Enquête · Technique · Analyse ✳ mise à jour le 8 septembre 2026

Analyste réponse à incident (CERT)

Aussi appelé : Analyste CERT, Analyste CSIRT, Incident responder, Analyste DFIR (investigation numérique et réponse à incident), Analyste SOC niveau 3 (poste frontière), Intervenant en gestion de crise cyber.

Quand une organisation est attaquée, c'est lui qui reconstitue ce qui s'est passé, stoppe l'attaquant et remet le système en état, sous pression et avec méthode.

Ce que fait vraiment un analyste réponse à incident (cert)

• Qualifier une alerte ou un signalement : incident réel ou faux positif, gravité, périmètre
• Collecter les preuves sans les altérer : journaux, images disque, mémoire, traces réseau
• Analyser les traces : chronologie de l'intrusion, point d'entrée, déplacements dans le réseau, données exfiltrées
• Contenir : isoler des machines, révoquer des accès, bloquer des indicateurs de compromission
• Éradiquer et accompagner la reconstruction : nettoyage, restauration, durcissement
• Rédiger le rapport d'incident et les recommandations, parfois pour les assureurs ou les autorités
• Maintenir la veille sur les menaces et les outils d'investigation
• Hors incident : préparer les procédures, tester les scénarios, former les équipes

Journée type

Jour d'astreinte. 7 h 45 : appel d'un client, chiffrement en cours sur plusieurs serveurs. 8 h : cellule de crise ouverte, consignes données à la DSI : isoler, ne pas éteindre, préserver les journaux. 9 h 30 : collecte des artefacts à distance, premières hypothèses sur le point d'entrée (accès VPN sans MFA). 12 h : point avec le dirigeant, le juriste et l'assureur ; décision de notifier. 14 h : construction de la chronologie, identification du compte compromis et des sauvegardes intactes. 17 h : rapport d'étape, plan de reconstruction pour le lendemain. Une journée sans incident : rédaction, automatisation, tests de scénarios.

Faut-il savoir coder ?

Oui, au moins pour scripter : Python, PowerShell et Bash servent à trier des volumes énormes de journaux, à automatiser des collectes et à décoder des artefacts. Il faut aussi savoir lire du code malveillant à un niveau élémentaire. Le développement applicatif n'est pas nécessaire.

Les profils qui réussissent

Les analystes SOC qui ont deux ou trois ans de tri d'alertes et veulent passer à l'investigation. Les administrateurs systèmes et réseau : ils savent à quoi ressemble un système sain, donc repèrent l'anomalie. Les anciens enquêteurs, gendarmes, policiers ou experts judiciaires : logique de preuve, chaîne de conservation, rédaction de procès-verbal, sang-froid. Les profils issus des urgences ou de la gestion de crise (santé, industrie, sécurité civile) pour la tenue sous pression. Traits utiles : calme, méthode, ténacité, honnêteté sur ce qu'on ne sait pas encore, capacité à documenter en temps réel. Pas d'accès direct pour un grand débutant : le poste vient après un socle technique.

Compétences transférables

• Administration système Windows et Linux, réseau : connaissance du fonctionnement normal
• Logique d'enquête : hypothèses, preuves, chronologie, chaîne de conservation (police, gendarmerie, justice, journalisme d'investigation)
• Gestion de crise et tenue sous pression (urgences, industrie, forces de sécurité)
• Rédaction factuelle et précise sous contrainte de temps
• Travail en équipe avec astreintes
• Analyse de données volumineuses (data, finance, contrôle)

Compétences à acquérir

• Investigation numérique : artefacts Windows et Linux, mémoire, journaux, reconstitution de chronologie
• Analyse réseau : capture, détection de canaux de commande et contrôle, exfiltration
• Outils : EDR, SIEM, outils d'investigation open source et commerciaux
• Tactiques des attaquants : cadre MITRE ATT&CK, rançongiciels, compromission Active Directory
• Bases d'analyse de logiciels malveillants et de scripts malveillants
• Procédures de réponse à incident et coordination avec la direction, les juristes, les assureurs et l'ANSSI le cas échéant

Voies d’accès et certifications

• Voie la plus courante : analyste SOC niveau 1 puis niveau 2, puis bascule vers une équipe CERT ou CSIRT
• Depuis l'administration système ou réseau : formation en investigation numérique, puis poste dans une équipe de réponse à incident
• Depuis les forces de sécurité ou la justice : passerelle vers les équipes d'investigation des cabinets ou des CERT
• Formation initiale : master ou mastère spécialisé cybersécurité avec option investigation, alternance dans un CERT ou un SOC
• Pour un grand débutant : compter deux à trois ans de socle technique (SOC ou administration) avant de viser le poste

Certifications utiles

GCIH et GCFA (GIAC / SANS) : références du domaine, coûteuses · CompTIA CySA+ (analyse défensive) · Blue Team Level 1 (BTL1), orientée pratique · eCIR (INE), orientée réponse à incident · OSCP, utile pour comprendre l'attaquant sans être nécessaire · Exercer chez un prestataire qualifié PRIS par l'ANSSI (réponse aux incidents) : qualification de l'entreprise, pas de l'individu

Salaire indicatif

Moyenne 57 000 € brut annuel pour l'intitulé analyste CSIRT (Glassdoor, janvier 2026, données déclaratives). Fourchettes par expérience relevées dans des fiches d'écoles (Jedha, Guardia), année non visible dans l'extrait : 40 000 à 48 000 € en junior, 50 000 à 65 000 € en confirmé, 65 000 à 80 000 € en senior.

Source ✳ Glassdoor, analyste CSIRT, janvier 2026 (données déclaratives) · lien

Repère indicatif, jamais une promesse. Les fourchettes varient selon la région, l’expérience et la source ; nous n’affichons que des chiffres dont la source est visible.

L’idée reçue

« C'est le métier le plus excitant de la cyber, on est toujours en crise. » Une part importante du temps se passe hors incident : à préparer des procédures, à automatiser des collectes, à rédiger des rapports, à faire de la veille. Et quand la crise arrive, elle ressemble moins à un film qu'à une enquête longue, documentée et fatigante.