Recruter un responsable réponse à incident (CSIRT)

Le jour d'une attaque majeure, la qualité technique de vos analystes ne suffit pas : il faut quelqu'un qui décide, coordonne et parle à la direction pendant que l'équipe investigue. C'est le rôle du responsable de la réponse à incident, souvent appelé responsable CSIRT ou CERT. Ce guide vous aide à définir le poste, à reconnaître le bon profil et à l'évaluer sur ce qui compte vraiment : sa capacité à garder le cap quand tout s'accélère.

Ce que fait un responsable de la réponse à incident

Le responsable CSIRT n'est pas l'analyste le plus expérimenté de l'équipe. C'est un pilote. Il investigue encore parfois, mais sa valeur se mesure à la manière dont l'équipe entière fonctionne, avant, pendant et après un incident.

Ses missions les plus fréquentes :

Préparer : rédiger et tenir à jour les procédures de réponse, les fiches réflexes et le plan de communication de crise, vérifier que les journaux utiles existent et sont conservés assez longtemps.
Piloter les incidents : qualifier la gravité, déclencher l'escalade, répartir le travail entre les analystes, arbitrer entre confinement rapide et investigation complète.
Coordonner : faire le lien avec la DSI, le juridique, la communication, le délégué à la protection des données, l'assureur et, le cas échéant, un prestataire externe.
Rendre compte : tenir la direction informée avec des points réguliers, clairs et honnêtes sur ce qui est maîtrisé et ce qui ne l'est pas.
Respecter les obligations : s'assurer que les notifications sont faites dans les délais, par exemple auprès de la CNIL en cas de violation de données personnelles.
Apprendre : organiser les retours d'expérience, suivre les actions correctives et faire progresser la détection avec l'équipe SOC.
Entraîner : organiser des exercices de crise, des simulations sur table et, plus largement, faire monter l'équipe en compétence.

Pourquoi ce poste devient nécessaire

La directive NIS2 (directive (UE) 2022/2555) impose aux entités concernées une gestion des incidents structurée et des notifications par étapes à l'autorité compétente : une alerte précoce dans les 24 heures après la prise de connaissance d'un incident important, une notification dans les 72 heures, puis un rapport final. En France, c'est l'ANSSI qui accompagne la mise en œuvre. Le RGPD, de son côté, prévoit une notification à la CNIL dans les 72 heures en cas de violation de données personnelles présentant un risque.

Tenir ces délais en pleine crise ne s'improvise pas. Il faut une personne qui connaît les obligations, a préparé les circuits de décision et sait produire une information fiable sous pression. Notre article sur les profils à recruter pour NIS2 montre où ce rôle s'insère dans l'ensemble.

Responsable interne, lead technique ou prestataire : clarifier le besoin

Avant de rédiger l'annonce, décidez de ce que vous attendez vraiment. Les trois options ne s'excluent pas.

Option	Rôle principal	Quand la choisir
Responsable CSIRT interne	Prépare, pilote les crises, encadre une équipe, rend compte à la direction	Vous avez une équipe sécurité, des incidents réguliers et des obligations de notification
Lead réponse à incident	Référent technique qui mène les investigations les plus complexes, sans encadrement formel	Votre équipe est petite et le pilotage de crise est déjà porté par le RSSI
Prestataire de réponse à incident	Intervention externe à la demande, souvent sous contrat préalable	Vous n'avez pas le volume pour une équipe interne. L'ANSSI qualifie des prestataires sous le label PRIS

Beaucoup d'organisations combinent un responsable interne et un prestataire sous contrat pour absorber les incidents majeurs. Dans ce cas, le responsable interne doit savoir piloter un prestataire, pas seulement travailler seul. Si la gouvernance sécurité d'ensemble reste à construire, commencez peut-être par recruter un RSSI.

Le profil à rechercher

Une base technique solide

Un responsable CSIRT qui n'a jamais investigué ne saura pas juger la qualité d'une analyse ni détecter une conclusion hâtive. Cherchez une expérience réelle d'investigation : analyse de postes Windows, d'Active Directory, de journaux réseau et, de plus en plus, d'environnements cloud. Le candidat n'a pas besoin d'être le meilleur technicien de l'équipe, mais il doit savoir poser la bonne question à l'analyste qui l'est.

Un vrai sens du pilotage

C'est ce qui distingue ce poste d'un poste d'analyste senior. Il faut savoir prioriser, déléguer, tenir une main courante, organiser des points de situation à heure fixe et dire non à une demande qui ferait perdre du temps à l'équipe.

