Responsable du CSIRT

Rôle et missions d’un CSIRT

Les experts CSIRT pour Computer Security Incident Response sont un collectif international de chercheurs, ingénieurs informatiques, analystes sécurité et spécialistes en business intelligence qui réunissent leurs expertises afin de détecter les failles de vulnérabilités au sein de serveurs, programmes et logiciels.

Ils contribuent à faire évoluer les technologies au sens large et les systèmes de protection et de sécurité informatiques.

Ils développent un référentiel commun, contenus informatifs et actions de formation, afin de contribuer à améliorer l’état de l’art de la cybersécurité dans le monde entier.

L’équipe CSIRT est une combinaison de personnel expérimenté, technique et non technique qui travaillent ensemble pour comprendre l’étendue de l’incident, comment il peut être atténué et au final, comment y remédier.

Missions du responsable du CSIRT

Dans un monde où les réseaux globaux prennent toujours plus d’expansion et une importance stratégique qui ne se dément pas, les systèmes d’information d’une organisation doivent pouvoir résister aux différentes menaces qui pèsent sur eux.

Pour sécuriser leurs systèmes et leurs réseaux, les organisations doivent pouvoir compter sur des gestionnaires capables de reconnaître les menaces et les vulnérabilités des systèmes existants et d’assurer la conception et le développement de systèmes sécuritaires.

C’est le propre de la mission du responsable du CSIRT.

Voici le détail des ses activités et tâches au quotidien.

Pilotage des opérations :

• Planifier et organiser les opérations quotidiennes du CSIRT
• Assurer un appui opérationnel à la gestion de crise de sécurité en cas d’incidents de sécurité majeurs
• Organiser les modes de fonctionnement avec le SOC (Security Operation Center) interne ou externe pour assurer la gestion des incidents de sécurité

Anticipation :

• S’appuyer sur les services de veille sur les menaces (threat intelligence) pour tenir compte des groupes d’attaquants existants, de leurs méthodes d’attaques et de leurs motivations
• Informer les équipes en charge de la sécurité des nouvelles menaces importantes et recommander des mesures tactiques pour les contrer
• Construire et maintenir des relations de confiance et d’échange avec les réseaux de CSIRT français et étrangers ainsi qu’avec les organismes gouvernementaux
• Participer aux exercices de préparation à la gestion de crise de cybersécurité

Réponse à incident :

• Élaborer et tenir à jour le processus d’intervention en cas d’incident majeur de sécurité ainsi que toutes les ressources nécessaires (outillage, procédure, etc.) ; vérifier que les prérequis techniques et documentaires sont en place et tenus à jour
• S’assurer que les parties prenantes connaissent leur rôle dans la gestion des incidents de sécurité
• S’assurer de la bonne exécution du processus de réponse à incident depuis la détection jusqu’à la résolution de l’incident ; suivre et coordonner les actions de remédiation
• Organiser les retours d’expérience concernant les incidents pour capitaliser et définir d’actions d’amélioration

Quelle est la différence ?

Les missions du SOC peuvent recouvrir la réponse aux incidents, mais incluent généralement d’autres aspects des opérations de sécurité, par exemple, comme la gestion des événements de sécurité ou des vulnérabilités.

Les CSIRT et CERT se concentrent spécifiquement sur la réponse aux incidents.

Ils peuvent fonctionner dans le cadre du SOC, s’il y en a un, ou exister indépendamment de celui-ci.

Ils peuvent également être permanents ou éphémères, mobilisés uniquement lors de certains événements.

Le choix de l’approche dépend notamment de la taille de l’organisation et de son contexte opérationnel. Mais de ce choix pourront en retour dépendre – au moins partiellement – la manière dont le groupe fonctionnera et les outils auxquels il aura accès. L’important est de réfléchir à l’avance de manière systématique et professionnelle afin de ne pas avoir de surprise au milieu d’un événement critique.

Il faut donc déterminer le modèle d’organisation et les méthodes de communication les plus judicieuses compte tenu du nombre de personnes impliquées, du contexte et du budget disponibles, des besoins de l’organisation, du paysage des menaces, etc.

Responsable du CSIRT freelance

Il est plutôt rare de voir un responsable du CSIRT exercer en freelance dans la mesure où il doit être rattaché à un CSIRT. Si ce statut pourrait se généraliser dans les années à venir, il faudrait pour cela créer son statut d’entreprise afin d’établir devis et factures à des clients. Détermination, organisation, rigueur et professionnalisme seront aussi quatre inconditionnels pour travailler de cette manière. Posséder un réseau est également un plus.

Evolution de carrière

Les tendances et facteurs d’évolution du métier indiquent que le responsable du CSIRT peut être amené à contribuer à la gestion d’incidents liés à d’autres raisons que la sécurité des SI, comme par exemple la fraude via des moyens informatiques. Il peut également devenir directeur cybersécurité ou encore RSSI.