Agir ensemble, protéger chacun

Rejoindre l’Assurance Maladie, c’est mettre ses compétences au service de la santé de plus de 60 millions d’assurés, au sein d’un collectif de 82 000 collaborateurs.

La Cnam, qui compte plus de 2 500 salariés répartis entre Paris et 16 sites en région, définit la stratégie nationale et accompagne son réseau.

Au sein de la DSI, le Département de la Sécurité et sa Division Sécurité Opérationnelle (DSO) pilotent un service CSIRT.

L’analyste CSIRT junior traite les incidents de sécurité de niveaux 2 et 3, généralement escaladés par le SOC. Il contribue à leur qualification, investigation, confinement, éradication et remédiation, jusqu’au retour à un état de confiance et au retour d’expérience, selon le référentiel NIST SP 800-61 Rev. 3 (2025), aligné sur le NIST CSF 2.0.

MISSIONS :

- Qualification et traitement des incidents en lien avec le PO réponse à Incident :

o Réceptionner et trier les alertes escaladées par le SOC, les utilisateurs ou les partenaires (CERT sectoriels, CERT-FR, fournisseurs)

o Qualifier l'incident ou requalifier les escalades du SOC lorsque c’est nécessaire : périmètre, criticité, catégorie, premiers indicateurs de compromission (IoC)

o Escalader aux analystes confirmés selon la matrice de criticité

- Investigation :

o Collecter et préserver les éléments de preuve dans le respect de la chaîne de traçabilité

o Analyser des journaux (SIEM, EDR, proxy, messagerie, annuaire)

o Réaliser des analyses de premier niveau : en-têtes de courriels, URL, fichiers suspects en environnement isolé

o Rattacher les comportements observés aux techniques MITRE ATT&CK

- Confinement et remédiation :

o Proposer et, sur validation, mettre en œuvre des actions de confinement (isolement de poste, blocage d'IoC, réinitialisation de comptes)

o Suivre les actions de remédiation avec les équipes IT/métiers/SOC jusqu'à la clôture

- Documentation et reporting :

o Tenir à jour le ticket d'incident et la chronologie (timeline)

o Rédiger les rapports d'incident et contribuer aux RETEX

o   Préparer les éléments factuels nécessaires aux notifications réglementaires, instruites par le RSSI, le DPO et la direction juridique

- Veille et amélioration continue :

o Contribuer à la rédaction et à la mise à jour des playbooks

o Participer aux exercices de gestion de crise cyber

- Gérer et mettre en place des processus métiers et des nouveaux services

o Assurer la conservation des informations et développer des outils de capitalisation des éléments techniques

o Inventorier et développer des besoins d’autres services (VOC, DFIR, SecOps) liés à la Réponse à Incident de sécurité et à autres divisions de la Direction Sécurité

o Instruire les besoins du service de lutte contre la fraude

PROFIL RECHERCHE :

Formation
Bac+3 à Bac+5 en informatique, réseaux ou cybersécurité ou expérience équivalente
Formation labellisée SecNumedu (ANSSI) appréciée ;

Expérience
Première expérience (stage, alternance, SOC niveau 1, support ou administration système) appréciée
Pratique de plateformes d'entraînement (CTF défensifs, labs) appréciée

Langues
Anglais technique lu indispensable (documentation, bulletins, rapports de menace)

Certifications appréciées à l'embauche mais non exigées à ce niveau : ISO/IEC 27035 Lead Incident Manager, GIAC / SANS, CySA+ CompTIA

COMPETENCES :

Savoirs techniques

- Administration Windows et Active Directory : fonctionnement de l’authentification, des droits, des GPO
- Bases Linux et réseaux (TCP/IP, DNS, HTTP/S, messagerie)
- Artefacts d’investigation Windows et principes de l’analyse forensique
- Fonctionnement d’un EDR et d’un SIEM du point de vue de l’investigation
- Principales techniques d’attaque : compromission d’identités, mouvements latéraux, persistance, exfiltration, chiffrement par rançongiciel
- Notions de sécurité des environnements cloud et des identités (Entra ID ou équivalent)
- Scripting (Python, PowerShell) pour traiter des volumes de données

Savoir-faire
- Formuler des hypothèses et les vérifier par les faits
- Consigner chaque action de façon horodatée et reproductible
- Rédiger un rapport technique compréhensible par un non-spécialiste
- Mesurer l’impact d’une action de confinement avant de la proposer
- Rédiger de manière claire, factuelle et horodatée
- Hiérarchiser les priorités sous contrainte de temps

Savoir-être
- Calme, rigueur et discrétion
- Curiosité et goût de l'investigation
- Esprit d'équipe et capacité à rendre compte, y compris de ses doutes
- Posture pédagogique vis-à-vis des utilisateurs et des équipes non - spécialistes

Indicateurs de suivi du poste
- Délai entre la prise en charge et la proposition de mesures de confinement
- Qualité des rapports techniques (complétude, chronologie, traçabilité) évalué par le PO réponse
- Nombre d’indicateurs et de règles de détection transmis aux équipes détection et CTI
- Progression sur le plan de montée en compétences : autonomie sur les incidents de faible criticité à 6 mois
- Perspectives d’évolution vers des fonctions analyste réponse à incidents confirmé

Cadre réglementaire et normatif à connaître
Le poste n'exige pas une maîtrise juridique, mais une compréhension des obligations qui conditionnent le rythme de traitement des incidents :
RGPD, article 33
NIS 2 (2022/2555)
ISO/IEC 27035
ISO/IEC 27001:2022

Ce poste peut impliquer des périodes d’astreintes en cohérence avec la politique d’astreinte de la DSI 

Déplacements à prévoir sur les sites Cnam de Paris et Angers selon site de rattachement

Déplacements occasionnels sur d’autres sites de la Sécurité Sociale (CAF, Assurance Retraite, URSSAF)

Le poste est à pourvoir sur l'un des sites suivants : ANGERS, DIJON, LYON, PARIS