Qu'est-ce qu'un SOC et pourquoi il devient incontournable
Un SOC (Security Operations Center) est la fonction qui centralise la surveillance des événements de sécurité d'une organisation : collecte des journaux (logs), détection des comportements anormaux, qualification des alertes et déclenchement d'une réponse. Concrètement, un SOC observe en continu ce qui se passe sur les postes de travail, les serveurs, les équipements réseau et les applications, à la recherche de signaux qui indiquent une activité suspecte — une connexion inhabituelle, un volume de données exporté anormalement élevé, un compte qui tente d'accéder à des ressources qu'il n'utilise jamais. À mesure que les attaques se diversifient (phishing, ransomware, compromission de comptes, exploitation de vulnérabilités logicielles), disposer d'une capacité de détection devient un sujet de plus en plus structurant, y compris pour des entreprises de taille moyenne qui, historiquement, considéraient cela comme réservé aux grands groupes disposant de budgets sécurité conséquents.
Le SOC interne : ce que ça implique réellement
Construire un SOC en interne signifie recruter et retenir plusieurs profils spécialisés (analystes SOC, ingénieurs détection, éventuellement un responsable sécurité qui pilote l'ensemble), déployer et opérer des outils (SIEM, EDR, plateformes de threat intelligence), organiser une couverture horaire adaptée aux besoins de l'activité, et maintenir ces compétences à jour face à des menaces qui évoluent rapidement d'une année à l'autre. Ce n'est pas un projet qui se termine une fois les outils installés : un SOC interne demande un pilotage continu, des mises à jour régulières des règles de détection, et une veille constante sur les nouvelles techniques d'attaque. C'est une option qui a du sens pour des organisations avec un volume d'activité suffisant pour justifier une équipe dédiée à temps plein, ou des contraintes réglementaires et sectorielles qui imposent une maîtrise complète en interne de cette fonction. Le principal défi n'est pas seulement financier : c'est aussi la disponibilité de profils qualifiés sur le marché, dans un contexte où la demande pour ces compétences dépasse largement l'offre disponible.
Le SOC managé : le principe et ses limites
Un SOC managé (SOC as a Service) consiste à confier tout ou partie de cette fonction de surveillance à un prestataire externe spécialisé, qui mutualise ses équipes et ses outils entre plusieurs clients. L'entreprise bénéficie d'une capacité de détection sans porter seule le coût de recrutement et d'outillage, ce qui rend la fonction accessible à des organisations qui n'auraient pas les moyens de construire un SOC complet en interne. Ce n'est pas une solution universelle instantanée : la qualité dépend fortement de l'intégration réalisée avec les systèmes existants, du périmètre réellement couvert (tous les systèmes ou seulement une partie), et du niveau de service convenu (temps de réaction, plages de couverture, canaux d'escalade) — des éléments qui doivent être clairement définis dans le cadre de chaque engagement, plutôt que présumés par défaut ou supposés identiques d'un prestataire à l'autre.
Coûts et rareté des talents : le nœud du problème au Maroc
Au Maroc comme ailleurs, les profils cybersécurité expérimentés (analystes SOC, ingénieurs détection) sont peu nombreux et recherchés, ce qui rend le recrutement long et coûteux pour une PME qui n'a pas cette activité comme cœur de métier. Le turnover sur ces postes est également un enjeu réel : un analyste formé pendant plusieurs mois peut être recruté par une organisation plus importante, ce qui oblige à recommencer le cycle de recrutement et de formation. Construire une équipe complète capable d'assurer une couverture large a un coût fixe important, indépendamment du volume réel d'incidents à traiter — ce coût existe que l'entreprise subisse une tentative d'intrusion par semaine ou par trimestre. C'est cet argument de rareté et de coût fixe qui pousse une large part des PME et ETI à considérer le SOC managé comme une option plus réaliste pour accéder à une capacité de détection sans immobiliser plusieurs postes à temps plein sur une fonction qui n'est pas leur activité principale. Cette rareté touche aussi les profils intermédiaires (responsables sécurité, architectes) nécessaires pour encadrer une équipe SOC interne, ce qui complique encore la constitution d'une équipe complète et autonome sans passer par un accompagnement externe au moins pour la mise en place initiale.
Critères de décision : comment choisir
Plusieurs critères aident à trancher entre les deux options, ou à définir le bon dosage entre elles. La taille et la complexité de l'infrastructure : plus le système d'information est étendu et hétérogène, plus la valeur d'une surveillance continue augmente. Les contraintes réglementaires ou sectorielles spécifiques qui peuvent imposer certaines exigences de maîtrise interne selon le secteur d'activité. La maturité déjà présente en interne : une équipe IT existante, même petite, facilite grandement l'intégration d'un SOC managé en assurant la liaison technique et le suivi des recommandations. Le budget disponible, en gardant à l'esprit qu'un SOC interne complet représente un investissement récurrent important, alors qu'un SOC managé s'inscrit généralement dans un modèle de coût plus prévisible et évolutif. Dans la pratique, de nombreuses organisations optent pour un modèle hybride : une équipe interne réduite qui pilote la relation avec un SOC managé externe, garde la connaissance fine du contexte métier et prend les décisions finales, plutôt qu'un choix strictement binaire entre les deux options. Il est également utile de revisiter cette décision périodiquement : une PME qui grandit, qui change de secteur d'activité ou qui migre une part importante de son infrastructure vers le cloud peut voir ses besoins évoluer, ce qui justifie de reconsidérer l'équilibre entre capacités internes et externes plutôt que de considérer le choix initial comme définitif.