CERT, CSIRT et SOC : quelles différences ?

CERT et CSIRT désignent en pratique la même chose : une équipe de réponse aux incidents de cybersécurité, qui intervient quand une attaque est confirmée. Le SOC, lui, surveille les systèmes en continu pour détecter les attaques le plus tôt possible. Le SOC détecte et qualifie, le CERT ou CSIRT investigue et pilote la réponse. Les deux fonctions se complètent.

Ces notions sont au cœur de la réponse à incident, présentée dans Qu’est-ce que la réponse à incident cybersécurité ?.

CERT et CSIRT : deux noms pour un même métier

CERT signifie Computer Emergency Response Team. C’est le terme historique, né avec le premier centre de ce type créé en 1988 à l’université Carnegie Mellon. CSIRT signifie Computer Security Incident Response Team. C’est un terme plus générique, retenu par les textes européens : la directive NIS2 demande à chaque État membre de désigner un ou plusieurs CSIRT (article 10), fixe leurs exigences et leurs missions (article 11) et les réunit dans un réseau européen (article 15).

En France, le CERT-FR, opéré par l’ANSSI, joue ce rôle d’équipe nationale. Au niveau international, de nombreuses équipes se retrouvent au sein du FIRST (Forum of Incident Response and Security Teams), qui accueille indifféremment des CERT et des CSIRT. Les entreprises et prestataires utilisent librement l’un ou l’autre nom. Pour le détail, voir Qu’est-ce qu’un CERT en cybersécurité ?.

Le SOC : surveiller et détecter

Un SOC (Security Operations Center) est un centre de surveillance de la sécurité. Il collecte les journaux et les alertes des postes, serveurs, services cloud et équipements réseau, les corrèle et les analyse pour repérer une attaque. Son travail est continu : idéalement 24h/24 et 7j/7, car les attaques ne respectent pas les heures de bureau. Voir Qu’est-ce qu’un SOC (Security Operations Center) ?.

Le comparatif

	SOC	CERT / CSIRT
Mission principale	Surveiller, détecter, qualifier	Répondre, investiguer, remédier
Rythme	Continu	Sur incident (et veille en continu)
Déclencheur	Événements et alertes de sécurité	Incident confirmé ou fortement suspecté
Actions typiques	Analyse d’alertes, isolement d’un poste, escalade	Investigation, recherche de persistance, éradication, rapport
Livrables	Alertes qualifiées, rapports mensuels	Rapport d’incident, recommandations
Profils	Analystes de niveaux 1 à 3	Analystes en réponse à incident, investigation numérique

Pour les rôles au sein d’un SOC, voir Quels sont les rôles dans un SOC ?.

Comment ils travaillent ensemble

Sur une attaque réelle, le passage de relais se fait en quelques étapes :

1. Le SOC détecte un comportement anormal : connexion suspecte, chiffrement massif de fichiers, exécution d’un outil d’attaque.
2. Le SOC qualifie l’alerte et applique les premiers gestes de confinement prévus (isolement d’un poste via l’EDR, par exemple).
3. Le SOC escalade vers l’infogérant et, si l’incident est confirmé, vers le CERT.
4. Le CERT prend le relais : investigation, périmètre réel de l’attaque, éradication, accompagnement de la reprise.
5. Le SOC renforce la surveillance pendant et après l’incident, avec les indicateurs identifiés par le CERT.

Plus ce passage est rapide, plus l’attaque est contenue tôt. C’est pourquoi la frontière entre les deux équipes doit être claire avant l’incident, dans la procédure d’escalade. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

Et l’infogérant ?

Pour les entreprises accompagnées par un infogérant, un troisième acteur entre en jeu. Le SOC et le CERT analysent et guident, l’infogérant agit sur l’infrastructure qu’il administre : réinitialisation de comptes, restauration, reconstruction de serveurs. Il reste aussi l’interlocuteur du client. Voir SOC managé et infogérant : qui fait quoi ?.

Le modèle Cyna

Chez Cyna, le SOC managé est opéré 24/7 depuis la France par des équipes internes, et travaille avec le CERT de Cyna, membre de l’InterCERT France. Le CERT travaille avec les équipes du SOC et peut être mobilisé rapidement, et l’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les modalités du service SOC (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire. L’infogérant a ainsi un seul partenaire pour la détection et la réponse, et porte la relation avec son client.

Faire le point avec un expert

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Vous voulez clarifier qui fait quoi entre SOC, CERT et infogérant pour vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un SOC peut-il faire de la réponse à incident ?

Il assure les premiers gestes : qualification de l'alerte, isolement d'un poste, blocage d'un compte. L'investigation approfondie et la recherche de persistance relèvent du CERT.

Faut-il deux prestataires différents pour le SOC et le CERT ?

Non, et il est souvent plus simple d'avoir les deux au même endroit : le passage de relais est plus fluide. Chez Cyna, le SOC managé et le CERT travaillent ensemble, et l'astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Et le NOC, dans tout ça ?

Le NOC surveille la disponibilité et la performance du réseau, pas la sécurité. Voir Quelle différence entre un SOC et un NOC ?.

Une PME a-t-elle besoin d'un SOC et d'un CERT ?

Elle a besoin des deux fonctions, mais pas forcément de les construire en interne. Un SOC managé adossé à un CERT, proposé par son infogérant, peut couvrir les deux selon le contrat. Voir SOC pour MSP.