Dans les offres d'emploi, les appels d'offres et les articles de presse, on croise sans cesse les sigles CSIRT, CERT, SOC et SecOps, parfois comme s'ils étaient interchangeables. Ils recouvrent pourtant des réalités différentes : surveiller en continu, répondre à un incident, coordonner une communauté ou organiser le travail conjoint de la sécurité et de l'exploitation. Cet article définit chaque terme, explique ce qui les distingue, comment ils travaillent ensemble et comment choisir l'organisation adaptée à sa structure.
En un coup d'œil
| Terme | Signification | Rôle principal |
|---|---|---|
| SOC | Security Operations Center | Surveiller, détecter et qualifier les alertes, en continu |
| CSIRT | Computer Security Incident Response Team | Répondre aux incidents de sécurité : analyser, contenir, éradiquer, rétablir |
| CERT | Computer Emergency Response Team | Même famille que le CSIRT, avec souvent une dimension de coordination et de service à une communauté |
| SecOps | Security Operations | Fonction ou pratique qui réunit les opérations de sécurité et celles de l'IT |
À retenir : le SOC détecte, le CSIRT ou CERT réagit, et SecOps désigne l'ensemble de l'exploitation de la sécurité au quotidien.
Le SOC : la surveillance continue
Un SOC (centre opérationnel de sécurité) est l'équipe et la plateforme chargées de surveiller en continu le système d'information. Ses analystes collectent des journaux et des alertes, les corrèlent, identifient ce qui est réellement suspect et déclenchent le traitement.
Ses outils typiques :
- un SIEM qui centralise et corrèle les journaux ;
- des solutions de détection sur les postes et serveurs (EDR/XDR) ;
- des sondes réseau ;
- des outils d'orchestration et d'automatisation (SOAR) ;
- des flux de renseignement sur les menaces.
Dans beaucoup d'organisations, les analystes sont répartis en niveaux : le premier niveau trie et qualifie les alertes, le deuxième investigue, le troisième traite les cas complexes et affine les règles de détection. Les indicateurs courants sont le temps de détection et le temps de réponse. Pour mieux comprendre ce que les journaux révèlent, l'analyseur de journaux Windows de ForenShield illustre le type de données que manipule un analyste.
Le CSIRT : la réponse à incident
Un CSIRT (équipe de réponse aux incidents de sécurité informatique) intervient lorsqu'un incident est confirmé ou fortement suspecté. Sa mission suit un cycle bien connu :
- Qualifier l'incident et évaluer son impact ;
- Contenir la menace pour limiter la propagation ;
- Éradiquer la cause (compte compromis, logiciel malveillant, faille exploitée) ;
- Restaurer les services de façon saine ;
- Tirer les leçons : analyse post-incident, amélioration des défenses.
Le CSIRT gère aussi la communication de crise avec la direction, les juristes, les autorités et, si nécessaire, les prestataires. Le terme CSIRT est générique : il désigne toute équipe de ce type, qu'elle soit interne à une entreprise, rattachée à un secteur ou à un pays. Le document RFC 2350 décrit les informations qu'une telle équipe devrait publier sur son fonctionnement.
Le CERT : un nom historique, une communauté
Le mot CERT (Computer Emergency Response Team) est historique. Le premier CERT/CC a été créé en 1988 à l'université Carnegie Mellon, à la suite du ver Morris (voir la présentation du CERT/CC). « CERT » est par ailleurs une marque déposée de l'université : les équipes qui l'utilisent officiellement y sont autorisées, ce qui explique que beaucoup d'équipes préfèrent le terme CSIRT, libre d'usage.
Dans la pratique, CERT et CSIRT sont très proches et souvent employés comme synonymes. Quand on les distingue, le CERT est plutôt vu comme :
- une équipe au service d'une communauté (un pays, un secteur, un réseau) plutôt qu'une seule organisation ;
- un acteur de coordination, de veille, d'alerte et de partage d'informations, en plus de l'aide à la réponse ;
- un membre de réseaux d'échange comme le FIRST, qui fédère des équipes du monde entier.
