Product Security Incident Response Team (PSIRT, littéralement « équipe de réponse aux incidents de sécurité des produits ») est une entité organisationnelle dont la mission centrale est l'identification, l'évaluation et le traitement des risques liés aux vulnérabilités de sécurité affectant les produits, offres, solutions, composants et services qu'une organisation développe ou commercialise.
Définition et périmètre
Une PSIRT se distingue d'une CSIRT par son objet : là où la CSIRT protège l'infrastructure interne d'une organisation (réseaux, systèmes d'information), la PSIRT se concentre sur les vulnérabilités présentes dans les produits que l'organisation met sur le marché. Les deux équipes sont néanmoins complémentaires et partagent des méthodes et des outils communs.
Le périmètre d'une PSIRT couvre typiquement les logiciels et micrologiciels (firmware) embarqués dans des produits, les composants matériels connectés (objets connectés, systèmes industriels, etc.), les bibliothèques open source ou tierces intégrées dans ces produits, ainsi que les services associés (API, plateformes cloud liées aux produits).
Historique
L'émergence des PSIRT est directement liée à la multiplication des vulnérabilités découvertes dans les produits technologiques grand public et industriels à partir des années 2000. Le Forum of Incident Response and Security Teams (FIRST), organisation internationale de référence dans le domaine de la réponse aux incidents, a initié en 2013 la création d'un cadre de services dédié aux CSIRT, avant d'élaborer, sous l'impulsion de la communauté de la sécurité produit, un référentiel spécifique aux PSIRT : le PSIRT Services Framework.
Parmi les pionniers, Ericsson a créé son PSIRT en 2004, obtenant dès 2005 une accréditation de Trusted Introducer (réseau GÉANT/TF-CSIRT). Cisco, qui revendique plus de trente ans d'expérience en la matière, est fréquemment cité comme exemple de référence dans la mise en œuvre d'une PSIRT mature.
Fonctions et processus
Réception et qualification des signalements
La PSIRT constitue le point de contact officiel pour tout signalement de vulnérabilité, qu'il provienne de chercheurs en sécurité indépendants, de clients, d'organismes gouvernementaux ou de partenaires industriels. Elle met en place un canal sécurisé de réception, par exemple un formulaire en ligne, une adresse de messagerie chiffrée par PGP, ou un programme de divulgation coordonnée.
Triage et évaluation
Une fois un signalement reçu, la PSIRT effectue une opération de triage visant à reproduire la vulnérabilité dans un environnement sécurisé et isolé, à évaluer sa criticité à l'aide de systèmes de scoring standardisés — notamment le Common Vulnerability Scoring System (CVSS) et, de façon complémentaire, l'Exploit Prediction Scoring System (EPSS) —, à identifier les produits et versions concernés, et à estimer l'impact pour les utilisateurs finaux.
Coordination et remédiation
Après confirmation de la vulnérabilité, la PSIRT coordonne la réponse en faisant intervenir les équipes internes compétentes (développement, qualité, juridique, communication). Un plan de remédiation est établi, assorti d'une estimation de délai communiquée au déclarant. La correction peut prendre la forme d'un correctif logiciel (patch), d'une mise à jour du micrologiciel, d'une mesure de contournement, ou d'une note de sécurité.
Divulgation coordonnée
La PSIRT applique le principe de divulgation coordonnée des vulnérabilités (en anglais Coordinated Vulnerability Disclosure, CVD) : les informations relatives à une vulnérabilité ne sont rendues publiques qu'une fois le correctif disponible ou, à défaut, à l'expiration d'un délai raisonnable convenu avec le déclarant. Cette pratique est encadrée par la norme internationale ISO/IEC 29147 (divulgation des vulnérabilités) et la norme ISO/IEC 30111 (processus de traitement des vulnérabilités).
