CSIRT as a Service et Rapid Response

CSIRT Services – votre équipe Incident Response

Les incidents de sécurité graves ne peuvent jamais être complètement exclus. 

D’où l’importance de réagir rapidement pour stopper l’attaque. Les infrastructures IT complexes et le manque de spécialistes en sécurité IT compliquent la mise en place d’une équipe interne de Cybersecurity Incident Response (CSIRT) et entravent ainsi une cyberdéfense efficace.

Équipe Incident Response pour gérer les cyberattaques

Toutes les entreprises ne disposent pas du savoir-faire ni des spécialistes requis pour se doter d’une équipe Incident Response en interne. C’est là toute l’utilité de nos services CSIRT as a Service et Rapid Response.

Même si la réactivité et la sécurité opérationnelle sont essentielles en cas d’attaque majeure, l’incident lui-même n’est pas la seule conséquence d’une cyberattaque. Il faut parfois annoncer une fuite de données aux clients. Mais aussi porter plainte contre les hackers, ce qui nécessite une expertise scientifique de l’attaque pour recueillir des preuves.

L’appel est gratuit. Nous facturons les interventions au forfait et au temps passé. Cette offre s’adresse exclusivement aux entreprises basées en Suisse.

Dans quel cas est-ce la bonne solution?

La poursuite de l’activité est un aspect essentiel quand il s’agit de réagir à une cyberattaque fructueuse. En dépit de la pression des coûts et du manque de personnel qualifié, vous devez garantir une réponse appropriée aux incidents. Le sourcing de services de sécurité IT constitue une option pour vous.

Il n’est pas rentable de créer votre propre équipe CSIRT, qui va travailler 24 heures sur 24 pour couvrir l’ensemble du processus d’Incident Response. Vous devez néanmoins garantir le niveau de sécurité défini et assurer la continuité de l’activité en cas de cyberattaque. Dans le même temps, l’infrastructure gagne en complexité avec des solutions hybrides et multicloud. Une cyberdéfense efficace induit donc des exigences accrues.

Vos avantages:

  • Services CSIRT professionnels à un coût maîtrisé
  • Équipe Incident Response avec de vrais spécialistes
  • Assistance pour les démarches juridiques et en cas d’obligation d’information

CSIRT as a Service

Les services en détail

CSIRT as a Service (CSIRTaaS) est un service impliquant au préalable un processus d’onboarding et l’établissement d’un contrat. En revanche, il n’y a pas de contrat avec Rapid Response. Les interventions ont lieu cas par cas, selon les besoins.

  • Gestion de bout en bout, 24 h/24 et 7 j/7, de l’incident de sécurité conformément au processus défini par Swisscom
  • Intervention à distance ou sur site
  • Rapport final pour documenter l’incident et les mesures déployées
  • Analyse approfondie et conservation des preuves (expertise) pour les procédures juridiques (option)
  • Réaction garantie selon le SLA
  • Temps de réaction court grâce à l’onboarding préalable
  • Coût: mensuel avec facturation au temps passé et du matériel à chaque intervention
  • Gestion de bout en bout, 24 h/24 et 7 j/7, de l’incident de sécurité conformément au processus défini par Swisscom
  • Intervention à distance ou sur site
  • Rapport final pour documenter l’incident et les mesures déployées
  • Analyse approfondie et conservation des preuves (expertise) pour les procédures juridiques (option)
  • Réaction la plus rapide possible
  • Temps de réaction plus long qu’avec CSIRT as a service du fait de l’onboarding au moment de l’intervention
  • Coût: forfait d’intervention avec facturation au temps passé et du matériel à chaque intervention  

CSIRT: un élément de notre portefeuille TDR

CSIRT as a Service et Rapid Response complètent, dans un format modulaire, les missions analytiques de Security Analytics et de SOC as a service.

CSIRT als Bestandteil

Pourquoi avec Swisscom?

Expérience

Nous protégeons notre propre infrastructure et celle de nos clients.

Basé en Suisse

Nous fournissons tous nos services depuis un centre de cyberdéfense en Suisse.

Vision sectorielle

Nous mettons à profit notre expérience du secteur dans l’Incident Response.

Questions fréquentes: cyberattaques sur les grandes entreprises

Suite à un incident, l'intervention s'effectue en plusieurs phases, basées en principe sur le processus de gestion des incidents du NIST:

  • Identification: avoir une vue d’ensemble de l’incident de sécurité, définir l’objectif de l’intervention
  • Assessment: analyse de l’incident et recommandation de mesures concrètes à mettre en place immédiatement
  • Containment: préservation des preuves, définition du vecteur d’attaque, maîtrise de l’attaque
  • Eradication: résolution de l’incident de sécurité et "nettoyage" des systèmes
  • Recovery: rétablissement de l’état pré-incident, test et surveillance du comportement des systèmes
  • Lessons Learned: débriefing, rapport et recommandations de mesures concrètes

Pour en savoir plus, consultez le white paper CSIRT.

Gérer des incidents de sécurité IT avec efficacité requiert une parfaite coordination entre le Security Operations Center (SOC) et la CSIRT. Le SOC surveille l’infrastructure et les applications afin de détecter au plus tôt les incidents de sécurité (Security Monitoring, Security Analytics et Security Alert Handling), tandis que la Cybersecurity Incident Response Team (CSIRT) agit comme force d’intervention rapide, telle des pompiers de l'IT: elle traite les événements complexes et prend des mesures pour contrer les menaces et assurer la résolution de l'incident. Ensemble, ces deux équipes permettent de réagir rapidement aux cyberattaques et d'en limiter les conséquences.

Face à la pénurie de spécialistes et aux tâches complexes et exigeantes que requiert une CSIRT, externaliser ce service est souvent le bon choix. Les prestataires externes sont, eux, en mesure de gérer les incidents de sécurité de bout en bout et 7×24 h. En s’appuyant sur des experts en cybersécurité dotés d’une solide expérience basée sur de nombreux incidents dans de multiples entreprises et secteurs d'activité, les prestataires peuvent garantir une réponse efficace aux incidents de sécurité.

Le mode de communication dépend du type d’incident et de l’entreprise concernée. Il est défini au début de chaque intervention. Si l’infrastructure du client est compromise, il est recommandé de basculer sur des appareils et comptes e-mail privés ainsi que sur téléphone. Sinon, selon les préférences du client, la communication se fait par e-mail, Microsoft Teams ou SwissTrustRoom.

L’entreprise est d’abord mise en contact avec notre Operation Control Center, disponible 7×24 h. Les principales informations y sont collectées et une première évaluation est réalisée afin de déterminer s’il s’agit d’un incident de cybersécurité confirmé. La CSIRT est ensuite informée et rappelle le client dès que possible.

En savoir plus

Article

Nos experts se feront un plaisir de répondre à vos questions. N’hésitez pas à nous contacter.