L’astreinte en cybersécurité : l’organiser sans épuiser l’équipe

Un incident majeur ne se déclenche pas aux heures ouvrées. Les attaquants choisissent le vendredi soir et les veilles de jours fériés, précisément parce que la réaction sera lente.

L’astreinte est donc structurelle dans les équipes de détection et de réponse. Mal organisée, elle est aussi l’une des premières causes de départ.

La distinction juridique qu’il faut poser d’abord

En droit français du travail, astreinte et travail effectif ne sont pas la même chose.

L’astreinte est une période pendant laquelle le salarié, sans être à disposition permanente et immédiate de l’employeur, doit pouvoir intervenir. Elle donne lieu à une contrepartie, financière ou en repos.

Dès qu’une intervention a lieu, la durée de celle-ci est du temps de travail effectif, rémunérée comme tel, et elle interrompt le repos quotidien.

Cette distinction n’est pas théorique. Un dispositif où l’on est appelé trois fois par nuit n’est plus une astreinte : c’est une garde, avec les conséquences que cela emporte sur les durées maximales de travail et le repos.

Les modalités concrètes — contrepartie, délai d’intervention, moyens fournis — relèvent de la convention collective applicable et des accords d’entreprise. Ce point se traite avec les ressources humaines avant de construire le planning, pas après.

Le périmètre : ce qui rend l’astreinte tenable ou insupportable

C’est la variable la plus déterminante, et la plus souvent laissée floue.

Une astreinte doit être bornée : quels événements justifient un appel, et lesquels attendent le lendemain matin. Sans cette liste écrite, tout devient urgent, et la personne d’astreinte est sollicitée pour des sujets qui pouvaient attendre.

Un exemple de bornage qui fonctionne :

• Appel immédiat : suspicion de compromission d’un compte à privilèges, chiffrement en cours, indisponibilité d’un service critique, détection sur un système classé essentiel.
• Traitement au matin : alerte isolée sur un poste bureautique, vulnérabilité publiée sans exploitation constatée, question d’un utilisateur.
• Jamais : demandes de droits, sujets projet, questions administratives.

Ce document est aussi ce qui protège la personne d’astreinte face à un demandeur insistant.

La rotation

Trois principes tiennent dans la durée.

Prévisibilité. Le planning établi plusieurs mois à l’avance. Une astreinte annoncée le mercredi pour le week-end désorganise une vie personnelle et génère du ressentiment.

Taille de rotation suffisante. En dessous de quatre personnes, chacun est d’astreinte une semaine sur trois ou moins. C’est intenable au-delà de quelques mois. Si l’effectif ne le permet pas, la question n’est pas d’organiser l’astreinte mais de la mutualiser — avec un prestataire, ou entre entités.

Échange facilité. Un mécanisme simple de permutation entre collègues, sans validation lourde, réduit considérablement la contrainte perçue.

Les moyens à fournir

Une astreinte suppose des conditions matérielles, faute de quoi l’intervention est impossible ou dangereuse :

• Un accès distant fonctionnel et testé, pas seulement théorique — voir sécuriser les accès distants.
• Les droits nécessaires pour agir, y compris le mandat d’isolement écrit. Une personne d’astreinte qui doit réveiller trois responsables pour obtenir l’autorisation de couper un poste ne sert à rien.
• Un annuaire de crise hors ligne, avec les numéros des décideurs et des prestataires.
• Des procédures accessibles sans le système d’information, puisqu’il peut être indisponible.
• Un second niveau joignable — personne ne doit rester seul face à un incident majeur.

Ce dernier point est souvent négligé. Une astreinte à un seul niveau reporte sur une personne isolée, à trois heures du matin, des décisions qui engagent l’entreprise.

Ce qui use réellement

Contrairement à l’intuition, ce n’est pas le nombre d’interventions. C’est :

L’imprévisibilité. Ne pas savoir si l’on va être appelé empêche de se reposer, même sans appel. Une astreinte calme mais floue fatigue davantage qu’une astreinte chargée mais bornée.

Les appels injustifiés. Chaque appel pour un sujet qui pouvait attendre dégrade la confiance dans le dispositif — et la vigilance sur le suivant.

L’absence de récupération. Une intervention nocturne suivie d’une journée normale est la règle dans beaucoup d’organisations. C’est un problème de sécurité au sens propre : une personne fatiguée prend de mauvaises décisions sur un incident.

L’enchaînement après incident majeur. Passer directement de la gestion de crise au plan d’action correctif, sans temps de récupération, produit des départs trois mois plus tard — voir les spécificités du management d’équipe cyber.

Mesurer pour ajuster

Quatre indicateurs suffisent à piloter :

1. Nombre d’appels par période d’astreinte.
2. Proportion d’appels justifiés au regard du périmètre écrit.
3. Durée moyenne d’intervention.
4. Délai entre l’alerte et le premier contact.

Le deuxième indicateur est le plus utile : un taux d’appels injustifiés élevé signale un problème de qualification en amont — souvent un volume d’alertes mal maîtrisé, voir alertes et incidents.

Externaliser tout ou partie

Pour une organisation qui ne peut pas constituer une rotation suffisante, l’externalisation de la surveillance en dehors des heures ouvrées est souvent la seule option tenable.

Deux précautions. D’abord, le prestataire détecte et qualifie, mais les décisions engageantes restent chez vous : le mandat d’isolement doit être explicite dans le contrat. Ensuite, le maillon interne subsiste — quelqu’un doit rester joignable pour les décisions que le prestataire ne peut pas prendre.

Une externalisation présentée comme supprimant toute astreinte interne est une promesse à examiner de près.

Ce que les référentiels attendent

ISO/IEC 27002:2022 impose, par les mesures 5.24 à 5.26, une organisation de la réponse aux incidents avec des responsabilités et des procédures définies. La disponibilité en dehors des heures ouvrées en fait partie.

Les délais de notification de NIS 2 et du RGPD supposent également une capacité de qualification rapide, y compris un week-end.

Aller plus loin

Notre infogérance SOC couvre la surveillance en dehors des heures ouvrées. Voir aussi préparer un exercice de crise, qui teste précisément la chaîne d’astreinte.