Analyste CSIRT/réponse à incidents junior H/F

Cnam; Paris; On-site; EUR 38,000 - 50,000; Full time

Job summary

CNAM recrute un analyste CSIRT junior à Paris pour renforcer le service sécurité et piloter la gestion des incidents de niveau 2 et 3 selon le référentiel NIST SP 800-61 Rev. 3. Vous travaillerez avec le SOC et les équipes IT, en utilisant SIEM/EDR, et assurerez la traçabilité et le reporting.

Profil Bac+3 à Bac+5 en informatique, réseaux ou cybersécurité, anglais technique lu, et possibilité d'astreintes. Déplacements Paris/Angers selon site de rattachement; formation SecNumedu appréciée.

Qualifications

• Formation Bac+3 à Bac+5 en informatique, réseaux ou cybersécurité ou expérience équivalente.
• Formation labellisée SecNumedu (ANSSI) appréciée.
• Première expérience (stage, alternance, SOC niveau 1, support ou administration système) appréciée.
• Anglais technique lu indispensable.

Responsibilities

• Réceptionner et trier les alertes escaladées par le SOC, les utilisateurs ou les partenaires (CERT sectoriels, CERT-FR, fournisseurs).
• Qualifier l'incident ou requalifier les escalades du SOC selon périmètre, criticité et IoC.
• Escalader aux analystes confirmés selon la matrice de criticité.
• Collecter et préserver les preuves dans la chaîne de traçabilité.
• Analyser des journaux (SIEM, EDR, proxy, messagerie, annuaire).
• Réaliser des analyses de premier niveau: en-têtes de courriels, URL, fichiers suspects.
• Rattacher les comportements observés aux techniques MITRE ATT&CK.
• Confinement et remédiation: proposer et mettre en œuvre des actions après validation.
• Suivre les actions de remédiation jusqu'à clôture.
• Tenir à jour le ticket et la chronologie; rédiger rapports d'incident et RETEX.
• Préparer les éléments factuels pour les notifications réglementaires.
• Veille et amélioration continue: contribute à la rédaction des playbooks.
• Participer aux exercices de gestion de crise cyber.
• Gérer et mettre en place des processus métiers et des nouveaux services.
• Assurer la conservation des informations et développer des outils de capitalisation.
• Inventorier et développer des besoins d'autres services liés à la Réponse à Incident.

Skills

Administration Windows

Active Directory

Linux basics

SIEM

EDR

PowerShell

TCP/IP

Forensic analysis

MITRE ATT&CK mapping

Investigation

Education

Bac+3 à Bac+5 en informatique, réseaux ou cybersécurité

SecNumedu (ANSSI) appréciée

Tools

SIEM

EDR

Windows

Linux

AD

PowerShell

Job description

Mots clés (ex : ingénieur commercial Paris)

Analyste CSIRT/réponse à incidents junior H/F

Description du poste

Métier

GESTION DES SYSTEMES D¿INFORMATION - Ingénieur(e) sécurité du SI

Intitulé du poste

Analyste CSIRT/réponse à incidents junior H/F

Niveau

Description de la mission

Agir ensemble, protéger chacun

Rejoindre l’Assurance Maladie, c’est mettre ses compétences au service de la santé de plus de 60 millions d’assurés, au sein d’un collectif de 82 000 collaborateurs.

La Cnam, qui compte plus de 2 500 salariés répartis entre Paris et 16 sites en région, définit la stratégie nationale et accompagne son réseau.

Au sein de la DSI, le Département de la Sécurité et sa Division Sécurité Opérationnelle (DSO) pilotent un service CSIRT.

L’analyste CSIRT junior traite les incidents de sécurité de niveaux 2 et 3, généralement escaladés par le SOC. Il contribue à leur qualification, investigation, confinement, éradication et remédiation, jusqu’au retour à un état de confiance et au retour d’expérience, selon le référentiel NIST SP 800-61 Rev. 3 (2025), aligné sur le NIST CSF 2.0.

- Qualification et traitement des incidents en lien avec le PO réponse à Incident :

• o Réceptionner et trier les alertes escaladées par le SOC, les utilisateurs ou les partenaires (CERT sectoriels, CERT-FR, fournisseurs)
• o Qualifier l'incident ou requalifier les escalades du SOC lorsque c’est nécessaire : périmètre, criticité, catégorie, premiers indicateurs de compromission (IoC)
• o Escalader aux analystes confirmés selon la matrice de criticité
• o Collecter et préserver les éléments de preuve dans le respect de la chaîne de traçabilité
• o Analyser des journaux (SIEM, EDR, proxy, messagerie, annuaire)
• o Réaliser des analyses de premier niveau : en-têtes de courriels, URL, fichiers suspects en environnement isolé
• o Rattacher les comportements observés aux techniques MITRE ATT&CK

o Confinement et remédiation :

