Définition métier
Détecter un incident de sécurité, c'est d'abord savoir où regarder : journaux systèmes, alertes du SIEM, comportements anormaux remontés par l'EDR ou signalés par les utilisateurs. Vient ensuite l'étape décisive, la qualification : distinguer le faux positif du vrai signal, estimer la gravité, décider s'il faut escalader. Se tromper dans un sens fait perdre du temps à toute l'équipe ; se tromper dans l'autre laisse une attaque progresser.
Le traitement obéit à une méthode : contenir sans détruire les traces, appliquer les premières mesures — isoler un poste, désactiver un compte, bloquer un flux —, alerter les bonnes personnes, puis documenter chaque action avec son horodatage. Le rapport d'incident n'est pas une formalité : il alimente le retour d'expérience, améliore les règles de détection et peut servir de pièce en cas de suites juridiques ou assurantielles. C'est cette discipline qui fait la valeur de l'administrateur dans un SOC, une ESN spécialisée en cybersécurité ou la DSI d'un grand compte.
À quel bloc de compétences appartient-elle ?
Titre professionnel : Administrateur d'Infrastructures Sécurisées (RNCP37680 ↗)
Bloc de compétences : RNCP37680BC03 — Participer à la gestion de la cybersécurité
La validation de ce bloc (CCP) peut être obtenue dans le cadre du titre complet ou par capitalisation progressive, y compris en VAE.
Cas d'usage concrets en situation professionnelle
- Trier et qualifier les alertes remontées par le SIEM ou l'EDR : faux positif ou véritable incident.
- Appliquer les premières mesures de confinement : isoler un poste, désactiver un compte compromis, bloquer une adresse source.
- Reconstituer la chronologie d'un incident à partir des journaux systèmes et réseau.
- Rédiger le rapport d'incident : faits, actions menées, impacts, recommandations.
- Alimenter le retour d'expérience : nouvelles règles de détection, mise à jour des fiches réflexes.
Ce que l'apprenant doit maîtriser
Savoirs
- Typologie des attaques courantes : hameçonnage, rançongiciel, compromission de compte, déni de service.
- Cycle de traitement d'un incident : détection, qualification, confinement, éradication, retour d'expérience.
- Organisation d'un SOC et niveaux d'escalade entre techniciens, analystes et RSSI.
Savoir-faire
- Analyser journaux et alertes (SIEM, EDR) pour qualifier un incident et écarter les faux positifs.
- Appliquer les premières mesures de confinement sans détruire les traces utiles à l'analyse.
- Documenter l'incident en temps réel : chronologie, actions, impacts, décisions.
Savoir-être
- Sang-froid : un incident se traite avec méthode, pas dans la panique.
- Communication claire : alerter les bonnes personnes, au bon moment, avec les bons mots.
- Transparence : rendre compte de ce qu'on a vu et de ce qu'on a fait, y compris de ses erreurs.
Outils et environnements
- SIEM et collecte centralisée de journaux : Wazuh, Splunk ou équivalents.
- EDR et solutions de protection des postes de travail et des serveurs.
- Journaux systèmes et réseau : observateur d'événements Windows, syslog, journaux de pare-feu.
Livrables attendus
- Rapport d'incident avec chronologie détaillée et recommandations.
- Fiches réflexes de réponse aux incidents les plus courants.
- Propositions d'amélioration des règles de détection issues du retour d'expérience.
Comment cette compétence est travaillée en formation
- Scénarios d'incident rejoués dans le lab cybersécurité dédié : de l'alerte SIEM au rapport final, en conditions réalistes.
- Exercices de qualification d'alertes en groupe de 10 à 12, en présentiel : vrai incident ou faux positif, et pourquoi.
- Ateliers de rédaction : rapport d'incident, fiche réflexe, communication d'alerte à un responsable.
- Période en entreprise de 300 heures, souvent au contact direct des équipes d'exploitation ou de sécurité.
- Préparation du dossier professionnel à partir des incidents traités ou observés pendant la formation.
Exemple concret en situation professionnelle
Mardi, 14 h 40, dans l'open space technique d'un hébergeur. Le SIEM remonte une alerte : des connexions échouent en rafale sur un compte administrateur depuis une adresse inconnue. Sofiane qualifie l'alerte en quelques minutes — ce n'est pas un oubli de mot de passe, le rythme des tentatives trahit un outil automatisé. Il isole le compte, bloque l'adresse source au pare-feu et prévient son responsable avant d'aller plus loin. Dans l'heure, il consigne la chronologie complète dans le rapport d'incident : détection, actions, décisions, heure par heure. Le lendemain, son analyse sert de base à une nouvelle règle de détection.
Cette compétence est utile pour…
- Réussir les mises en situation du CCP 3 lors de la session d'examen du titre AIS (RNCP37680).
- Les candidats qui visent un poste en SOC ou en ESN spécialisée en cybersécurité.
- Les techniciens d'exploitation (TSSR validé ou équivalent) qui veulent ajouter la réponse à incident à leur palette.
- Les adultes en reconversion attirés par un quotidien d'analyse, de méthode et de gestion de situations sensibles.
À ne pas confondre avec…
Traiter un incident de sécurité n'est pas dépanner une panne : une panne est un dysfonctionnement, un incident de sécurité implique une menace, des traces à préserver et une communication maîtrisée. À ne pas confondre non plus avec l'investigation forensique approfondie, qui relève d'experts spécialisés mobilisés sur les cas les plus graves — l'administrateur en prépare le terrain en protégeant les preuves.
Métiers et débouchés liés
- Administrateur d'infrastructures sécurisées
- Analyste SOC
- Technicien de réponse à incident
- Administrateur systèmes et réseaux orienté sécurité
- Analyste cybersécurité junior
Compétences liées
Questions fréquentes
Quelle différence entre une alerte et un incident ?
Une alerte est un signal automatique, parfois un faux positif. Elle devient un incident quand l'analyse confirme un impact réel ou probable sur la sécurité : cette qualification est le cœur de la compétence.
Peut-on travailler en SOC après la formation ?
C'est un débouché possible : les SOC et les ESN spécialisées en cybersécurité font partie des employeurs types du titre, aux côtés des DSI de grands comptes, des banques, des hébergeurs et des administrations.
Apprend-on à gérer une vraie attaque ?
Oui, en conditions simulées : le lab cybersécurité dédié de l'IFPA Poitiers permet de rejouer des scénarios d'incident réalistes, de la détection au rapport final, sans aucun risque pour un système en production.
Faut-il être disponible la nuit et le week-end ?
Cela dépend du poste. Certains environnements, comme les SOC, fonctionnent en horaires étendus ou avec des astreintes ; d'autres, comme une DSI classique, restent sur des horaires de bureau.
Que faire en premier face à un incident ?
Garder son sang-froid, qualifier l'alerte, limiter la propagation et prévenir les bonnes personnes. La pire réaction est d'improviser ou d'effacer des traces utiles à l'analyse.
Développer cette compétence avec IFPA Poitiers
Cette compétence fait partie du titre professionnel Administrateur d'Infrastructures Sécurisées (RNCP37680). À l'IFPA Poitiers, elle est travaillée à travers des situations concrètes, des ateliers, des projets et un accompagnement pédagogique individualisé — en présentiel, en groupe de 10 à 12 apprenants.