Comment former ses équipes à travailler avec un SOC managé ?
Former ses équipes au SOC managé, c'est apprendre à lire une alerte, appliquer l'escalade, agir sur demande du SOC et exploiter les rapports. Le programme type.
Former ses équipes à travailler avec un SOC managé, c’est leur apprendre quatre choses : utiliser la plateforme, appliquer la procédure d’escalade, exécuter les gestes de première réponse que le SOC demande, et exploiter les rapports. Il ne s’agit pas de faire des techniciens des analystes, mais de leur permettre de recevoir une alerte, de décider et d’agir vite.
Cet article complète Comment mettre en place un SOC managé ?. Il s’adresse d’abord aux infogérants, dont les équipes sont le relais quotidien entre le SOC et les clients.
Qui former, et sur quoi
| Profil | Ce qu’il doit savoir faire |
|---|---|
| Techniciens support et astreinte | Recevoir une alerte, qualifier l’urgence, exécuter une action demandée par le SOC |
| Responsable technique | Valider les exclusions, arbitrer les décisions d’isolement, suivre les vulnérabilités |
| Chargés de compte | Présenter les rapports mensuels au client, expliquer ce que couvre le service |
| Direction | Comprendre son rôle en cas d’incident grave et les décisions qui lui reviennent |
Pour la direction, la question n’est pas que pratique : l’article 20, paragraphe 2, de NIS2 prévoit que les membres des organes de direction des entités concernées suivent une formation en cybersécurité. Savoir si et comment ce texte s’applique à une organisation donnée relève de son conseil juridique.
Module 1 : la plateforme
La première étape est la prise en main de la console. Sur la plateforme Cyna, une seule console regroupe tous les clients de l’infogérant, avec un cloisonnement strict et des permissions attribuées par intervenant. Les points à couvrir :
- naviguer entre les clients et filtrer les alertes ;
- comprendre les niveaux de gravité et les statuts d’un incident ;
- consulter le tableau de bord des vulnérabilités ;
- exporter les rapports mensuels en CSV ou PDF, en marque blanche.
Le programme partenaire Cyna Ignite prévoit un onboarding plateforme et des sessions techniques ; les modalités sont décrites dans le programme partenaire.
Module 2 : la procédure d’escalade
C’est le cœur de la formation. Chaque technicien doit savoir, sans chercher :
- Qui le SOC appelle, dans quel ordre, et à quelles heures.
- Ce qui est attendu de lui selon la gravité : simple information, vérification, action immédiate.
- Qui il doit prévenir à son tour, côté infogérant et côté client.
- Quand une situation bascule en réponse à incident, avec le CERT.
La procédure se construit avant la formation, pas pendant. Voir Comment construire une procédure d’escalade avec un SOC ?.
Module 3 : les gestes de première réponse
Quand le SOC détecte une attaque, il peut, selon ce qui a été convenu, agir directement via l’EDR (isolement d’un poste, arrêt d’un processus). Certaines actions restent du ressort de l’infogérant ou du client : réinitialiser un mot de passe, désactiver un compte, couper un accès VPN, prévenir un utilisateur. Les équipes doivent connaître ces gestes et savoir les exécuter de nuit comme de jour.
Un point d’attention : ne pas effacer de traces. Réinstaller un poste compromis avant l’analyse détruit des preuves utiles. Voir Comment isoler un système sans détruire les preuves ? et Que se passe-t-il quand un SOC managé détecte une attaque ?.
Module 4 : les rapports et les faux positifs
Les équipes doivent savoir lire un rapport mensuel et en tirer des actions : comptes à désactiver, correctifs à appliquer, règles à ajuster. Elles doivent aussi savoir signaler un faux positif au SOC avec le bon contexte (une tâche planifiée légitime, un outil d’administration connu), plutôt que d’ignorer l’alerte. Voir Comment gérer les faux positifs au démarrage d’un SOC ?.
Apprendre par l’exercice
Une présentation ne suffit pas. Le plus efficace est un exercice sur incident simulé : le SOC envoie une alerte fictive, l’équipe déroule la procédure, puis on débriefe. Les recommandations du NIST (SP 800-61 révision 3) insistent sur la préparation et l’amélioration continue de la réponse : l’exercice sert exactement à cela.
Ce type d’exercice révèle vite les manques concrets : un numéro d’astreinte erroné, un technicien sans accès à la console, une décision d’isolement que personne n’ose prendre. Ce sont des erreurs classiques, détaillées dans Quelles erreurs éviter lors de la mise en place d’un SOC managé ?.
Faire le point avec un expert
Vous voulez organiser la formation de vos équipes au travail avec un SOC managé ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Combien de personnes former chez l'infogérant ?
Au minimum toutes celles qui peuvent recevoir un appel du SOC, y compris l'astreinte. Une seule personne formée crée un point de blocage les soirs, les week-ends et pendant les congés.
Les commerciaux doivent-ils être formés aussi ?
Oui, sur un autre volet : savoir expliquer l'offre et ce qu'elle couvre. Voir Comment présenter une offre SOC à ses clients quand on est MSP ?.
Faut-il former les utilisateurs finaux du client ?
La sensibilisation des utilisateurs reste utile, mais c'est un sujet distinct. Le SOC peut toutefois demander à un utilisateur de confirmer une connexion ou un envoi : il doit savoir que cet appel est légitime.
À quelle fréquence refaire la formation ?
À chaque arrivée dans l'équipe, et en rafraîchissement régulier, par exemple après un incident réel ou une évolution de la procédure d'escalade.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.