PSIRT (Product Security Incident Response Team)

general

Définition

Un PSIRT (Product Security Incident Response Team) est une équipe dédiée, au sein d'un éditeur ou fabricant de logiciels/matériels, chargée de recevoir les reports de vulnérabilités de sécurité affectant ses produits, de les analyser, coordonner le développement des correctifs, et gérer la communication publique. Le PSIRT est l'interlocuteur officiel pour les chercheurs en sécurité et les partenaires qui découvrent des failles dans les produits de l'éditeur. La différence entre un PSIRT et un CSIRT/SOC est fondamentale : le CSIRT/SOC protège l'infrastructure interne de l'organisation (ses propres systèmes), tandis que le PSIRT gère la sécurité des produits distribués à des clients tiers. Un éditeur peut donc avoir simultanément un SOC (pour sa propre sécurité) et un PSIRT (pour la sécurité de ses produits). Les missions d'un PSIRT incluent : recevoir et triager les reports de vulnérabilités (via un email sécurisé type security@company.com avec clé PGP publiée, ou via des plateformes de Bug Bounty), valider techniquement la vulnérabilité (la reproduire, évaluer l'impact et le CVSS), coordonner avec les équipes de développement pour la correction, gérer la communication avec le découvreur (dans le cadre de la CVD — Coordinated Vulnerability Disclosure), préparer et publier les advisories de sécurité (SA), et soumettre les CVE à MITRE/NVD. Un PSIRT mature publie un Security Advisory pour chaque vulnérabilité corrigée, incluant : la description de la vulnérabilité, les produits et versions affectés, le score CVSS, les CVE associées, les mitigations disponibles dans l'attente du patch, et les instructions de mise à jour. Ces advisories sont publiés sur le site web de l'éditeur et soumis aux feeds CTI (MISP, TAXII/STIX) pour propagation vers les clients. La qualité et la transparence du PSIRT sont des indicateurs importants de la maturité sécurité d'un éditeur. Un PSIRT qui répond rapidement, communique proactivement, et crédite les chercheurs builds une réputation positive qui encourage les reports responsables. À l'inverse, un éditeur qui ignore les reports ou tarde à corriger voit sa réputation se dégrader dans la communauté sécurité et s'expose à des publications forcées par les chercheurs frustrés.

PSIRT vs CSIRT/SOC — rôles distincts

La distinction entre PSIRT (protection des produits) et SOC/CSIRT (protection de l'infrastructure interne) est cruciale pour les entreprises qui sont à la fois productrices de logiciels et utilisatrices de systèmes d'information. Cisco a un PSIRT qui gère les vulnérabilités dans ses équipements réseau et logiciels (IOS, NX-OS, ASA, Webex) et un SOC/CSIRT qui protège son propre réseau interne. Microsoft a le MSRC (Microsoft Security Response Center) comme PSIRT et un SOC interne distinct. Pour les éditeurs de logiciels critiques (industriels, IoT, infrastructure), le PSIRT est particulièrement important car leurs clients déploient les produits dans des contextes à hauts risques (réseaux industriels, hôpitaux, infrastructures critiques).

FIRST PSIRT Services Framework

Le FIRST (Forum of Incident Response and Security Teams) a développé le PSIRT Services Framework, un référentiel de bonnes pratiques pour les PSIRTs. Il couvre : la politique de divulgation (CVD), les processus de réception et triage des reports, la communication avec les chercheurs, le développement et la qualification des correctifs, la publication des advisories (avec format standardisé CSAF/CVRF), la gestion des CVE, et les métriques de performance du PSIRT. Ce framework est utilisé par les grandes organisations pour structurer ou améliorer leurs PSIRTs. Des certifications de PSIRTs (par exemple via l'accréditation FIRST) attestent de leur maturité et de leur engagement envers la CVD.

CVE Numbering Authority (CNA) — rôle des PSIRTs

Les CVE Numbering Authorities (CNA) sont des organisations autorisées par MITRE à attribuer des numéros CVE pour les vulnérabilités dans leurs domaines de compétence. Les PSIRTs des grands éditeurs (Microsoft, Google, Apple, Cisco, Adobe, Red Hat) sont des CNAs — ils attribuent directement les CVE aux vulnérabilités dans leurs produits sans passer par MITRE. Cela accélère le processus (pas de délai d'attribution par MITRE) et garantit l'exactitude des informations produit. Être CNA est un signal de maturité sécurité. La liste complète des CNAs est publiée sur cve.org. Les chercheurs en sécurité qui trouvent des vulnérabilités dans des produits d'un CNA doivent reporter directement au PSIRT de ce CNA, qui attribue et publie la CVE.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis