CERT/CSIRT

Définition

Un CERT (Computer Emergency Response Team) ou CSIRT (Computer Security Incident Response Team), termes aujourd'hui largement interchangeables bien que CERT soit une marque déposée par l'université Carnegie Mellon, désigne une équipe spécialisée dans la gestion des incidents de cybersécurité pour un périmètre défini, entreprise, secteur d'activité ou pays. Son rôle couvre la veille en vulnérabilités et menaces, la diffusion d'alertes et de bulletins de sécurité, l'assistance technique aux victimes d'incidents pour l'analyse forensique et le confinement, ainsi que la coordination avec d'autres CERT nationaux ou internationaux via des réseaux comme FIRST (Forum of Incident Response and Security Teams). En France, le CERT-FR, rattaché à l'ANSSI, publie quotidiennement des avis et alertes de sécurité et coordonne la réponse aux incidents majeurs touchant les administrations et opérateurs d'importance vitale. Les grandes entreprises disposent souvent de leur propre CSIRT interne, articulé avec le SOC (Security Operations Center) qui assure la détection en continu, tandis que le CSIRT prend le relais pour l'investigation approfondie et la remédiation des incidents avérés. La directive NIS2 renforce les obligations de notification aux CSIRT nationaux pour les entités essentielles et importantes, avec des délais stricts, généralement 24 heures pour une alerte précoce et 72 heures pour une notification complète.