Quelles sont les missions et le rôle d’un Analyste SOC ?
L’Analyste SOC (pour Security Operations Center) est le spécialiste de la défense informatique, aussi appelée Blue Team. Sa mission est de surveiller en permanence les systèmes d’information de l’entreprise pour repérer, qualifier et traiter les tentatives d’attaque avant qu’elles ne causent des dommages. Il exerce au sein d’un centre opérationnel de sécurité, qui fonctionne souvent en continu (24/7) pour les structures les plus exposées.
Son quotidien s’articule autour des missions suivantes :
- Surveillance et détection : Monitorer en temps réel les flux et les journaux via un SIEM (Splunk, QRadar, Microsoft Sentinel) pour repérer les comportements suspects et les signaux de sécurité.
- Analyse et qualification des alertes : Trier les remontées, écarter les faux positifs et qualifier la gravité d’un cas réel pour décider de la réponse appropriée.
- Réponse aux incidents : Réagir rapidement pour contenir une menace (isoler une machine, bloquer un compte, couper un flux) et limiter la propagation de l’attaque.
- Investigation et threat hunting : Mener des recherches proactives de menaces dans les systèmes (threat hunting) et investiguer l’origine d’une compromission pour comprendre la chaîne d’attaque.
- Amélioration continue : Affiner les règles de détection, réduire le bruit des remontées, documenter les cas traités et contribuer à l’enrichissement de la threat intelligence.
Vous recherchez à recruter un Analyste SOC ? Retrouvez notre page dédiée : Cabinet de recrutement Cybersécurité.
Comment s’organisent les niveaux N1, N2 et N3 dans un SOC ?
Le poste est structuré en trois échelons, qui correspondent à une montée progressive en compétences et en responsabilités :
Analyste SOC ou Pentester : quelles différences ? (Red, Blue et Purple Team)
L’Analyste SOC et le Pentester sont deux profils complémentaires de la sécurité informatique, mais aux postures opposées : le premier défend, le second attaque. C’est précisément ce qui structure la distinction entre Blue Team, Red Team et Purple Team, le vocabulaire incontournable du secteur.
Concrètement, l’Analyste SOC (Blue Team) est sur le pont en permanence, parfois en 24/7 : sa mission est continue et réactive. Le Pentester (Red Team), lui, intervient ponctuellement, sous forme d’audits et de tests d’intrusion planifiés. Voici les principales différences entre les deux postes :
| Critère | Analyste SOC (Blue Team) |
Pentester (Red Team) |
|---|---|---|
| Posture | Défensive | Offensive |
| Objectif | Détecter et réagir | Trouver et exploiter les failles |
| Rythme | Surveillance continue (24/7) | Missions ponctuelles |
La Purple Team n’est donc pas une troisième cellule, mais la boucle vertueuse qui relie les deux : les attaques simulées par la Red Team servent à entraîner et à affiner la vigilance de la Blue Team, qui ajuste en retour ses règles et ses scénarios. Pour découvrir l’autre versant de cette collaboration, retrouvez notre fiche dédiée au Pentester.
Avec qui l’Analyste SOC collabore-t-il au sein d’une entreprise ?
Il travaille en étroite collaboration avec les autres métiers de la sécurité informatique. Il échange en permanence avec ses collègues du centre selon la logique d’escalade N1 → N2 → N3, et alimente le travail des équipes de réponse à incident (CERT/CSIRT) lors des crises.
Il collabore aussi avec la DSI (les administrateurs systèmes et réseaux, les équipes infrastructures et les profils DevOps) pour comprendre l’environnement qu’il surveille et appliquer les mesures de remédiation après une compromission.
Il interagit également avec les profils offensifs comme les Pentesters, dont les rapports d’audit aident à prioriser les chantiers de sécurisation (logique Purple Team), et avec les Consultants GRC, qui définissent les politiques et exigences que le centre contribue à faire respecter.
À qui reporte l’Analyste SOC au sein d’une entreprise ?
Il reporte généralement à un SOC Manager ou à un Responsable de la détection / réponse, qui pilote l’activité du centre opérationnel de sécurité. Ce responsable est lui-même rattaché au RSSI ou au CISO, qui dirige la politique de sécurité de l’entreprise.
Lorsque le SOC est externalisé (cas fréquent via un MSSP, Managed Security Service Provider), il est employé par le prestataire et travaille pour le compte de plusieurs clients, sous la responsabilité d’un manager d’équipe.
Quelles sont les compétences recherchées pour un Analyste SOC ?
Les compétences attendues sur ce poste sont :
- La maîtrise des plateformes du SOC : SIEM (Splunk, QRadar, Microsoft Sentinel), EDR/XDR et solutions SOAR pour l’automatisation de la réponse.
