SOC : définition, fonctionnement, et différence avec un simple monitoring

Le niveau de menace reste élevé pour les TPE, PME et ETI : l’ANSSI le rappelle dans chacun de ses panoramas de la cybermenace. La réponse structurelle s’appelle SOC. Mais le mot est devenu un argument commercial, souvent utilisé pour vendre… autre chose. Définition, fonctionnement, et surtout : comment distinguer un vrai SOC d’un simple monitoring.

Qu’est-ce qu’un SOC ?

Un SOC (Security Operations Center, ou centre opérationnel de sécurité) est une équipe d’analystes qui surveille, détecte, analyse et répond aux incidents de sécurité 24 h/24, en s’appuyant sur la collecte centralisée des journaux (SIEM) et la télémétrie des terminaux (EDR).

Comment fonctionne un SOC

• Le SIEM (Security Information and Event Management) collecte et corrèle en temps réel les journaux de tout le système d’information : postes, serveurs, pare-feu, applications, cloud ;
• L’EDR (Endpoint Detection and Response) surveille le comportement des terminaux et peut isoler automatiquement une machine compromise ;
• La veille sur les menaces alimente la plateforme en indicateurs à jour (nouvelles techniques, campagnes en cours), complétée par la surveillance du Dark Web (identifiants en vente) ;
• Les analystes trient, qualifient et répondent : l’intelligence artificielle pré-filtre des millions d’événements, l’humain décide et agit. Les données sont conservées (un an chez ITAIA) pour l’investigation et la preuve.

SOC ou monitoring : ne vous laissez pas vendre l’un pour l’autre

Beaucoup d’offres « surveillance 24/7 » ne sont qu’un monitoring : des sondes qui vérifient que les serveurs répondent et envoient des alertes automatiques… que personne ne lit avant le lendemain matin. Le monitoring vérifie que ça fonctionne ; le SOC vérifie que personne n’est en train de vous attaquer, et répond.

Deux questions suffisent à faire la différence : « Qui analyse les alertes à 3 h du matin, et en combien de temps répondez-vous ? » et « Pouvez-vous me montrer un exemple de rapport d’incident ? ». Un vrai SOC répond précisément aux deux.

Les quinze premières minutes d’une alerte

La différence entre un SOC et un monitoring se voit dans le déroulé d’une alerte réelle. Un processus inconnu commence à chiffrer des fichiers un mardi à 23 h 40 : l’EDR isole la machine du réseau et arrête le processus sans attendre qu’un humain valide, parce que chaque minute d’attente est une minute de chiffrement supplémentaire. Un analyste reprend ensuite la main : il vérifie que rien n’a essaimé, reconstitue le chemin d’entrée et déclenche l’escalade prévue au contrat. On contient d’abord, on analyse ensuite, on prévient selon la procédure.

Au matin, il existe une trace complète : horodatage de la détection, actions menées, périmètre touché. C’est cette trace qui nourrit un rapport d’incident exploitable, pour vous, pour votre assureur et, si vous êtes régulé, pour la qualification exigée par le régulateur.

SOC interne ou externalisé ?

Couvrir un seul fauteuil 24 h/24, 365 jours par an, demande au minimum cinq analystes en comptant les nuits, les week-ends, les congés et le juridique qui va avec. Aucune PME ne peut ni recruter ni retenir une telle équipe, et un analyste seul qui dort est un SOC fermé. L’externalisation n’est pas un choix d’économie, c’est le seul modèle qui rende la couverture continue réelle à cette échelle : l’équipe est mutualisée, la connaissance de votre environnement reste dans votre dossier.

Ce que DORA exige des entités financières

Pour les sociétés de gestion et acteurs régulés, la détection n’est plus un choix : DORA impose des mécanismes de détection des activités anormales, une gestion des incidents avec notification dans des délais stricts, et la conservation des preuves. Un monitoring d’infrastructure ne répond pas à ces exigences ; un SOC opéré, si. Notre FAQ DORA y consacre plusieurs questions, et notre page surveiller, détecter, réagir détaille le dispositif.

Questions fréquentes sur les SOC

Qu’est-ce qu’un SOC en cybersécurité ?

Un Security Operations Center est une équipe d’analystes qui surveille, détecte, qualifie et répond aux incidents de sécurité en continu, en s’appuyant sur la collecte centralisée des journaux (SIEM) et la télémétrie des terminaux (EDR). Le mot désigne une équipe et un service opéré, pas un logiciel que l’on installe.

Quelle différence entre SOC, SIEM et EDR ?

Le SIEM et l’EDR sont des outils : le premier corrèle les journaux de tout le système, le second observe et peut isoler chaque terminal. Le SOC est l’équipe qui les exploite. Acheter un SIEM sans analystes revient à installer des caméras sans personne derrière les écrans.

Une PME a-t-elle besoin d’un SOC ?

Dès que l’activité ne supporte pas plusieurs jours d’arrêt ou que les données ont de la valeur, oui : les attaques démarrent majoritairement en dehors des heures ouvrées, précisément parce que personne ne regarde. La bonne question n’est pas la taille de l’entreprise mais le coût d’une nuit sans surveillance, que notre calculateur du coût d’un arrêt aide à poser.

Un SOC est-il obligatoire avec DORA ?

Le texte n’impose pas le mot « SOC » : il impose des mécanismes de détection des activités anormales, une réponse organisée et des notifications dans des délais stricts, avec preuves à l’appui. Dans les faits, une entité régulée sans détection opérée en continu ne sait pas produire ce que le texte demande. Le SOC est le moyen le plus direct d’y répondre.

Le SOC ITAIA

Notre SOC 24/7 combine SIEM, EDR managé, veille et surveillance du Dark Web, opérés par des spécialistes, intégré à nos offres à partir de l’offre Itaia Secure + SOC. Il complète la défense en profondeur décrite sur notre page cybersécurité.