Faut-il un prestataire externe ou l'équipe interne suffit-elle ?
Pour un incident sérieux, l'équipe interne seule suffit rarement : elle connaît le SI, le prestataire apporte investigation et pilotage. Comment se répartir.
Pour un incident mineur, l’équipe interne ou l’infogérant suffit souvent. Pour une compromission sérieuse (rançongiciel, intrusion dans l’annuaire, fuite de données), c’est rarement le cas : l’interne connaît le système d’information, mais manque en général de compétences d’investigation, de disponibilité 24/7 et de recul. La bonne organisation combine les deux, avec des rôles fixés avant l’incident.
Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.
Ce que l’équipe interne fait mieux que personne
L’équipe informatique interne, ou l’infogérant qui en tient lieu dans beaucoup de PME, a des atouts qu’aucun prestataire extérieur n’a en arrivant :
- La connaissance du système d’information : architecture, applications critiques, flux, exceptions, historique.
- Les accès : comptes d’administration, consoles, sauvegardes.
- La connaissance des métiers : quelles activités sont vitales, qui contacter, ce qui peut fonctionner en mode dégradé.
- La capacité d’agir : isoler un serveur, couper un flux, restaurer une sauvegarde, reconstruire un poste.
Sans elle, un prestataire externe perd un temps précieux à comprendre l’environnement. Le NIST, dans la révision 3 de son guide SP 800-61 publiée en avril 2025, rappelle que la réponse à incident mobilise l’ensemble de l’organisation, pas seulement une équipe spécialisée.
Ce qui manque généralement en interne
Pour un incident sérieux, plusieurs compétences et ressources font défaut dans la plupart des PME et ETI :
- L’investigation numérique : analyser la mémoire et les journaux, reconstituer la chronologie, identifier la persistance et l’exfiltration.
- La connaissance des attaquants : leurs méthodes, leurs outils, leurs habitudes de retour.
- La disponibilité : une attaque se traite jour et nuit, pendant plusieurs jours, ce qu’une petite équipe ne tient pas en plus du quotidien.
- Le pilotage : coordonner technique, direction, assureur, avocat et autorités.
- Le recul : l’équipe interne peut être mise en cause par l’incident, ou avoir elle-même des comptes compromis.
Le référentiel PRIS de l’ANSSI (version 3.2, octobre 2025) donne une bonne idée de ce que recouvre un service professionnel : recherche d’indicateurs de compromission, investigation numérique, analyse de code malveillant, pilotage et coordination des investigations, gestion de crise d’origine cyber.
Qui fait quoi dans un dispositif mixte
| Activité | Équipe interne ou infogérant | Prestataire de réponse à incident |
|---|---|---|
| Détection et alerte | Remonte ce qu’elle observe | Qualifie l’incident (souvent via le SOC) |
| Confinement | Exécute les isolements | Recommande quoi isoler sans détruire les preuves |
| Investigation | Fournit accès et contexte | Mène l’analyse, établit la chronologie |
| Éviction | Change les mots de passe, applique les correctifs | Définit le plan d’éviction coordonné |
| Restauration | Restaure et reconstruit | Vérifie que les systèmes sont sains |
| Décision | Informe la direction | Éclaire la direction sur le risque résiduel |
| Rapport | Documente les actions réalisées | Rédige le rapport d’incident |
Le détail des rôles d’une équipe de réponse est décrit dans Qui intervient dans une équipe de réponse à incident ?.
Quand l’équipe interne peut suffire
L’interne peut traiter seul un incident quand toutes ces conditions sont réunies :
- l’incident est limité et bien compris (un poste infecté et isolé par l’EDR, un courriel de phishing bloqué) ;
- aucun compte à privilèges n’est touché ;
- aucune donnée personnelle ou sensible n’a fuité ;
- aucune obligation de notification n’est en jeu.
Dès qu’une de ces conditions tombe, faire appel à un prestataire devient prudent. Pour les entités concernées par NIS2, l’article 23 prévoit une alerte précoce sous 24 heures et une notification d’incident sous 72 heures, ce qui laisse peu de temps pour chercher de l’aide.
Le cas des infogérants
Un infogérant se retrouve souvent en première ligne quand un client est attaqué. Il a les accès et la connaissance du système d’information, mais pas toujours une équipe d’investigation disponible la nuit. C’est ce que peut lui apporter un SOC partenaire travaillant avec un CERT.
Chez Cyna, la réponse à incident est assurée par son CERT, membre de l’InterCERT France, qui travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. L’infogérant garde la relation avec son client et les actions sur le système d’information ; le CERT apporte l’investigation et le pilotage. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Pour aller plus loin, voir SOC managé ou SOC interne pour un MSP ?.
Faire le point avec un expert
Vous voulez définir qui fait quoi chez vous ou chez vos clients avant le prochain incident ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.
Questions fréquentes
Notre infogérant peut-il gérer seul un rançongiciel ?
Il peut restaurer et reconstruire, mais l'investigation (point d'entrée, périmètre, exfiltration) demande des compétences spécifiques. Beaucoup d'infogérants s'appuient pour cela sur un SOC et un CERT partenaires. Voir SOC managé et infogérant : qui fait quoi ?.
Faut-il choisir un prestataire qualifié PRIS ?
Ce n'est pas une obligation générale. La qualification PRIS de l'ANSSI atteste qu'un prestataire a été évalué au regard d'un référentiel d'exigences publié par l'agence. Voir Qu'est-ce qu'un prestataire PRIS ?.
Le prestataire externe prend-il la main sur notre SI ?
Non, il intervient avec des accès et un périmètre convenus. Les actions sur les systèmes sont souvent réalisées par l'équipe interne ou l'infogérant, sur ses recommandations. La direction garde la décision.
Que faire si nous n'avons aucun prestataire au moment de l'attaque ?
Il est possible d'en solliciter un en urgence, avec quelques précautions, mais avoir un contrat en place avant l'incident fait gagner un temps précieux. L'astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Voir Peut-on faire appel à un prestataire de réponse à incident sans contrat préalable ?.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.