À l'issue du processus, un avis de sécurité (Security Advisory) est publié. Ce document comprend généralement un identifiant CVE, le score CVSS, la liste des produits affectés, les mesures correctives disponibles et, le cas échéant, les remerciements adressés au déclarant.
Modèles organisationnels
Le PSIRT Services Framework du FIRST identifie trois modèles principaux.
Le modèle centralisé repose sur une équipe dédiée à temps plein qui gère l'ensemble des vulnérabilités pour toute l'organisation. Le modèle distribué s'appuie sur une petite équipe centrale chargée de définir les politiques et les procédures, tandis que des référents sécurité au sein des équipes produits assurent la remédiation. Le modèle hybride combine les deux précédents et convient particulièrement aux grandes organisations disposant d'un portefeuille de produits diversifié.
Dans les petites et moyennes entreprises, la PSIRT peut être constituée d'un noyau restreint d'employés permanents, complété par des collaborateurs d'autres services mobilisables en cas d'incident.
Maturité et évolution
La maturité d'une PSIRT s'apprécie selon son passage d'un mode réactif (traitement au cas par cas) à un mode proactif (anticipation, veille, intégration de la sécurité dès la conception). Le FIRST propose un document de maturité PSIRT articulé en plusieurs niveaux progressifs, allant de la mise en place des processus de base jusqu'à la participation active à l'écosystème mondial de la sécurité, par exemple le partage d'informations intersectoriel, l'adhésion au FIRST ou l'utilisation du Traffic Light Protocol.
PSIRT et réglementation
Cyber Resilience Act
Le Cyber Resilience Act (CRA), règlement européen sur la cyber-résilience entré en vigueur en 2024, impose aux fabricants de « produits comportant des éléments numériques » commercialisés sur le marché de l'Union européenne un ensemble d'obligations en matière de gestion des vulnérabilités.
Parmi les obligations les plus structurantes figure le signalement de toute vulnérabilité activement exploitée à l'ENISA et aux CSIRT nationaux dans un délai de 24 heures après sa découverte, suivi d'une notification détaillée sous 72 heures et d'un rapport complet dans les 14 jours suivant la mise à disposition d'une mesure corrective. Les fabricants doivent également mettre en place un processus de divulgation coordonnée accessible aux chercheurs en sécurité et tenir à jour une liste des composants logiciels (Software Bill of Materials, SBOM).
Ces obligations rendent la mise en place d'une capacité équivalente à une PSIRT de facto nécessaire pour tout fabricant souhaitant commercialiser ses produits sur le marché européen.
Normes et standards associés
ISO/IEC 29147 : divulgation des vulnérabilités (Vulnerability Disclosure) ISO/IEC 30111 : processus de traitement des vulnérabilités (Vulnerability Handling Processes) CVSS (FIRST) : système de score de sévérité des vulnérabilités EPSS (FIRST) : estimation de la probabilité d'exploitation d'une vulnérabilité IEC 62443-4-1 : cycle de développement sécurisé pour systèmes industriels
Exemples de PSIRT notables
Plusieurs grandes organisations technologiques disposent de PSIRT publiquement documentées et reconnues dans l'industrie. La Cisco PSIRT, l'une des plus anciennes, est la seule entité autorisée au sein de Cisco à divulguer des informations sur les vulnérabilités affectant ses produits. L'IBM PSIRT constitue le point de contact centralisé pour les chercheurs, clients et organismes gouvernementaux souhaitant signaler des vulnérabilités dans les produits IBM. L'Ericsson PSIRT, membre du FIRST depuis 2006, est également autorité de numérotation CVE (CVE Numbering Authority, CNA).
Voir aussi
Articles connexes Computer Security Incident Response Team (CSIRT) Common Vulnerabilities and Exposures (CVE) Common Vulnerability Scoring System (CVSS)
Liens externes
Référentiels internationaux
Réglementation européenne
Autorités nationales et européennes
Ressources francophones
Notes et références
Catégorie:Sécurité des systèmes d'information