En France, le CERT-FR, rattaché à l'ANSSI, publie des avis et alertes de sécurité et appuie les victimes d'incidents majeurs (voir notre article sur l'ANSSI). Il existe aussi des équipes sectorielles et des CSIRT régionaux dédiés à des publics comme les collectivités et les PME.
SecOps : une fonction, une pratique
SecOps (Security Operations) est le terme le moins précis, car il prend deux sens :
- La fonction : l'ensemble des opérations de sécurité au quotidien, souvent comprenant le SOC, la gestion des vulnérabilités, la réponse à incident et l'administration des outils de sécurité.
- La pratique : à la manière du DevOps, une façon de travailler qui rapproche les équipes de sécurité et d'exploitation pour partager les outils, les processus et les responsabilités, afin d'aller plus vite et d'éviter les silos.
Selon les organisations, « équipe SecOps » peut donc désigner un SOC élargi ou une équipe d'ingénierie qui déploie et exploite les outils de sécurité. Il est utile de demander ce que le terme recouvre concrètement dans chaque contexte.
Comment ils travaillent ensemble : l'exemple d'une attaque
Imaginons un poste qui exécute un logiciel malveillant :
- Le SOC détecte un comportement anormal, corrèle des alertes et qualifie l'événement comme un incident.
- Il transmet au CSIRT, avec les éléments recueillis : machines touchées, heures, indicateurs.
- Le CSIRT isole les machines, analyse la compromission, supprime la cause et coordonne le rétablissement.
- L'équipe SecOps corrige ce qui doit l'être : nouvelles règles de détection, durcissement, correctifs.
- Le CERT de la communauté (par exemple le CERT-FR) peut être informé ou appuyer, et des indicateurs peuvent être partagés pour aider les autres.
C'est cette chaîne, de la détection à l'amélioration, qui fait la maturité d'une organisation. Dans le cadre réglementaire français, elle rejoint les prestataires qualifiés PDIS (détection) et PRIS (réponse), expliqués dans notre glossaire OIV, LPM, SIIV, PASSI, PDIS.
Comparaison détaillée
| SOC | CSIRT / CERT | SecOps | |
|---|---|---|---|
| Question posée | « Se passe-t-il quelque chose d'anormal ? » | « Que faire maintenant que l'incident est avéré ? » | « Comment exploiter la sécurité au quotidien ? » |
| Temporalité | Continue, souvent 24 h sur 24 | À la demande, avec astreinte | Continue |
| Périmètre | Le SI de l'organisation | Une organisation (CSIRT) ou une communauté (CERT) | L'organisation |
| Postures | Détection, surveillance | Réaction, investigation, coordination | Exploitation, amélioration |
| Compétences clés | Analyse d'alertes, corrélation, règles de détection | Forensique, investigation, gestion de crise | Ingénierie, automatisation, administration des outils |
Quelle organisation choisir ?
- Petite structure : externaliser la détection et la réponse auprès d'un prestataire, avec un référent interne. Un SOC interne 24 h sur 24 est coûteux.
- Structure moyenne : combiner un SOC externalisé (ou mutualisé) et une petite cellule interne de réponse à incident.
- Grande organisation : SOC et CSIRT internes, souvent complétés par des prestataires pour les pics d'activité, avec une fonction SecOps qui pilote les outils.
- Opérateur régulé : intégrer les exigences réglementaires et le recours à des prestataires qualifiés quand elles s'appliquent.
Quel que soit le modèle, il faut définir qui décide, qui escalade et qui communique, formaliser les procédures et s'entraîner par des exercices. Les profils correspondants (analyste SOC, réponse à incident) ont aussi une valeur de marché que détaille notre article sur les TJM en cybersécurité.
En résumé
Le SOC surveille et détecte. Le CSIRT répond aux incidents ; le CERT est un nom historique très proche, souvent tourné vers une communauté et la coordination. SecOps désigne l'exploitation de la sécurité, comme fonction ou comme pratique de collaboration. Ces équipes sont complémentaires : la valeur vient de la fluidité des échanges entre elles, pas de l'étiquette qu'on leur donne.