Il Referente CSIRT è la persona o il ruolo responsabile del coordinamento delle attività del CSIRT e della gestione degli incidenti. In pratica, è il principale punto di contatto che aiuta a trasformare un avviso di sicurezza in una risposta organizzata: triage, escalation, documentazione, comunicazione e chiusura.
Questo ruolo è importante perché gli incidenti informatici falliscono quando nessuno ha un'autorità chiara. Durante eventi di ransomware, phishing o esfiltrazione di dati, il Referente CSIRT mette in connessione i team tecnici, il management, l'ufficio legale e la compliance, così che le decisioni vengano prese rapidamente e le prove siano preservate. In un programma di difesa, il ruolo definisce chi può approvare le azioni di contenimento, chi è responsabile delle notifiche e come viene tracciata la cronologia dell'incidente. Nelle organizzazioni mature, il Referente CSIRT è supportato da runbook, elenchi di contatti ed esercitazioni, in modo che la risposta rimanga coordinata sotto pressione.