SOC (Security Operations Center)

Définition

Un SOC, Security Operations Center ou centre opérationnel de sécurité, est la structure organisationnelle centralisée, humaine et technologique, chargée d'assurer la surveillance continue, généralement vingt-quatre heures sur vingt-quatre et sept jours sur sept, du système d'information d'une organisation, afin de détecter, qualifier et coordonner la réponse aux incidents de sécurité en temps quasi réel. L'architecture technique d'un SOC repose principalement sur un SIEM qui agrège et corrèle les journaux d'événements de l'ensemble du parc informatique, complété par des sources de télémétrie additionnelles issues de l'EDR, des équipements réseau et des solutions cloud, l'ensemble consulté par des analystes organisés typiquement en plusieurs niveaux : le niveau 1 assure le triage initial des alertes générées, filtrant les faux positifs et qualifiant rapidement la criticité apparente d'un événement ; le niveau 2 approfondit l'investigation des alertes confirmées, corrélant plusieurs sources pour établir un diagnostic précis ; le niveau 3, souvent composé d'analystes seniors ou de spécialistes en threat hunting, traite les incidents les plus complexes et mène des recherches proactives de menaces non détectées par les règles automatiques existantes. Un SOC peut être opéré en interne, externalisé auprès d'un prestataire MSSP (Managed Security Service Provider), ou selon un modèle hybride, un choix structurant souvent dicté par la taille de l'organisation et sa maturité en cybersécurité.