Qu'est-ce qu'un CERT en cybersécurité ?
Un CERT est une équipe de réponse aux incidents de cybersécurité, pas un certificat. Son rôle, les différents types de CERT et comment en mobiliser un.
Un CERT (Computer Emergency Response Team) est une équipe spécialisée qui répond aux incidents de cybersécurité : elle analyse une attaque, aide à la contenir, recherche comment l’attaquant est entré et accompagne le retour à la normale. Attention à la confusion : en cybersécurité, un CERT n’est ni un certificat SSL/TLS, ni une certification. C’est une équipe d’intervention.
Le CERT est l’acteur central de la réponse à incident, présentée dans notre article pilier Qu’est-ce que la réponse à incident cybersécurité ?.
D’où vient le terme
Le premier CERT a été créé en 1988 au Software Engineering Institute de l’université Carnegie Mellon, aux États-Unis, à la suite du ver Morris, l’une des premières attaques à grande échelle sur Internet. Le modèle s’est ensuite diffusé dans le monde entier. On parle aussi de CSIRT (Computer Security Incident Response Team), terme plus générique retenu par la directive NIS2. Les deux désignent en pratique le même métier.
Les attentes vis-à-vis d’une telle équipe sont formalisées depuis longtemps, notamment dans la RFC 2350 de l’IETF (1998), qui décrit ce qu’un CERT doit publier : son périmètre, ses services, ses moyens de contact.
Ce que fait un CERT
| Mission | En pratique |
|---|---|
| Réponse à incident | Investigation, confinement, éradication, appui à la reprise |
| Analyse technique | Étude des journaux, des postes, des logiciels malveillants |
| Veille et alerte | Publication d’avis sur les vulnérabilités et les campagnes en cours |
| Coordination | Échange d’informations avec d’autres CERT, autorités, éditeurs |
| Retour d’expérience | Rapport d’incident, recommandations pour éviter une récidive |
Un CERT ne surveille pas en continu les systèmes d’une entreprise : c’est le rôle du SOC. Le SOC détecte, le CERT intervient quand un incident est confirmé. Voir CERT, CSIRT et SOC : quelles différences ?.
Les différents types de CERT
- Les CERT nationaux : en France, le CERT-FR est opéré par l’ANSSI. Il assure prévention, détection et réponse aux incidents, au profit en priorité de l’État et des opérateurs les plus sensibles, et coordonne son action avec les autres réseaux de CERT. Au niveau européen, NIS2 impose à chaque État membre de désigner un ou plusieurs CSIRT (article 10), réunis dans un réseau des CSIRT (article 15).
- Les CERT sectoriels et régionaux : dédiés à un secteur (santé, par exemple) ou à un territoire, ils orientent et assistent les organisations locales.
- Les CERT d’entreprise : internes aux grands groupes, ils protègent leur propre organisation.
- Les CERT de prestataires : ils interviennent chez leurs clients, souvent en complément d’un SOC managé.
En France, les CERT se retrouvent au sein de l’InterCERT France, une communauté qui vise à renforcer la capacité de ses membres à détecter et à répondre aux incidents. Le CERT-FR en est membre.
Quand fait-on appel à un CERT ?
Dès qu’un incident est confirmé ou fortement suspecté : rançongiciel, compromission d’une messagerie, accès inhabituel à un compte administrateur, fuite de données. Plus l’appel est rapide, plus le périmètre de l’attaque reste limité. Pour savoir ce qui constitue un incident, voir Qu’est-ce qu’un incident de cybersécurité ?.
Ce que couvre l’intervention dépend du contrat : voir Que couvre une prestation de réponse à incident ?. En France, l’ANSSI qualifie aussi des prestataires de réponse aux incidents (PRIS). Voir Qu’est-ce qu’un prestataire de réponse aux incidents qualifié (PRIS) ?.
Le CERT de Cyna
Chez Cyna, le CERT travaille aux côtés des équipes du SOC managé. Il est membre de l’InterCERT France et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Pour l’infogérant, l’intérêt est de ne pas avoir à chercher un intervenant au moment de l’attaque : le CERT relève du même partenaire que le SOC qui surveille déjà l’environnement, et l’infogérant reste l’interlocuteur de son client.
Pour des exemples d’interventions, voir Retour d’expérience des cyberattaques traitées par le SOC et le CERT Cyna en 2025 et Que se passe-t-il quand un SOC managé détecte une attaque ?.
Faire le point avec un expert
Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.
Vous voulez savoir comment un CERT peut intervenir chez vous ou chez vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Le CERT-FR peut-il intervenir chez n'importe quelle entreprise ?
Le CERT-FR s'adresse en priorité aux administrations et aux opérateurs les plus sensibles. Une PME victime d'une attaque est plutôt orientée vers un prestataire et vers cybermalveillance.gouv.fr. Voir Qui contacter en cas de cyberattaque ?.
Quelle est la différence entre un CERT et un CSIRT ?
Aucune en pratique : les deux désignent une équipe de réponse aux incidents. CSIRT est le terme des textes européens. Voir CERT, CSIRT et SOC : quelles différences ?.
Faut-il un contrat avant d'appeler un CERT ?
Selon les prestataires, les pratiques varient : certains n'interviennent que pour leurs clients sous contrat, et prévoir un contrat à l'avance évite de négocier en pleine crise. L'astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Voir Qu'est-ce qu'un contrat de réponse à incident (retainer) ?.
Un CERT fait-il aussi de la prévention ?
Oui, beaucoup publient des alertes et des avis de sécurité sur les vulnérabilités, et partagent des indicateurs de compromission avec leurs pairs.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.