Le niveau de menace reste élevé pour les TPE, PME et ETI — l’ANSSI le rappelle dans chacun de ses panoramas de la cybermenace. La réponse structurelle s’appelle SOC. Mais le mot est devenu un argument commercial, souvent utilisé pour vendre… autre chose. Définition, fonctionnement, et surtout : comment distinguer un vrai SOC d’un simple monitoring.
Qu’est-ce qu’un SOC ?
Un SOC (Security Operations Center, ou centre opérationnel de sécurité) est une équipe d’analystes qui surveille, détecte, analyse et répond aux incidents de sécurité 24 h/24, en s’appuyant sur la collecte centralisée des journaux (SIEM) et la télémétrie des terminaux (EDR).
Comment fonctionne un SOC
- Le SIEM (Security Information and Event Management) collecte et corrèle en temps réel les journaux de tout le système d’information : postes, serveurs, pare-feu, applications, cloud ;
- L’EDR (Endpoint Detection and Response) surveille le comportement des terminaux et peut isoler automatiquement une machine compromise ;
- La veille sur les menaces alimente la plateforme en indicateurs à jour (nouvelles techniques, campagnes en cours), complétée par la surveillance du Dark Web (identifiants en vente) ;
- Les analystes trient, qualifient et répondent : l’intelligence artificielle pré-filtre des millions d’événements, l’humain décide et agit. Les données sont conservées — un an chez ITAIA — pour l’investigation et la preuve.
SOC ou monitoring : ne vous laissez pas vendre l’un pour l’autre
Beaucoup d’offres « surveillance 24/7 » ne sont qu’un monitoring : des sondes qui vérifient que les serveurs répondent et envoient des alertes automatiques… que personne ne lit avant le lendemain matin. Le monitoring vérifie que ça fonctionne ; le SOC vérifie que personne n’est en train de vous attaquer — et répond.
Deux questions suffisent à faire la différence : « Qui analyse les alertes à 3 h du matin, et en combien de temps répondez-vous ? » et « Pouvez-vous me montrer un exemple de rapport d’incident ? ». Un vrai SOC répond précisément aux deux.
Ce que DORA exige des entités financières
Pour les sociétés de gestion et acteurs régulés, la détection n’est plus un choix : DORA impose des mécanismes de détection des activités anormales, une gestion des incidents avec notification dans des délais stricts, et la conservation des preuves. Un monitoring d’infrastructure ne répond pas à ces exigences ; un SOC opéré, si. Notre FAQ DORA y consacre plusieurs questions, et notre page surveiller, détecter, réagir détaille le dispositif.
Le SOC ITAIA
Notre SOC 24/7 combine SIEM, EDR managé, veille et surveillance du Dark Web, opérés par des spécialistes — intégré à nos offres à partir du palier « Unifier maintenance & cyber ». Il complète la défense en profondeur décrite sur notre page cybersécurité.