- Une bonne culture systèmes et réseaux : Linux/Windows, protocoles TCP/IP, et compréhension fine des journaux d’événements (logs).
- La connaissance des techniques d’attaque, structurée par le référentiel MITRE ATT&CK, et une culture de la threat intelligence.
- Des compétences en scripting (Python, PowerShell) pour automatiser les analyses et les tâches récurrentes.
- Des soft skills spécifiques : rigueur, réactivité, gestion du stress (en situation de crise), esprit d’analyse et bonne communication pour documenter et escalader les incidents.
Quels sont les outils utilisés par un Analyste SOC ?
Le poste repose sur une pile logicielle bien identifiée, que l’on retrouve dans la quasi-totalité des offres d’emploi du secteur : un SIEM au centre du dispositif, complété par des solutions EDR/XDR côté postes de travail et par un SOAR pour automatiser la réponse.
Le SIEM, outil central de l’Analyste SOC
Le SIEM (Security Information and Event Management) est le poste de pilotage du centre de sécurité. Il centralise les journaux d’événements de l’ensemble du système d’information (postes de travail, serveurs, pare-feu, applications, cloud), puis les corrèle pour faire remonter les comportements anormaux sous forme d’alertes.
C’est l’outil dans lequel il passe le plus clair de sa journée : il y trie les alertes, écarte les faux positifs et mène ses investigations en remontant la chaîne d’attaque log par log. Les solutions les plus répandues sur le marché français sont Splunk, IBM QRadar, Microsoft Sentinel et Elastic Security.
La maîtrise du langage de requête associé (SPL pour Splunk, KQL pour Sentinel) est un différenciateur fort en entretien : elle conditionne sa capacité à investiguer vite, mais aussi à écrire et affiner ses propres règles de détection.
EDR, XDR et SOAR : les outils complémentaires
L’EDR (Endpoint Detection and Response) surveille les postes et serveurs au plus près : il détecte les comportements malveillants sur la machine et permet d’agir à distance, par exemple en isolant un poste compromis. CrowdStrike, SentinelOne et Microsoft Defender for Endpoint en sont les références. L’XDR en est l’extension : il élargit cette couverture au réseau, à la messagerie et au cloud, avec une corrélation native entre ces sources.
Le SOAR (Security Orchestration, Automation and Response) automatise quant à lui les gestes répétitifs de la réponse à incident : enrichissement automatique d’une alerte, blocage d’une adresse IP, ouverture de ticket, envoi d’un playbook prédéfini. Il fait gagner un temps considérable sur les alertes de niveau N1 et permet de se concentrer sur les investigations à forte valeur.
À ces plateformes s’ajoutent les outils du quotidien : plateformes de threat intelligence (MISP, VirusTotal) pour qualifier un indicateur de compromission, analyse réseau (Wireshark, Zeek), sandbox pour détonner un fichier suspect, et scripts maison en Python ou PowerShell pour automatiser les tâches récurrentes. Le référentiel MITRE ATT&CK sert de langage commun pour cartographier les modes opératoires observés et mesurer la couverture du dispositif.
Quelles formations et diplômes pour devenir Analyste SOC ?
Quel bac choisir pour devenir Analyste SOC ?
Aucun bac ne mène directement au métier, mais certaines voies facilitent nettement la suite du parcours. Le bac général avec la spécialité NSI (Numérique et Sciences Informatiques), idéalement associée aux mathématiques, reste le socle le plus solide pour intégrer une école d’ingénieurs ou un BUT informatique.
Le bac technologique STI2D, option SIN (Systèmes d’Information et Numérique), constitue une bonne alternative vers un BTS ou un BUT. Le bac professionnel CIEL (Cybersécurité, Informatique et réseaux, Électronique), qui a remplacé le bac pro SN, ouvre quant à lui la voie à un BTS puis à une licence professionnelle.
Rien n’est joué au lycée : beaucoup de profils arrivent dans la Cyber après une reconversion ou une première expérience en administration d’infrastructures. Un profil venu d’un bac non scientifique peut tout à fait rejoindre le domaine via un BTS, une licence professionnelle ou un bootcamp spécialisé.
Les formations à l’université et en école
Le métier est accessible à partir d’un Bac+3 (licence professionnelle, BUT informatique ou réseaux), ce qui en fait souvent un point d’entrée dans la défense informatique, notamment au niveau N1. Les écoles d’ingénieurs et les masters universitaires spécialisés en cybersécurité ou en sécurité de l’information mènent quant à eux plus directement vers des postes N2 / N3 et des trajectoires d’expertise.
Une bonne connaissance des systèmes et des réseaux est indispensable : beaucoup viennent d’une première expérience en administration d’infrastructures avant de se spécialiser dans la défense.
