C'est une fonction centrée sur l'humain. L'automatisation absorbe ce qui est déjà connu ; ce qu'elle ne sait pas trancher remonte à des analystes, étage par étage.
Un mur d'écrans se regarde. Un SOC prend des décisions. Toute la différence tient à ce qui se passe après l'alerte : qui la lit, qui décide qu'elle est réelle, qui coupe l'accès, qui remet le poste en service.
Un SOC moderne est donc une fonction centrée sur l'humain, organisée pour que le jugement des analystes soit dépensé là où il compte. Tout ce qui est déjà connu (la campagne de hameçonnage déjà vue, le fichier déjà classé) est traité par la machine en quelques secondes, sans réveiller personne.
Source : Vectra AI, 2023 State of Threat Detection, enquête Sapio Research auprès de 2 000 analystes SOC d'organisations de plus de 1 000 salariés.
Ce qui reste est, par construction, ambigu. C'est cette matière-là qu'un SOC organise en étages : plus on monte, moins il y a de cas, et plus chacun demande de compétence et de temps.
Chaque étage reçoit ce que le précédent n'a pas su clore. Le volume s'effondre d'un étage à l'autre ; la difficulté, elle, augmente.
Le SOC, étage par étage
Machine
Règles de détection, playbooks SOAR, réponses automatiques. Tout ce qui ressemble à un cas déjà traité est réglé en quelques secondes, sans intervention humaine.
Un courriel de hameçonnage identique à un modèle déjà bloqué est retiré de toutes les boîtes concernées avant d'être ouvert.
Ce qui n'est pas réglé ici monte d'un étage.
Niveau 1
Les analystes de triage absorbent le volume. Ils qualifient vite, écartent les faux positifs, closent les incidents connus et transmettent ce qui résiste.
Une connexion depuis un pays inhabituel : si un déplacement est prévu, l'alerte est close ; sinon, elle monte d'un étage.
Ce qui n'est pas réglé ici monte d'un étage.
Niveau 2
Analyse des attaques à plusieurs étapes : reconstitution de la chronologie, mesure du périmètre compromis, coordination de la remédiation avec les équipes métier.
C'est le terminus de la chaîne d'escalade : un incident qui arrive ici est mené jusqu'à sa clôture.
La chasse n'est alimentée par aucune remontée. Elle part de ce que personne n'a signalé.
Niveau 3
La chasse ne traite pas d'alertes. Elle formule des hypothèses sur ce qui aurait pu passer inaperçu, va les vérifier dans les données, et transforme chaque trouvaille en règle de détection.
Ce qu'elle écrit redescend à l'étage automatisation : c'est ainsi qu'un SOC apprend.
Les deux chiffres de cet article sont des chiffres du marché, pas des mesures de DMC DEFENSE.
Sources consultées le 29 septembre 2026.
DéfinitionArticle · 4 min
Security Information and Event Management : comment centraliser, analyser et corréler les événements de sécurité pour détecter les menaces en temps réel.
Lire l'articleDéfinitionArticle · 5 min
Security Orchestration, Automation and Response : l'automatisation qui exécute en quelques secondes la réponse qu'un analyste mettrait longtemps à dérouler à la main.
Lire l'articleDMC DEFENSE opère un SOC bâti sur la stack sécurité Microsoft, avec des analystes de garde et vos données qui restent dans votre tenant Microsoft. C'est une offre à part entière, dimensionnée selon votre parc.
