Un responsable CTI, ou responsable du renseignement sur les cybermenaces, dirige la fonction chargée de comprendre les adversaires, les campagnes et les techniques qui menacent une organisation. Le rôle se situe au point où l'analyse rencontre le management. Plutôt que de produire lui-même l'essentiel du renseignement, le responsable définit l'orientation du programme, précise ce que l'équipe collecte et pourquoi, et veille à ce que les enseignements obtenus parviennent aux personnes capables d'agir. Ce poste est important car le renseignement sur les menaces n'a de valeur que lorsqu'il est priorisé, fiable et relié aux décisions, et ce lien se fait rarement sans quelqu'un de responsable de l'ensemble de la chaîne, du besoin jusqu'à la diffusion.
Au quotidien, le travail mêle gestion de programme, contrôle de la qualité analytique et communication. Un responsable CTI définit les besoins prioritaires en renseignement avec des parties prenantes telles que le SOC, la réponse à incident, la gestion des vulnérabilités et la direction générale, puis organise la collecte et l'analyse de l'équipe en fonction de ces besoins. Il relit les produits finis pour en vérifier l'exactitude et la clarté, gère les relations avec les fournisseurs de renseignement et les communautés de partage d'information, et supervise les plateformes et les flux dont l'équipe dépend. Une grande partie du rôle consiste à informer les autres, d'une mise à jour tactique pour les défenseurs à une évaluation stratégique pour les dirigeants ou le conseil d'administration, et à adapter le message pour que chaque public comprenne ce qu'une menace donnée signifie pour lui. La gestion du budget, le recrutement, l'accompagnement des analystes et la mesure de l'impact réel du programme sur la réduction du risque complètent les responsabilités.
Le rôle exige une base solide en analyse de renseignement, associée au discernement nécessaire pour encadrer des personnes et représenter la fonction auprès de l'ensemble de l'entreprise. Les bons candidats maîtrisent le cycle du renseignement, les référentiels courants sur les adversaires comme MITRE ATT&CK, et la façon dont le renseignement tactique, opérationnel et stratégique diffère par sa finalité et son public. Les compétences plus relationnelles sont tout aussi importantes : écrire clairement, gérer des priorités concurrentes et s'adresser avec crédibilité aussi bien à des ingénieurs qu'à des dirigeants. Une connaissance pratique des opérations de sécurité, de la réponse à incident et de la posture de risque propre à l'organisation aide le responsable à garder le programme ancré dans les besoins de l'entreprise plutôt que dans une activité de menace intéressante mais sans pertinence.
La plupart des personnes accèdent à ce rôle après plusieurs années comme analyste du renseignement sur les menaces ou dans une discipline étroitement liée comme la réponse à incident ou les opérations de sécurité, où elles développent les réflexes analytiques et la connaissance du domaine dont dépend le poste. La progression passe généralement par la prise en charge d'un domaine de collecte, la conduite de projets et l'accompagnement progressif d'analystes plus juniors avant d'encadrer formellement une équipe. À partir du poste de responsable CTI, les trajectoires courantes incluent un rôle de direction au niveau d'une organisation plus large de renseignement ou de détection, une évolution vers la gestion globale d'un programme de sécurité, ou une voie spécialisée comme analyste principal ou conseiller pour les organisations qui privilégient une expertise pointue plutôt que le management d'équipe.
Le responsable CTI se situe par rapport aux rôles voisins comme la personne qui dirige et intègre leur travail plutôt que de le dupliquer. Les analystes du renseignement sur les menaces et les analystes stratégiques de la menace produisent les évaluations tactiques et stratégiques que le responsable priorise et contrôle, les chercheurs en menaces apportent l'investigation technique approfondie sur les logiciels malveillants et l'outillage des adversaires, et les analystes du dark web contribuent par une collecte spécialisée issue de sources fermées et criminelles. La contribution distincte du responsable est l'orchestration et la responsabilité : décider ce sur quoi la fonction doit se concentrer, s'assurer que la production est solide et fournie en temps voulu, et faire en sorte que le renseignement change ce que l'organisation fait réellement pour se défendre.