de ses filiales. Nombre d'entre elles sont accréditées FIRST et TF-CSIRT pour la coopération internationale.

CSIRT commerciaux (prestataires)

Services de réponse à incident vendus aux entreprises sans capacité interne. Acteurs majeurs :

• Mandiant (Google Cloud) : référence mondiale sur les incidents majeurs et APT.
• CrowdStrike Services : intervention couplée à la plateforme Falcon.
• Kroll, Palo Alto Unit 42, Rapid7 : acteurs internationaux.
• Orange Cyberdefense CSIRT, Wavestone, Synacktiv, Intrinsec, Almond : acteurs français reconnus.
• Deloitte, EY, PwC, KPMG : offres intégrées aux Big Four.

Accréditations

Deux accréditations principales pour la reconnaissance internationale :

• FIRST : adhésion avec engagement éthique, partage d'informations, communauté mondiale.
• TF-CSIRT Trusted Introducer : trois niveaux (listed, accredited, certified) selon la maturité démontrée.

Ces accréditations garantissent un niveau de qualité et facilitent la coopération internationale en cas d'incidents transfrontaliers.

06 — InterventionDéroulement type d'une mission CSIRT

07 — NIS2Le rôle renforcé par la directive

Obligation de déclaration

La directive NIS2, applicable depuis octobre 2024, impose aux entités essentielles et importantes de déclarer les incidents significatifs à leur CSIRT national ou régional selon un calendrier strict :

• Alerte précoce sous 24 heures après prise de connaissance.
• Notification d'incident sous 72 heures.
• Rapport final sous un mois.

Réseau CSIRT européen

NIS2 structure un réseau CSIRT européen coordonné par l'ENISA. Les CSIRT nationaux désignés par chaque État membre échangent sur les menaces, coordonnent les réponses aux incidents transfrontaliers et participent à des exercices européens (Cyber Europe tous les deux ans).

CyCLONe — la coopération de crise

Le réseau CyCLONe (Cyber Crisis Liaison Organisation Network) est le dispositif européen pour la gestion des crises cyber majeures. Il réunit les représentants des CSIRT nationaux et des autorités cyber de chaque pays pour coordonner la réponse aux incidents d'envergure européenne.

Création des CSIRT régionaux français

Pour démultiplier la capacité d'accompagnement des PME et ETI, la France a accéléré la création de CSIRT régionaux depuis 2022-2024. Chaque région métropolitaine dispose désormais de son CSIRT, financé par l'ANSSI via les régions. Accès gratuit ou à tarif préférentiel pour les victimes du territoire.

Interaction avec CNIL et autorités

En cas d'incident impliquant des données personnelles, le CSIRT aide à préparer la notification à la CNIL sous 72 heures (RGPD). Pour les secteurs régulés (finance avec DORA, santé, énergie), les notifications sectorielles spécifiques s'ajoutent. Le CSIRT coordonne l'ensemble de ces obligations avec la direction juridique et la communication.

Responsabilité et confidentialité

Les CSIRT officiels bénéficient de règles strictes de confidentialité. Les signalements à CERT-FR ou aux CSIRT régionaux ne sont pas transmis automatiquement à d'autres autorités. Cette confidentialité est essentielle pour encourager les signalements. Seule la CNIL et la justice peuvent, dans des cadres spécifiques, accéder à certaines informations.

08 — FAQQuestions fréquentes

À qui s'adresser en cas d'incident en France ?

Plusieurs voies selon votre situation :

• PME / ETI / collectivité : Cybermalveillance.gouv.fr (aide en ligne) ou CSIRT régional de votre territoire.
• Entreprise avec cyber-assurance : numéro d'urgence de votre assureur ou courtier, qui mobilisera un CSIRT partenaire.
• Opérateur essentiel ou d'importance vitale : CERT-FR (ANSSI).
• Administration : CERT-FR ou CERT sectoriel si applicable.
• En cas d'infraction pénale caractérisée : dépôt de plainte — obligatoire sous 72h pour prétendre à un remboursement de rançon par la cyber-assurance (loi LOPMI).

Combien coûte l'intervention d'un CSIRT commercial ?

Très variable selon l'ampleur. Tarifs typiques 2026 en France : 1 500 à 3 500 € HT par jour et par expert. Pour un incident moyen, la facture totale se situe entre 30 000 et 300 000 €. Pour un incident majeur (ransomware complexe, compromission Active Directory, fuite massive), la facture peut atteindre 1 à 5 millions d'euros. La cyber-assurance couvre une partie des coûts via les panels d'experts accrédités.

Comment préparer sa relation avec un CSIRT ?

En amont, pas pendant la crise. Bonnes pratiques :

• Contractualiser un engagement d'astreinte (retainer) avec un CSIRT, même sans incident — cela garantit une réponse rapide.
• Organiser une réunion annuelle de présentation mutuelle (votre SI, leurs méthodes).
• Mettre à jour régulièrement les contacts et procédures.
• Réaliser un exercice de crise avec le CSIRT tous les 1-2 ans.
• Identifier en interne les points de contact, décideurs, ressources techniques mobilisables.

Le CSIRT peut-il négocier avec un attaquant ransomware ?

Certains CSIRT proposent ce service, souvent via des spécialistes dédiés (Coveware, GroupSense, et certains cabinets). La négociation vise à gagner du temps, évaluer la crédibilité de l'attaquant, baisser éventuellement la rançon si le paiement est décidé. Attention : le cadre juridique français (loi LOPMI du 24 janvier 2023) impose un dépôt de plainte sous 72h pour tout remboursement de rançon par l'assurance. Les sanctions OFAC (États-Unis) interdisent le paiement à certains groupes. Les bons CSIRT encouragent généralement à ne pas payer et à reconstruire à partir de sauvegardes.

Qui communique avec les médias pendant une crise ?

Pas le CSIRT directement, sauf accord spécifique. Le CSIRT conseille et prépare les éléments techniques. La communication externe relève de la direction de la communication, souvent appuyée par un cabinet de communication de crise. Le CSIRT aide à cadrer ce qui peut être dit (pour ne pas compromettre l'investigation), valide les éléments factuels, alerte sur les risques de communication (signal envoyé aux attaquants, panique clientèle, obligations légales).