Centre de sécurité opérationnelle (SOC) - Définitions, objectifs et déploiement

Le centre de sécurité opérationnelle ou Security Office Center (souvent appelé SOC) est un dispositif de maîtrise des risques, déployé dans les organisations publiques et privées soucieuses de s’appuyer sur des compétences organisationnelles, humaines et techniques, afin de garantir une capacité de détection préventive et réactive renforcée face aux risques cyber.

Le SOC peut être défini comme un dispositif avant tout organisationnel permettant à une organisation (entreprise, administration) de se doter d’une capacité de détection et d’investigation face aux incidents de sécurité auxquels elle peut être confrontée. Les SOC ont également comme enjeu d’anticiper différentes menaces externes, telles que des tentatives d’attaques informatiques, ou internes, telles que des fuites de données liées à la malveillance de collaborateurs, par exemple. L’enjeu du SOC est en outre de garantir une forte réactivité, en industrialisant la réponse aux incidents de sécurité, et en définissant les processus de réponse à ces derniers. Cela se traduit le plus souvent par un dispositif d’astreinte mis en œuvre 24 heures sur 24 et 7 jours sur 7.

Cette approche part de l’hypothèse que ces incidents peuvent survenir à tout moment, et plus particulièrement quand les équipes internes ne sont pas en zone de vigilance, ou qu’elles sont en effectifs restreints (nuits, week-ends).

L’augmentation des menaces cyber, envisagées désormais comme des risques à la fois de gravité (impacts critiques en cas d’attaque avérée) et de fréquence (les attaques deviennent quotidiennes, quels que soient les secteurs d’activité ou les tailles d’entreprises), rend de plus en plus indispensable pour une organisation de s’appuyer sur un centre de sécurité opérationnelle.

En outre, le centre de sécurité opérationnelle n’adresse pas un risque unique, telles les attaques par rançongiciels, mais bien un ensemble de scénarios de menaces et de vulnérabilités (attaque par déni de service, fraude externe, fraude interne), dans une logique de gestion globale des risques.

Le centre de sécurité opérationnelle est un dispositif de surveillance opérationnelle des consoles de sécurité de l’entreprise. Les équipes constituant le centre de sécurité opérationnelle (ingénieur de sécurité système, analystes d’investigation) disposent également de moyens d’intervention permettant de prendre les premières dispositions, dites d’urgence, en cas de suspicion d’incident. On parle alors de mesures conservatoires. Ces mesures d’urgence permettent de réduire, voire d’éviter, des situations de type attaques en cours, et ainsi d’en circonscrire les impacts. Elles ne se substituent pas à des décisions plus globales, telles que celles prises par une cellule de crise. Elles constituent toutefois un socle de base des mesures sur lesquelles s’appuyer en préalable à toute cellule de crise.

Même si les équipes d’un centre de sécurité opérationnelle ont les capacités techniques de mettre en œuvre certaines actions de remédiation, il revient aux décideurs internes de l’organisation client de définir les situations d’acceptation ou de refus du risque (avec mesures d’évitement, de transfert ou de traitement associé). Cela suppose d’avoir bien identifié les menaces, les vulnérabilités et les impacts potentiels sur l’activité de chacune des situations de risque, pour définir le champ de responsabilité du centre de sécurité opérationnel.

Tel est l’enjeu de cet article : définir les objectifs et contours du centre de sécurité opérationnelle (SOC) et illustrer les zones d’intervention d’un tel dispositif organisationnel, humain et technique.