Le point de coordination unique pour tout incident dépassant la capacité de traitement courant : liaison inter-administrations, communication de crise, et rapport à l'autorité de tutelle.
Reçoit les escalades du Tier 3, déclenche la réponse à incident national, coordonne avec les administrations et opérateurs concernés, et publie les bulletins d'alerte nationaux.
Chaque alerte suit ce chemin d'escalade : un signal capté en Tier 1 qui dépasse un seuil de confiance ou d'impact est transmis au niveau supérieur.
Ces disciplines ne sont pas propres à un seul tier : elles alimentent et outillent la chaîne de traitement dans son ensemble.
Collecte et diffusion d'indicateurs de compromission (IP, domaines, hashs) pour enrichir la détection.
Investigation numérique et réponse à incident — préservation de preuve, analyse post-mortem, remédiation.
Identification, priorisation et suivi de la remédiation des failles sur le périmètre surveillé.
Recherche active de compromissions non détectées par les règles automatiques existantes.
Corrélation des journaux (SIEM) et automatisation des réponses standard (SOAR) — Microsoft Sentinel.
Cartographie des techniques d'attaque détectées sur le référentiel mondial commun aux CERT.
Indicateur unique, recalculé en continu à partir des incidents critiques et actifs.
Suivi dédié des actifs gouvernementaux, financiers et énergétiques jugés prioritaires par département.
La pile réellement déployée pour ce pilote — pas une liste de souhaits.
Organisations surveillées, alertes et niveau de gravité le plus élevé enregistré dans les dernières 24 heures, par chef-lieu départemental.
Ce schéma décrit le modèle opérationnel visé pour le SOC/CERT-CG et la pile technologique effectivement déployée pour ce pilote. La maturité de chaque fonction (effectifs, astreinte 24/7, procédures formalisées) fait partie de la feuille de route de déploiement, pas un état déjà atteint pour l'ensemble du territoire.