Missions principales
- Qualifier la nature, la gravité et le périmètre probable d’un incident.
- Préserver les éléments utiles à l’investigation.
- Proposer puis coordonner confinement, éradication et reprise.
- Produire un retour d’expérience avec des actions suivies.
Une journée type, sans scénario artificiel
Il n’existe pas de journée universelle. Cette séquence montre les activités qui peuvent s’enchaîner, pas un emploi du temps garanti.
- Recevoir un signalement et identifier les décideurs et propriétaires techniques.
- Collecter des traces en limitant les modifications du système.
- Tester plusieurs hypothèses et mettre à jour la chronologie.
- Préparer un point de situation compréhensible par les équipes techniques et la direction.
Livrables attendus
Contraintes à connaître
- Les informations initiales sont souvent incomplètes ou contradictoires.
- Des horaires étendus et des astreintes peuvent exister.
- Une restauration rapide peut entrer en tension avec la préservation des traces.
Repère de rémunération en France
L’Apec indique pour la famille large « ingénieur sécurité informatique » que 80 % des rémunérations annuelles brutes, fixe et variable, proposées dans les offres étudiées se situent entre 37 k€ et 60 k€, avec une moyenne de 48 k€.
Compétences à construire
- Systèmes et réseau
- Investigation numérique
- Scripting
- Communication de crise
- Gestion des preuves
Le NICE Framework du NIST peut aider à relier activités, connaissances et compétences. Il sert de grille de lecture, pas de programme à mémoriser.
Un parcours d’entrée réaliste
- Étudier des journaux issus d’un scénario connu.
- Apprendre les mécanismes de persistance et d’authentification sans collecter des outils au hasard.
- Rédiger un plan de réponse avec rôles et critères de décision.
- Participer à un exercice sur table avec un scénario borné.
Projet exploratoire
Utilise un jeu de journaux pédagogique et reconstruis l’activité dans une frise. Ajoute, pour chaque conclusion, la trace qui l’étaye et les données qui manquent encore.
Ce projet ne prouve pas une expérience professionnelle. Il permet de vérifier ton intérêt pour l’activité et de montrer une méthode explicite.
Lectures reliées au métier
Questions fréquentes
La réponse à incident est-elle uniquement technique ?
Non. Elle exige aussi de coordonner, prioriser, expliquer et documenter des décisions qui affectent l’activité.
Faut-il commencer par la forensic ?
La forensic est utile, mais le socle système, réseau, identité et journalisation vient d’abord. La réponse à incident couvre un périmètre plus large que l’analyse d’un disque.
Peut-on pratiquer seul ?
Oui sur des jeux de traces et exercices publics. La coordination réelle se travaille mieux en équipe ou lors d’exercices sur table.