SOC — chaîne de valeur, de la télémétrie brute à la décision humaine

Objectif : réduire le délai entre le premier signal et le confinement

SOC — chaîne de valeur, de la télémétrie brute à la décision humaine Objectif : réduire le délai entre le premier signal et le confinement 01 / Collecte et analyse 02 / Décision et action 1 · Télémétrie · six familles de sources · Collecte et analyse · matière première 1 · Télémétrie six familles de sources matière première 2 · Plateforme · schéma commun et rétention · Collecte et analyse · données 2 · Plateforme schéma commun et rétention données 3 · Analytique · corrélation, IA, chasse · Collecte et analyse · ATT&CK 3 · Analytique corrélation, IA, chasse ATT&CK 4 · Réponse · playbooks réversibles · Décision et action · SOAR 4 · Réponse playbooks réversibles SOAR 5 · Humain · triage et investigation · Décision et action · 24/7 5 · Humain triage et investigation 24/7 normalisation contexte décision validation Legend User UI Agent logic Policy Context / trace

Objectifs de temps par phase

  • • Détecter un scénario critique en moins de 15 minutes
  • • Qualifier en moins de 30 minutes grâce au triage assisté
  • • Confiner en moins d'une heure ; immédiatement si la propagation est active
  • • Alerte précoce à 24 h et notification à 72 h selon le régime applicable — un seul processus pour le CRA, NIS2 et le RGPD (PROC-002)

Encadrer l'IA du SOC

  • • Explicabilité obligatoire : un score non justifiable ne fonde pas une décision de confinement
  • • Aucune action destructive automatique : l'IA isole et révoque, elle ne supprime pas
  • • Red teamer l'assistant lui-même : la télémétrie est une entrée non fiable et peut contenir des instructions

Le bon indicateur n'est pas le volume

  • • Un SOC qui automatise sans réduire le bruit produit simplement des erreurs plus vite
  • • Suivre les délais, le taux de faux positifs et la couverture ATT&CK mesurée
  • • Le meilleur test reste le pire scénario exécuté de bout en bout