Qu’est-ce qu’un SOC (Security Operations Center) ?

Un SOC est-il une équipe, un lieu ou un outil ?

Un Security Operations Center est avant tout une fonction opérationnelle. Elle réunit des personnes, des procédures et des moyens techniques pour surveiller un périmètre défini, détecter des événements suspects, les analyser et coordonner les premières mesures de réponse. Le nom peut désigner une équipe physiquement réunie, un service distribué ou une prestation externalisée. Acheter un SIEM, un EDR ou une sonde ne crée donc pas, à lui seul, un SOC.

Cette lecture rejoint le référentiel français PDIS v2.0 de l’ANSSI, qui encadre un ensemble de capacités organisationnelles, humaines et techniques, et pas seulement un produit.

Que fait un SOC lorsqu’une alerte apparaît ?

Le SOC reçoit des événements provenant, selon son périmètre, des identités, postes, serveurs, applications, services cloud et équipements réseau. Il rapproche les signaux, écarte les faux positifs manifestes, établit une chronologie et évalue l’étendue possible. Lorsqu’un incident est plausible, il applique une procédure d’escalade : informer les responsables désignés, préserver les éléments utiles et proposer ou déclencher les mesures autorisées.

La qualité des journaux est déterminante. Les recommandations de l’ANSSI sur la journalisation insistent sur l’architecture de collecte, la protection des traces et leur utilité pour détecter puis comprendre un incident.

Qui décide et qui agit ?

Le SOC ne doit pas improviser son autorité au milieu d’une crise. Les procédures doivent préciser qui peut isoler un poste, bloquer un compte, couper un service, contacter la direction ou solliciter un spécialiste. Le SOC peut détecter et coordonner sans exécuter lui-même toutes les actions techniques. Il ne remplace ni l’équipe informatique, ni la direction, ni les obligations de notification qui peuvent relever d’autres fonctions.

Pour une PME, trois modèles existent : interne, externalisé ou hybride. Le choix dépend des horaires de surveillance attendus, des compétences disponibles, de la sensibilité des systèmes et du temps de réaction recherché. La permanence « 24 h/24 » ne doit être annoncée que si l’organisation, les contrats et les procédures la garantissent réellement.

Comment mesurer son efficacité ?

Le volume d’alertes traité n’est pas un résultat en soi. Il est plus utile de suivre la couverture réelle des actifs critiques, le délai avant qualification, le délai avant action, la proportion d’alertes non pertinentes, l’issue des exercices et la fermeture des causes constatées. Ces indicateurs doivent déboucher sur des corrections concrètes.

Un cas luxembourgeois : ce qu’il a fallu faire après l’attaque

Dans la nuit du 22 au 23 juillet 2022, le groupe énergétique luxembourgeois Encevo subit une cyberattaque touchant ses entités Creos et Enovos. Les portails clients cessent de fonctionner ; la fourniture d’électricité et de gaz, elle, n’est pas interrompue.

Le déroulé complet est raconté dans Rançongiciel du syndic et fuite de données. Ce qui nous occupe ici est la suite : ce que l’entreprise a dû faire, et dans quel ordre. C’est précisément la production d’un SOC, et cela n’a presque rien de technique.

• Qualifier. Déterminer ce qui est touché et ce qui ne l’est pas. Ici : les portails, oui ; le réseau de distribution, non. Cette distinction est ce qui a permis de continuer à servir.
• Déposer plainte auprès de la police grand-ducale.
• Notifier les autorités — la CNPD pour les données personnelles, l’ILR comme régulateur du secteur, et les ministères compétents.
• Analyser ce qui est parti, pour savoir quoi dire aux personnes concernées.
• Communiquer, y compris pour dire ce qui fonctionne encore.

Un SOC ne se juge pas à la finesse de ses outils, mais à sa capacité à produire cette suite-là sans hésiter sur qui fait quoi.

Ce que doit décider une PME

Une PME de vingt personnes n’aura pas de SOC interne, et n’en a pas besoin pour répondre aux questions ci-dessous. Elles définissent qui fait quoi le jour où cela arrive.

• Qui appelle-t-on, et à quel numéro ? Le prestataire informatique, l’assureur, le CIRCL. Cette liste tient sur une page, et elle doit exister hors du système d’information : un rançongiciel chiffre aussi le fichier des contacts.
• Qui décide de couper ? Débrancher un serveur suspect coûte de l’activité. La personne qui a ce pouvoir se nomme à l’avance, et se joint le week-end.
• Quelles activités doivent tenir sans informatique, et combien de temps ? Livrer, facturer, payer les salaires, ouvrir les portes. La réponse donne l’ordre dans lequel on remet les choses en marche.
• Qui parle aux clients, et que dit-on ? Le silence se remarque plus qu’une communication imparfaite.
• Sait-on notifier la CNPD dans les délais ? Une violation de données personnelles se notifie sans retard injustifié et, en principe, dans les 72 heures. Savoir qui rédige cette notification est une décision, pas une compétence technique.

Sources

Liens vérifiés le 28 septembre 2026.

• Encevo, communiqué de presse sur la cyberattaque, 2022 : encevo.eu (PDF).
• Paperjam, « Creos et Enovos victimes d’une cyberattaque » : paperjam.lu.
• Le Quotidien, « Cyberattaque contre Encevo : une rançon réclamée par les BlackCat » : lequotidien.lu.
• CIRCL, centre de réponse aux incidents du Luxembourg : circl.lu.
• Portail national de la cybersécurité : cybersecurite.lu.

Le rôle des capteurs est détaillé dans Sonde cybersécurité : définition, utilité et limites. Pour distinguer faiblesse et incident, consultez Qu’est-ce qu’une faille de sécurité informatique ?.