Un intervenant en réponse aux incidents est un professionnel de la cybersécurité qui enquête sur les violations de sécurité avérées et présumées, s'efforce d'en limiter l'impact et contribue à rétablir les systèmes et les données affectés dans un état de confiance. Ce rôle se situe à la frontière opérationnelle d'un programme de sécurité, là où les alertes, les anomalies et les signalements de compromission se transforment en enquêtes structurées. Les intervenants en réponse aux incidents travaillent généralement au sein d'une équipe de réponse aux incidents de sécurité informatique (CSIRT) ou dans le cadre d'un centre des opérations de sécurité (SOC), et ce sont souvent eux qui déterminent si un événement est une fausse alerte, une infraction mineure à la politique de sécurité ou une intrusion grave qui exige une action organisée à l'échelle de toute l'entreprise.
Au quotidien, le travail suit un cycle de vie traditionnellement décrit comme la préparation, la détection et l'analyse, le confinement, l'éradication et la récupération, suivis des enseignements tirés ; les recommandations actuelles du NIST (SP 800-61 Rev. 3) structurent plutôt la réponse aux incidents autour de la détection, de la réponse et de la récupération, soutenues par les fonctions de gouvernance, d'identification et de protection ainsi que par une amélioration continue. En pratique, cela signifie trier les alertes, évaluer jusqu'où un intrus est parvenu, reconstituer une chronologie des événements à partir des journaux et des données des hôtes, et coordonner les étapes qui coupent l'accès d'un attaquant et éliminent son point d'ancrage. Les intervenants documentent soigneusement leurs constats, car leurs conclusions orientent les décisions de la direction, des conseillers juridiques et parfois des forces de l'ordre. Une grande partie du rôle relève de la communication : rédiger des points de situation clairs pendant un événement en cours, informer des parties prenantes qui ne sont pas techniques et produire un rapport post-incident qui explique ce qui s'est passé et comment éviter que cela se reproduise. Le poste peut impliquer des rotations d'astreinte et des périodes de forte pression, car les incidents ne respectent pas les heures de bureau.
Le rôle exige une compréhension large et pratique du fonctionnement des systèmes et des réseaux, car les intervenants doivent reconnaître quand quelque chose s'écarte de la normale. Les connaissances utiles comprennent le fonctionnement interne des systèmes d'exploitation, les réseaux, la journalisation et la télémétrie, l'authentification, ainsi que les classes courantes de comportements d'attaquants décrites dans des référentiels tels que MITRE ATT&CK. Tout aussi importantes sont les habitudes rigoureuses : une prise de notes méthodique, un bon jugement face à l'incertitude et la capacité de préserver les preuves pour que l'analyse ultérieure résiste à l'examen. De nombreux intervenants possèdent des certifications telles que GIAC Certified Incident Handler ou CompTIA CySA+, bien qu'une expérience pratique démontrée tende à compter le plus. Un intervenant s'appuie sur les spécialistes plus pointus qui l'entourent tout en s'en distinguant : là où un analyste en criminalistique numérique procède à un examen minutieux au niveau des artefacts et où un rétro-ingénieur de logiciels malveillants décortique le code malveillant, l'intervenant en réponse aux incidents pilote l'enquête globale et les décisions qui mènent à la clôture d'un événement.
On accède généralement à la réponse aux incidents à partir d'un poste d'analyste des opérations de sécurité, d'un parcours en administration système ou réseau, ou d'une trajectoire au support technique qui a forgé de solides réflexes de dépannage. Les premières responsabilités sont centrées sur le tri des alertes et le soutien aux intervenants seniors ; avec l'expérience, un intervenant prend la tête d'enquêtes complexes, encadre les équipes juniors et façonne les playbooks et la logique de détection. L'évolution mène souvent vers la chasse aux menaces, l'ingénierie de détection ou une spécialisation en criminalistique ou en rétro-ingénierie, et la voie managériale conduit vers un responsable criminalistique ou un responsable de CSIRT qui prend en charge l'état de préparation, les effectifs et la coordination avec l'ensemble de l'entreprise. Parce que ce rôle touche à la détection, à la criminalistique, aux procédures juridiques et à la communication avec les dirigeants, il offre une exposition exceptionnellement large au fonctionnement réel d'un programme de sécurité, ce qui en fait un excellent point d'observation pour une longue carrière dans la sécurité défensive.