OT SOC (Security Operations Center)

Définition

Un OT SOC, Security Operations Center dédié ou étendu aux environnements industriels, est une structure organisationnelle et technique responsable de la surveillance continue, de la détection et de la réponse aux incidents de sécurité affectant spécifiquement les systèmes de contrôle industriel, qu'il soit organisé comme une entité entièrement distincte du SOC IT traditionnel ou comme une extension spécialisée de ce dernier disposant d'une équipe et d'outils dédiés à l'OT. La distinction fondamentale par rapport à un SOC IT classique réside dans la nécessité impérative d'analystes formés spécifiquement aux protocoles industriels, Modbus, DNP3, S7comm, PROFINET, dont l'interprétation nécessite une compréhension du contexte du procédé industriel surveillé bien au-delà de la seule expertise réseau généraliste, une trame Modbus modifiant une consigne de température n'ayant de sens qu'analysée en contexte du process concerné. Les outils employés diffèrent également substantiellement : les plateformes de visibilité OT comme Nozomi Networks ou Claroty, conçues pour une écoute passive n'introduisant aucune perturbation sur des systèmes sensibles à la disponibilité, remplacent ou complètent les scanners actifs et agents intrusifs courants en environnement IT. La coordination étroite entre OT SOC et SOC IT, souvent via un SIEM commun ou fédéré, devient essentielle dans un contexte de convergence IT/OT croissante où une attaque traverse fréquemment les deux environnements successivement.