Les certifications en cybersécurité défensive
Les certifications sont particulièrement valorisées pour ce métier très opérationnel. Côté fondamentaux, la CompTIA Security+ et le Blue Team Level 1 (BTL1) sont d’excellents points de départ. Les certifications éditeurs (Splunk Certified, Microsoft Sentinel) attestent de la maîtrise des outils. Pour les profils plus avancés, les certifications du SANS comme la GCIA (analyse d’intrusion) ou la GCIH (gestion des incidents) sont des références reconnues.
Le métier étant très opérationnel et accessible dès un niveau Bac+3, des instituts de formation en ligne constituent une bonne porte d’entrée pour débuter ou progresser, comme les formations en cybersécurité de Liora.
👉 Retrouvez notre article comparatif des meilleures formations en cybersécurité pour avoir plus d’informations sur ces écoles, ainsi que le coût de l’inscription.
Quel est le salaire pour un Analyste SOC ?
| Niveau d'expérience | Salaire Annuel Brut |
|---|---|
| Analyste N1 (0-2 ans) | 35 000 € - 42 000 € |
| Analyste N2 (3-5 ans) | 45 000 € - 58 000 € |
| Analyste N3 / Senior (5 ans +) | 60 000 € - 75 000 €+ |
La rémunération suit assez fidèlement les échelons N1 / N2 / N3. Un profil N1 débute généralement entre 35 000 € et 42 000 € annuel brut. Avec l’expérience, un N2 confirmé atteint 45 000 € à 58 000 € annuel. Les analystes N3, experts en détection et réponse à incident, dépassent fréquemment les 60 000 € annuel et peuvent viser 75 000 € et au-delà, notamment sur des postes à forte exposition ou avec des astreintes.
Comme les autres métiers de l’informatique, les salaires sont fortement impactés par la localisation. Le salaire annuel est plus élevé pour les postes à Paris, par rapport au reste du pays. Les contraintes d’horaires (travail posté, astreintes 24/7) donnent par ailleurs souvent lieu à des primes spécifiques.
👉 Pour aller plus loin, retrouvez notre grille détaillée des salaires dans la cybersécurité, avec la rémunération par métier et par niveau d’expérience.
Quelles sont les perspectives d’évolution pour un Analyste SOC ?
Souvent occupé en début de carrière, le poste est l’un des meilleurs tremplins de la Cyber : le poste ouvre des trajectoires d’évolution claires. La voie de l’expertise technique le mène du N1 vers le N2 puis le N3, et au-delà vers des spécialités pointues : analyste threat intelligence, ingénieur détection, ou expert en réponse à incident et forensics au sein d’un CERT/CSIRT.
La voie du management permet d’évoluer vers un rôle de SOC Manager, qui pilote l’équipe et l’activité du centre opérationnel, puis vers des fonctions de RSSI ou de CISO.
Enfin, certains analystes choisissent une réorientation transverse vers des métiers connexes : passer côté offensif comme Pentester, s’orienter vers le conseil et la gouvernance comme Consultant GRC, ou rejoindre l’ingénierie sécurité comme Ingénieur Cybersécurité.
Quelles sont les entreprises les plus en demande d’Analystes SOC ?
La demande est très soutenue, portée par l’augmentation constante des cyberattaques. Les MSSP et les ESN spécialisées (prestataires de SOC managé) sont les premiers recruteurs : ils opèrent des centres mutualisés pour de nombreux clients et embauchent en continu, en particulier sur les niveaux N1 et N2. C’est une porte d’entrée idéale pour débuter et monter rapidement en compétences.
Les grands groupes et les secteurs régulés (banque, assurance, énergie, télécoms, défense) disposent de SOC internes étoffés et recrutent des analystes de tous niveaux, souvent en horaires postés pour assurer une couverture continue.
L’écosystème startup, en particulier les scale-ups et licornes ayant atteint une taille critique, commence à internaliser des capacités de détection. Enfin, le secteur public et le secteur de la santé, devenus des cibles privilégiées, recrutent activement des profils défensifs au sein de leurs équipes sécurité.
Pour aller plus loin sur le métier d’Analyste SOC
Vous êtes un candidat à la recherche d’une offre d’emploi en SOC ou en cybersécurité en France ou à distance (Paris, Lyon, Bordeaux, Bretagne…) ? Retrouvez toutes nos offres d’emploi pour des postes dans le domaine de la Cyber sur la plateforme de recrutement Licorne Society. Toutes nos offres d’emploi sont disponibles en CDI, Freelance, Stage et Alternance. Nos annonces sont localisées sur toute la France (Paris, Lyon, Bordeaux, Marseille, Nantes…), dans plusieurs pays d’Europe et à distance en télétravail.
👉 Vous recrutez dans la Tech au global ? Notre page Cabinet de Recrutement Tech pourra vous intéresser.
