Lexique · Sécurité des données
SOC
Un SOC (Security Operations Center, ou centre opérationnel de sécurité) est l'équipe qui surveille les systèmes d'une organisation pour détecter, analyser et traiter les incidents de cybersécurité, avec ses processus et ses outils, tel un SIEM. Il peut être interne ou confié à un prestataire.
En pratique pour une organisation
Le guide de MITRE sur les centres opérationnels de cybersécurité décrit le SOC comme le point focal opérationnel de la détection, de l’analyse et de la réponse aux incidents. Le NIST range dans la même logique les équipes de traitement des incidents d’une organisation, qui peuvent être internes ou sous contrat : sa publication SP 800-61 Rev. 3 cite l’exemple d’un SOC confié à un prestataire de services de sécurité gérés, et recommande de transmettre les alertes aux outils et aux équipes de cybersécurité et de réponse aux incidents, SOC compris.
Le SOC travaille avec des outils qui se complètent : un SIEM centralise et met en corrélation les journaux, un SOAR automatise une partie de la réponse, des EDR surveillent les postes et les serveurs. Les agences australienne et américaine rappellent, dans leur guide de mai 2025, que ces plateformes ne s’installent pas puis s’oublient : leur mise en œuvre est un travail continu qui demande un personnel très qualifié. Le choix entre une équipe interne et un prestataire dépend donc des compétences disponibles et du coût d’une surveillance continue. Pour une détection externalisée, l’ANSSI a défini un référentiel de qualification des prestataires de détection des incidents de sécurité (PDIS), publié en 2017, et l’organisation garde dans tous les cas la maîtrise de ses journaux et de ses règles de détection.
Exemple
Exemple générique : une entreprise industrielle sans équipe de sécurité disponible en permanence confie la supervision de son SIEM à un prestataire. Celui-ci reçoit les alertes, les qualifie (incident réel, fausse alerte ou événement à surveiller) et prévient l’équipe interne, qui reste chargée de décider des mesures sur ses propres systèmes et de respecter les délais de notification qui lui sont applicables.
À ne pas confondre avec
- Le SIEM : c’est un outil de collecte et de corrélation des journaux, alors que le SOC désigne l’équipe, ses processus et l’ensemble de ses outils.
- Un CSIRT : au sens de NIS 2, il reçoit les notifications des entités concernées et leur apporte une aide opérationnelle, alors que le SOC surveille les systèmes d’une organisation donnée.
- Les rapports « SOC 2 » : ce sont des attestations d’audit sur les contrôles d’un prestataire de services, sans rapport avec la supervision de sécurité.
