SOC — détection & supervision managées

Un SOC est la fonction qui surveille le système d'information, qualifie ce qui remonte et déclenche la réponse. Ce n'est pas un produit qu'on installe : c'est un processus, des règles de détection écrites pour votre environnement, et des personnes qui les exploitent. La plateforme — Microsoft Sentinel dans notre cas — n'en est que l'outil.

Monter un SOC interne suppose des compétences rares et durables : ingénierie de détection, écriture et maintien des règles, triage quotidien. Peu d'organisations de notre marché justifient ces postes à plein temps, et c'est cette ingénierie que le SOC managé mutualise. En contrepartie, un tiers voit vos journaux — d'où l'importance du contrat et de la localisation des données. Notre supervision est managée sur les heures ouvrables, avec des procédures d'escalade : nous l'annonçons plutôt que de promettre une couverture permanente.

Le SIEM est l'outil qui collecte et corrèle ; le SOC est la capacité qui l'exploite. Un SIEM sans personne pour écrire les règles, trier les alertes et décider produit des tableaux de bord que personne ne lit. C'est la confusion la plus coûteuse que nous rencontrons : l'achat de la licence est présenté comme le projet, alors qu'il n'en est que le point de départ.