Forum des équipes de réponse aux incidents et de sécurité FIRST

Mission

Le Forum des équipes de réponse aux incidents et de sécurité (FIRST) réunit les équipes de réponse aux incidents informatiques et de sécurité de plus de 60 pays, comptant environ 300 équipes membres. Fondée en 1990, l’organisation s’appuie sur un modèle de gouvernance pair-à-pair où les équipes de sécurité informatique (CSIRT), les équipes de sécurité des produits (PSIRT) et les chercheurs en sécurité indépendants collaborent pour limiter les dégâts des incidents de sécurité. La mission de FIRST est triple : assurer une coordination mondiale efficace de la réponse aux incidents, établir des standards et des pratiques communes au niveau international, et développer les capacités des équipes par des programmes d’éducation et de bourses.

En tant qu’organisation internationale de facto pour la cybersécurité opérationnelle, FIRST intervient à l’intersection du technique et de la gouvernance. Elle élabore et maintient les cadres normatifs essentiels (CVSS, TLP, EPSS) qui structurent la gestion des vulnérabilités et l’échange d’informations sensibles entre les acteurs de la sécurité. Elle coopère également avec les instances de gouvernance multilatérale, notamment l’Union internationale des télécommunications (ITU) et les autorités nationales, pour créer un environnement où les équipes de réponse aux incidents peuvent opérer efficacement.

FIRST reconnaît que la sécurité informatique est par nature mondiale et transfrontalière. Son rôle consiste à fournir les outils, les normes et les mécanismes de confiance permettant aux équipes de localiser des partenaires et de collaborer au-delà des frontières et des barrières politiques.

Gouvernance

FIRST est structurée comme une organisation à but non lucratif avec un modèle de gouvernance décentralisé fondé sur la confiance. Elle est dirigée par un Conseil d’administration qui supervise la stratégie et les opérations. L’organisation fonctionne à travers cinq comités permanents : Compensation, Programme de conférence, Adhésion, Règlements et Normes, chacun ayant des responsabilités spécifiques dans le pilotage des activités. L’équipe opérationnelle compte cinq divisions : Communauté et renforcement des capacités, Bureau des événements, Direction générale, Infrastructure et Secrétariat.

Le modèle d’adhésion comprend trois catégories de membres : les équipes (membres de plein droit), les associés et les liaisons, distribués dans plus de 60 pays. FIRST publie annuellement des rapports d’activité et des documents fiscaux. Bien que les budgets détaillés ne soient pas systématiquement publics, l’organisation repose sur des contributions de ses membres, des revenus de conférence et des partenariats avec des entités gouvernementales et privées pour financer ses activités de normalisation, de formation et de coordination.

Dossiers clés

• Evolution du CVSS vers une meilleure évaluation du risque : CVSS 4.0, released en novembre 2023, est maintenant utilisé comme standard international de notation des vulnérabilités. Cependant, FIRST et ses pairs reconnaissent que le seul score CVSS de base est insuffisant pour la priorisation. Les initiatives parallèles incluent EPSS (Exploit Prediction Scoring System) et SSVC (Stakeholder-Specific Vulnerability Categorization). En 2025, FIRST anticipe entre 41 et 50000 vulnérabilités disclosées, imposant une meilleure granularité dans l’évaluation du risque.
• TLP 2.0 et standardisation de l’échange d’informations sensibles : Le Traffic Light Protocol (TLP), actualisé en version 2.0 en août 2022, reste le cadre normatif de référence pour le partage sécurisé d’informations sur les incidents entre les équipes de sécurité. TLP:RED, TLP:AMBER, TLP:GREEN et TLP:CLEAR structurent la dissémination des renseignements critiques en limitant la distribution selon le niveau de sensibilité. C’est un pilier de la collaboration opérationnelle mondiale.
• Conférence annuelle 2025 et Stratégie FIRST : La 37e conférence annuelle de FIRST (22-27 juin 2025, Copenhague) s’articule autour du thème ‘Fortresses of the Future: Building Bridges, Not Walls’. Elle marque le lancement du cadre stratégique de FIRST et inclut des sessions majeures sur les frameworks de vulnérabilité (CVE, CWE, CVSS, EPSS). L’événement réunit les acteurs mondiaux de la gestion des vulnérabilités et de la sécurité opérationnelle.
• Communauté de pratique mondiale sur la divulgation des vulnérabilités (CVD-COP) : Initiative récente visant à encourager la collaboration entre entités gouvernementales et CERT nationaux en tant que coordonnateurs tiers de la divulgation responsable. Les activités clés incluent l’élaboration de bonnes pratiques, la formation, le partage d’expériences et la promotion de la coopération internationale en matière de CVD.
• Expansion de la gouvernance des normes internationales : FIRST consolide son rôle de partenaire technique de l’ITU et d’autres instances multilatérales dans la normalisation de la sécurité informatique. L’organisation développe également des cadres pour les équipes gouvernementales et nationales, facilitant l’intégration des nouveaux pays dans la communauté mondiale de la réponse aux incidents via son programme de bourses Suguru Yamaguchi.