• o Proposer et, sur validation, mettre en œuvre des actions de confinement (isolement de poste, blocage d'IoC, réinitialisation de comptes)
• o Suivre les actions de remédiation avec les équipes IT/métiers/SOC jusqu'à la clôture

o Documentation et reporting :

• o Tenir à jour le ticket d'incident et la chronologie (timeline)
• o Rédiger les rapports d'incident et contribuer aux RETEX
• o Préparer les éléments factuels nécessaires aux notifications réglementaires, instruites par le RSSI, le DPO et la direction juridique

o Veille et amélioration continue :

• o Contribuer à la rédaction et à la mise à jour des playbooks
• o Participer aux exercices de gestion de crise cyber

o Gérer et mettre en place des processus métiers et des nouveaux services

• o Assurer la conservation des informations et développer des outils de capitalisation des éléments techniques
• o Inventorier et développer des besoins d’autres services (VOC, DFIR, SecOps) liés à la Réponse à Incident de sécurité et à autres divisions de la Direction Sécurité
• o Instruire les besoins du service de lutte contre la fraude

Formation
Bac+3 à Bac+5 en informatique, réseaux ou cybersécurité ou expérience équivalente
Formation labellisée SecNumedu (ANSSI) appréciée ;

Expérience
Première expérience (stage, alternance, SOC niveau 1, support ou administration système) appréciée
Pratique de plateformes d'entraînement (CTF défensifs, labs) appréciée

Langues
Anglais technique lu indispensable (documentation, bulletins, rapports de menace)

Certifications appréciées à l'embauche mais non exigées à ce niveau: ISO/IEC 27035 Lead Incident Manager, GIAC / SANS, CySA+ CompTIA

Savoirs techniques

• - Administration Windows et Active Directory : fonctionnement de l’authentification, des droits, des GPO
• - Bases Linux et réseaux (TCP/IP, DNS, HTTP/S, messagerie)
• - Artefacts d’investigation Windows et principes de l’analyse forensique
• - Fonctionnement d’un EDR et d’un SIEM du point de vue de l’investigation
• - Principales techniques d’attaque : compromission d’identités, mouvements latéraux, persistance, exfiltration, chiffrement par rançongiciel
• - Notions de sécurité des environnements cloud et des identités (Entra ID ou équivalent)
• - Scripting (Python, PowerShell) pour traiter des volumes de données

Savoir-faire

• - Formuler des hypothèses et les vérifier par les faits
• - Consigner chaque action de façon horodatée et reproductible
• - Rédiger un rapport technique compréhensible par un non-spécialiste
• - Mesurer l’impact d’une action de confinement avant de la proposer
• - Rédiger de manière claire, factuelle et horodatée
• - Hiérarchiser les priorités sous contrainte de temps

Savoir-être

• - Calme, rigueur et discrétion
• - Curiosité et goût de l'investigation
• - Esprit d'équipe et capacité à rendre compte, y compris de ses doutes
• - Posture pédagogique vis-à-vis des utilisateurs et des équipes non - spécialistes

Indicateurs de suivi du poste

• - Délai entre la prise en charge et la proposition de mesures de confinement
• - Qualité des rapports techniques (complétude, chronologie, traçabilité) évalué par le PO réponse
• - Nombre d’indicateurs et de règles de détection transmis aux équipes détection et CTI
• - Progression sur le plan de montée en compétences: autonomie sur les incidents de faible criticité à 6 mois
• - Perspectives d’évolution vers des fonctions analyste réponse à incidents confirmé

Cadre réglementaire et normatif à connaître
Le poste n'exige pas une maîtrise juridique, mais une compréhension des obligations qui conditionnent le rythme de traitement des incidents :
RGPD, article 33
NIS 2 (2022/2555)
ISO/IEC 27035
ISO/IEC 27001:2022

Ce poste peut impliquer des périodes d’astreintes en cohérence avec la politique d’astreinte de la DSI

Déplacements à prévoir sur les sites Cnam de Paris et Angers selon site de rattachement

Déplacements occasionnels sur d’autres sites de la Sécurité Sociale (CAF, Assurance Retraite, URSSAF)

Le poste est à pourvoir sur l'un des sites suivants : ANGERS, DIJON, LYON, PARIS

Localisation du poste

Localisation du poste

Lieu

Critères candidat

Niveau d'études min. requis

Ecole d'ingénieur

Niveau d'expérience min. requis

Premère expérience

Autres

Mentions légales
La Cnam est attachée au respect de la diversité sous toutes ses formes, à la lutte contre les discriminations, à favoriser la parité Femme/Homme et à garantir un environnement de travail de qualité. A la Cnam, seules vos compétences et votre motivation comptent : cet emploi est ouvert à toutes et à tous et fera l'objet d'une adaptation du poste de travail si nécessaire.
Le candidat retenu devra se conformer aux exigences de la Politique de Sécurité des Systèmes d'Information de l'organisme (et sera tenu au secret professionnel).