CERT : Computer Emergency Response Team
Sécurité
CERT : Computer Emergency Response Team. « Équipe d'intervention d'urgence informatique », par analogie avec la caserne de pompiers qui part dès que l'alarme sonne. Elle surveille les menaces, alerte et coordonne la réponse quand un incident de sécurité éclate.
Origine : Le premier CERT naît en 1988 à l'université Carnegie Mellon, juste après le ver Morris qui a mis à genoux une bonne partie de l'Internet de l'époque. Le nom est devenu une marque déposée : une équipe qui l'affiche doit en avoir obtenu l'autorisation.
Missions : Veille sur les vulnérabilités, publication d'avis et d'alertes, coordination entre éditeurs et victimes, appui à la réponse à incident puis analyse après coup. Le périmètre varie : national (CERT-FR), sectoriel ou interne à une entreprise.
CERT ou CSIRT : CSIRT (Computer Security Incident Response Team) désigne la même fonction sans contrainte de marque, d'où son usage dans les textes européens. Dans la pratique, les deux termes s'emploient l'un pour l'autre.
Avis et alertes : Un bulletin indique les produits touchés, la gravité et les correctifs ou contournements disponibles. Vingt ans de métier apprennent que l'avis critique publié un vendredi soir est lu le lundi matin, en général juste après le premier scan automatisé venu le tester.
Ce qui arrive si on s'en passe
Sans CERT, aucune équipe n'a pour mission de surveiller les menaces. Les avis de vulnérabilité publiés et les indicateurs de compromission partagés n'arrivent à personne chargé de les rapprocher des systèmes exposés, et le temps entre l'annonce publique d'une faille et sa correction s'allonge d'autant. Quand un incident éclate, l'alarme sonne mais aucune caserne ne part : personne n'a le mandat de qualifier l'événement, d'isoler les machines touchées ni d'alerter les équipes concernées. L'attaquant garde donc son accès pendant que chacun découvre le problème de son côté. Faute de coordination, les traces utiles (journaux, images disque, chronologie) sont écrasées ou dispersées avant d'être collectées. L'analyse manque alors de matière, la reprise prend du retard et il devient impossible d'établir avec certitude ce qui a été atteint.
Explication de la marmotte
Il faut imaginer une caserne de pompiers, mais pour les ordinateurs. Quand une entreprise, une administration ou même un pays se fait attaquer par des pirates, ou découvre un défaut dangereux dans un logiciel, une équipe spécialisée intervient. Elle aide à éteindre l'incendie : comprendre ce qui s'est passé, bloquer l'attaque, réparer les dégâts. Entre deux interventions, elle surveille les nouvelles menaces et prévient tout le monde, un peu comme un bulletin météo qui annonce une tempête pour qu'on ferme les volets à temps. Elle sert aussi de point de contact : quand quelqu'un repère un problème, il sait à qui le signaler.
Où ce terme est utilisé
- CCN-CERT Espagne : rôle, guides CCN-STIC et ENS (4 occurrences)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (4 occurrences)
- JPCERT/CC rôle, outils malware et usage opérationnel (3 occurrences)
- Monter un CSIRT interne, missions, services FIRST et rattachement (3 occurrences)
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition (3 occurrences)
- Rôle de FIRST et mise en œuvre du TLP (1 occurrence)
- SOC centre des opérations de sécurité : rôle, organisation, mesure (1 occurrence)