Qui intervient dans une équipe de réponse à incident ?

Une équipe de réponse à incident réunit trois cercles. L’équipe technique : analystes du SOC, experts du CERT en investigation et en remédiation. L’organisation touchée : direction, DSI ou infogérant, juridique, DPO, communication. Et des acteurs externes : assureur, avocat, forces de l’ordre, autorités. Un coordinateur unique relie l’ensemble.

Pour voir comment ces acteurs s’enchaînent au fil de l’incident, voir notre guide Comment se déroule une réponse à incident ?.

Premier cercle : l’équipe technique

Les analystes du SOC

Ils surveillent en continu, repèrent l’alerte, la qualifient et lancent l’escalade. Pendant l’incident, ils continuent de surveiller pour détecter un rebond de l’attaquant. Voir Quels sont les rôles dans une équipe SOC ?.

Les experts du CERT

Le CERT (ou CSIRT) est l’équipe spécialisée dans le traitement des incidents. On y trouve :

• un responsable d’incident, qui coordonne les actions techniques et rend compte à la cellule de crise ;
• des analystes en investigation numérique (forensic), qui reconstituent la chronologie de l’attaque à partir des disques, de la mémoire et des journaux ;
• des analystes de la menace, qui identifient le mode opératoire et les indicateurs de compromission à rechercher ailleurs ;
• des experts en remédiation, notamment sur l’annuaire Active Directory et le réseau, qui définissent comment expulser l’attaquant et reconstruire.

Voir CERT, CSIRT et SOC : quelles différences ?.

Deuxième cercle : l’organisation touchée

Acteur	Rôle pendant l’incident
Direction générale	Décide : couper un service, porter plainte, communiquer, déclencher la cellule de crise
Infogérant ou DSI	Exécute les actions sur le système : isolement, réinitialisations, restauration
RSSI, s’il existe	Fait le lien entre l’équipe technique et la direction
Juridique et DPO	Évalue les obligations : CNIL, NIS2, contrats, plainte
Communication	Prépare les messages internes et externes
Ressources humaines	Gère l’information des salariés, les consignes, les horaires étendus
Métiers	Indiquent les activités critiques et les priorités de redémarrage

L’infogérant occupe une place centrale : il connaît le système, détient les accès d’administration et sait restaurer. Dans le modèle de Cyna, il reste l’interlocuteur du client pendant toute la crise, et le CERT de Cyna travaille avec lui. Voir SOC managé et infogérant : qui fait quoi ?.

Troisième cercle : les acteurs externes

• L’assureur cyber, à prévenir rapidement : il peut imposer ou proposer un prestataire et fixe ses conditions de prise en charge.
• Un avocat, utile pour la plainte, les contrats et les relations avec les tiers.
• Les forces de l’ordre, pour le dépôt de plainte. cybermalveillance.gouv.fr recommande de porter plainte avant de réinstaller les équipements.
• Les autorités : la CNIL en cas de violation de données personnelles ; l’autorité nationale ou le CSIRT désigné pour les entités soumises à NIS2.

Voir Qui contacter en cas de cyberattaque ?.

Les règles qui font fonctionner l’équipe

1. Un coordinateur unique. Une seule personne arbitre les priorités techniques, pour éviter que deux équipes agissent en sens contraire (par exemple, l’une restaure pendant que l’autre collecte des preuves).
2. Un journal de bord partagé. Chaque action est horodatée : qui, quoi, quand. Il sert à l’enquête, à l’assureur et aux notifications. cybermalveillance.gouv.fr recommande de tenir cette main courante dès le début.
3. Des canaux de communication sûrs. Si la messagerie est compromise, l’attaquant peut lire les échanges de crise. On bascule sur un canal séparé.
4. Des points de situation réguliers entre l’équipe technique et la cellule de crise.
5. Des décisions tracées, surtout quand elles arbitrent entre continuité et sécurité.

Ce que Cyna apporte dans l’équipe

Cyna apporte le premier cercle : le SOC managé 24/7, opéré depuis la France par des équipes internes, et son CERT, membre de l’InterCERT France, qui peut être mobilisé rapidement. Le CERT travaille avec les équipes du SOC, et l’astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. L’infogérant partenaire garde la relation avec son client et agit sur son système avec l’appui du CERT.

Faire le point avec un expert

Vous voulez clarifier qui fait quoi chez vous ou chez vos clients avant qu’un incident ne survienne ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Une PME doit-elle avoir sa propre équipe de réponse à incident ?

Rarement. Elle a besoin de savoir qui appeler et qui décide en interne. L'expertise d'investigation vient le plus souvent d'un prestataire externe, mobilisé via un contrat ou via son infogérant. Voir Faut-il un prestataire externe ou l'équipe interne suffit-elle ?.

Qui décide de couper la production ?

La direction de l'organisation touchée, sur recommandation de l'équipe de réponse. Le CERT et l'infogérant éclairent la décision, mais l'arbitrage entre sécurité et continuité d'activité appartient au dirigeant.

Le DPO doit-il être impliqué ?

Dès qu'une violation de données personnelles est possible. Il évalue le risque pour les personnes et prépare, le cas échéant, la notification à la CNIL. L'article 33 du RGPD prévoit une notification dans les 72 heures après la prise de connaissance de la violation.

Quelle différence entre l'équipe technique et la cellule de crise ?

L'équipe technique traite l'incident sur le système ; la cellule de crise pilote ses conséquences pour l'organisation : décisions, communication, continuité. Voir Quelle différence entre réponse à incident et gestion de crise ?.