SOC (centre opérationnel de sécurité)
Équipe et outils chargés de surveiller en continu le système d'information pour détecter les incidents et y réagir.
Définition complète
Un SOC (Security Operations Center, centre opérationnel de sécurité) est une équipe d'analystes, équipée d'outils de détection (SIEM, EDR, XDR), qui surveille en continu les alertes de sécurité d'une organisation. Son rôle : collecter les signaux, qualifier les alertes (vraie attaque ou fausse alerte), prévenir les bonnes personnes et, selon le contrat, engager les premières mesures de réponse.
Peu de PME peuvent financer un SOC interne, qui suppose plusieurs analystes pour assurer une présence de jour comme de nuit. Elles recourent donc à un SOC externalisé, mutualisé entre plusieurs clients. Le contenu réel du service varie beaucoup : horaires couverts, sources surveillées, délai de prise en charge, possibilité ou non d'agir sur vos systèmes.
En France, l'ANSSI délivre une qualification aux prestataires de détection des incidents de sécurité (PDIS), fondée sur un référentiel d'exigences portant sur le prestataire, son personnel et la conduite du service.
Source : ANSSI, prestataires de détection des incidents de sécurité (PDIS)
Exemple concret
Un distributeur de matériel médical de 80 salariés à Bordeaux souscrit un SOC externalisé. Un samedi à 4 h, le SOC reçoit une alerte : un serveur de fichiers envoie de gros volumes de données vers un stockage en ligne inconnu. L'analyste appelle l'astreinte informatique prévue au contrat, qui coupe l'accès internet du serveur. L'enquête montre qu'un attaquant préparait une double extorsion : vol des données avant chiffrement.
Comment se protéger
- Exiger par écrit les horaires couverts (24 h/24 et 7 j/7 ou heures ouvrées) et les délais de prise en charge
- Lister les sources surveillées : postes, serveurs, messagerie, cloud, pare-feu
- Désigner un contact d'astreinte joignable et tenir la liste à jour
- Préciser ce que le SOC a le droit de faire sans vous consulter (isoler un poste, bloquer un compte)
- Demander un rapport périodique lisible par la direction
- Préparer à l'avance la suite : qui intervient si l'alerte devient un incident majeur
Questions fréquentes
Les deux termes se recouvrent souvent. Le MDR désigne en général un service clé en main qui fournit l'outil de détection et va jusqu'à la réponse, tandis qu'un SOC externalisé peut se limiter à surveiller et alerter à partir de vos propres outils.
La qualification PDIS apporte une garantie de l'ANSSI sur la compétence et les méthodes du prestataire. Elle est surtout attendue pour les systèmes sensibles et les entités régulées. Pour une PME, elle reste un critère de choix utile mais non obligatoire.
Termes liés
EDR
Logiciel installé sur chaque poste et serveur qui détecte les comportements suspects et permet d'isoler une machine attaquée.
MDR
Service externalisé qui fournit l'outil de détection, surveille les alertes en continu et intervient en cas d'attaque.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
SIEM
Outil qui centralise et analyse les journaux d'activité de tout le système d'information pour repérer les incidents de sécurité.
Vous avez besoin d'un expert en SOC (centre opérationnel de sécurité) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.