Une communication adaptée à chaque interlocuteur

Le même incident se raconte différemment à un analyste, à un directeur juridique et à un directeur général. Le bon candidat ajuste son niveau de détail sans déformer les faits, et sait annoncer une mauvaise nouvelle sans dramatiser ni minimiser.

D'où viennent les bons candidats

Analystes réponse à incident confirmés qui ont déjà mené des incidents de bout en bout. Pour évaluer leurs bases techniques, notre grille de questions d'entretien pour un analyste réponse à incident reste utile.
Responsables SOC qui veulent passer de la détection à la réponse. Point à vérifier : leur expérience de l'investigation approfondie et de la gestion de crise.
Consultants de prestataires de réponse à incident qui ont vu de nombreux environnements. Point à vérifier : leur envie de s'inscrire dans la durée et de construire, pas seulement d'intervenir.

Les compétences à évaluer

Voici une grille simple à partager entre tous les membres du jury :

Investigation : sait-il reconstituer une chronologie et distinguer un fait d'une hypothèse ?
Priorisation : face à plusieurs urgences, sur quels critères choisit-il ?
Décision : ose-t-il trancher avec une information incomplète, et trace-t-il ses décisions ?
Coordination : comment organise-t-il le travail de cinq personnes pendant trois jours de crise ?
Communication : peut-il résumer une situation à un dirigeant en deux minutes ?
Cadre réglementaire : connaît-il les obligations de notification qui s'appliquent à votre organisation ?
Amélioration continue : que fait-il concrètement après un incident pour que le même chemin ne fonctionne plus ?
Management : comment protège-t-il son équipe de l'épuisement pendant et après une crise ?

Les certifications spécialisées en réponse à incident ou en investigation numérique attestent d'un apprentissage. Elles ne prouvent pas la capacité à piloter. Notre article sur les certifications en cybersécurité détaille ce qu'elles valent vraiment en recrutement.

Une mise en situation qui révèle le niveau

L'entretien classique mesure mal le pilotage. Une simulation sur table de 45 minutes, menée par un membre de votre équipe sécurité, en dit beaucoup plus.

Posez un scénario de départ, par exemple une alerte EDR sur un serveur de fichiers un vendredi en fin de journée, puis ajoutez des informations toutes les cinq à dix minutes :

un compte à privilèges utilisé hors des horaires habituels ;
un journaliste qui appelle le standard ;
un métier qui refuse l'isolement d'un serveur critique ;
un analyste de l'équipe qui n'est pas joignable ;
la direction qui demande, à 21 heures, s'il faut prévenir les clients.

Observez moins les réponses techniques que la méthode : le candidat pose-t-il des questions avant d'agir ? Nomme-t-il un responsable pour chaque action ? Fixe-t-il l'heure du prochain point ? Pense-t-il aux délais de notification sans qu'on le lui rappelle ? Termine-t-il par une synthèse claire de la situation ?

Complétez par un entretien avec la direction ou le RSSI, centré sur la communication, et par un échange avec un ou deux analystes de l'équipe. Pour structurer l'ensemble du processus, appuyez-vous sur notre méthode pour évaluer les compétences en cybersécurité.

Les erreurs fréquentes

Promouvoir le meilleur technicien par défaut : l'excellence en investigation ne garantit ni le goût ni le talent pour le pilotage.
Recruter sans mandat clair : si le responsable CSIRT ne peut pas décider d'isoler une machine sans trois validations, il sera responsable sans pouvoir.
Oublier l'astreinte : rythme, compensation et organisation des rotations doivent être abordés dès le premier entretien, pas au moment de l'offre.
Négliger la préparation : un poste présenté uniquement comme de la gestion de crise attire des profils qui s'ennuieront entre deux incidents. La préparation et les exercices font partie du travail.
Sous-estimer la rémunération : elle varie avec la taille de l'équipe, le secteur, la régulation et la charge d'astreinte. Fixez une fourchette réaliste dès le départ pour ne pas perdre un bon candidat en fin de processus.

En résumé

Un responsable de la réponse à incident combine une base technique solide, un vrai sens du pilotage et une communication adaptée à chaque interlocuteur. Pour bien le recruter, clarifiez d'abord son mandat et son articulation avec un éventuel prestataire, puis évaluez-le sur une simulation de crise plutôt que sur une liste d'outils ou de certifications.

Vous recrutez un responsable CSIRT ou un lead réponse à incident ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le besoin avec vous, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques construits autour de votre poste. Découvrez notre méthode ou parlez-nous de votre besoin.