Un centre d'opérations de sécurité (SOC) est l'équipe et les infrastructures chargées de surveiller les incidents de sécurité et d'y répondre. Il fonctionne 24 h/24 dans les organisations établies. Les analystes consultent des tableaux de bord, trient les alertes, enquêtent sur les anomalies et remontent les problèmes critiques. Le SOC est en première ligne : lorsqu'un incident survient, il est le premier à le constater.

Les SOC se présentent sous différentes formes. Un SOC dédié est la propriété de l'organisation et en assure le personnel. Un SOC géré externalise la surveillance auprès d'un tiers. Un modèle hybride combine les deux. Les SOC virtuels font appel à des analystes à distance plutôt qu'à des locaux physiques. La structure importe moins que les capacités. Un bon SOC dispose de procédures d'escalade claires, de manuels d'intervention documentés et d'indicateurs de performance. Le temps moyen de détection et le temps moyen de réponse sont les indicateurs clés. Un SOC qui détecte les menaces en quelques minutes est performant. Un SOC qui met des jours est en difficulté. Le recrutement est le plus complexe. L'épuisement professionnel des analystes est fréquent. La lassitude face aux alertes pousse les employés à démissionner. Les meilleurs SOC investissent dans l'automatisation pour réduire les tâches répétitives et dans la formation continue pour maintenir les compétences à jour. La technologie est utile, mais ce sont les personnes qui font la différence.

Fonctions SOC

• Surveillance — surveillance continue des événements de sécurité 24h/24 et 7j/7
• Triage — évaluer et prioriser les alertes
• Enquête — examiner les activités suspectes
• Intervention — contenir et résoudre les incidents
• Rapport — documenter ce qui s'est passé et ce qui a été fait

Un SOC est une équipe, pas une pièce. Les écrans et les tableaux de bord importent moins que les personnes qui les consultent.