Analyse · Technique · Enquête ✳ mise à jour le 8 septembre 2026

Analyste SOC

Aussi appelé : Analyste opérateur SOC, SOC Analyst, Analyste sécurité niveau 1 ou niveau 2, Analyste en détection d'intrusion, Analyste Blue Team, Opérateur SOC.

L'analyste SOC surveille les alertes de sécurité d'une organisation, trie ce qui est grave de ce qui ne l'est pas, et déclenche la réponse quand une attaque est réelle.

Ce que fait vraiment un analyste soc

• Surveiller les alertes remontées par les outils de détection (SIEM, EDR, sondes réseau) pendant son créneau
• Qualifier chaque alerte : faux positif, comportement légitime ou incident réel
• Investiguer un incident de niveau 1 ou 2 : reconstituer ce qui s'est passé, sur quelle machine, avec quel compte
• Escalader vers le niveau supérieur ou l'équipe de réponse à incident (CERT ou CSIRT) avec un dossier propre
• Rédiger les tickets et les rapports d'incident, contribuer aux fiches réflexes (playbooks)
• Améliorer les règles de détection pour réduire le bruit et attraper ce qui passe entre les mailles

Journée type

Prise de poste avec le passage de consignes de l'équipe précédente. Revue de la file d'alertes classées par gravité : une connexion depuis un pays inhabituel, un exécutable inconnu sur un poste, un compte qui tente d'accéder à un partage sensible. Pour chaque cas : vérifier, recouper, décider, documenter. En milieu de journée, une alerte sort du lot : un poste communique avec une adresse connue comme malveillante. Isolement du poste, collecte des éléments, escalade au niveau 2 avec un dossier clair. Fin de créneau : rédaction des tickets, mise à jour d'une règle de détection trop bavarde, passation à l'équipe suivante. Les SOC fonctionnent souvent en horaires décalés ou en astreinte.

Faut-il savoir coder ?

Non pour commencer. Il faut être à l'aise avec la ligne de commande, lire des journaux d'événements (logs) et comprendre un réseau. Savoir écrire un petit script (Python, PowerShell) devient utile au bout d'un an pour automatiser les tâches répétitives.

Les profils qui réussissent

Les gens méthodiques qui aiment chercher l'anomalie dans une masse d'informations. Anciens techniciens support ou administrateurs systèmes (ils connaissent déjà les machines et les comptes) ; anciens opérateurs de salle de contrôle, de supervision industrielle ou de centre d'appels (habitués aux astreintes, aux procédures et au tri d'alertes) ; anciens comptables ou gestionnaires de paie (rigueur, tolérance aux tâches répétitives, œil pour l'écart) ; anciens militaires, pompiers, personnels soignants (calme sous pression, respect des procédures, travail en horaires décalés). Ce qui compte : la curiosité, la constance, le goût du détail, et accepter que la grande majorité des alertes soient sans suite.

Compétences transférables

• Ancien technicien support ou administrateur systèmes : connaissance des postes de travail, de l'Active Directory, des réseaux, lecture de logs
• Ancien opérateur de supervision (industrie, transport, énergie) : tri d'alarmes, procédures d'escalade, travail posté
• Ancien comptable, contrôleur ou gestionnaire de paie : rigueur, détection des écarts, traçabilité
• Ancien militaire, pompier ou soignant : sang-froid, respect des consignes, astreintes
• Ancien téléconseiller ou gestionnaire de tickets : rédaction claire, gestion des priorités, outils de ticketing

Compétences à acquérir

• Fonctionnement des réseaux (TCP/IP, DNS, HTTP) et des systèmes Windows et Linux
• Lecture et corrélation de journaux d'événements dans un SIEM (Splunk, Microsoft Sentinel, Elastic)
• Techniques d'attaque courantes et leur classification (matrice MITRE ATT&CK)
• Outils de détection sur les postes (EDR) et analyse de base d'un fichier ou d'un courriel suspect
• Méthode d'investigation et rédaction d'un rapport d'incident
• Anglais technique (documentation, alertes, outils)

Voies d’accès et certifications

• BTS SIO option SISR ou BUT Réseaux et télécoms, puis premier poste en SOC de niveau 1
• Licence professionnelle ou master en cybersécurité
• Formation de reconversion de six à douze mois (titre RNCP administrateur systèmes et réseaux ou analyste cybersécurité), souvent finançable via le CPF ou France Travail
• Passage interne depuis le support ou l'exploitation informatique, en se formant à la détection
• Entrée par un prestataire (ESN ou SOC externalisé) : c'est là que se trouvent le plus de postes de niveau 1
• Pratique personnelle sur des plateformes d'entraînement défensif (labs de détection, exercices Blue Team)

Certifications utiles

CompTIA Security+ (socle généraliste) · CompTIA CySA+ (analyse défensive) · BTL1 (Blue Team Level 1, très orientée pratique SOC) · Certification éditeur SIEM (Splunk Core Certified User, Microsoft SC-200) · Plus tard : GIAC GCIH ou GCIA

Salaire indicatif

38 000 à 48 000 € brut annuel (25e à 75e percentile), moyenne 42 500 € (Glassdoor France, 2025, données déclaratives). Les fourchettes par niveau relayées par une école (40 000 à 48 000 € en junior, 50 000 à 65 000 € en confirmé, Zeroday Cyber Academy, 2026) n'ont pas été vérifiées auprès d'un cabinet. Aucun chiffre Hays, Robert Half ou Michael Page visible pour ce poste dans les extraits consultés.

Source ✳ Glassdoor France, 2025 (page Salaire Analyste SOC) ; complément Zeroday Cyber Academy, 2026 · lien

Repère indicatif, jamais une promesse. Les fourchettes varient selon la région, l’expérience et la source ; nous n’affichons que des chiffres dont la source est visible.

L’idée reçue

Idée reçue : l'analyste SOC passe ses journées à repousser des attaques en direct. Réalité : la majorité du temps sert à qualifier des alertes qui n'ont rien de grave, à documenter et à affiner les règles. Les vrais incidents sont rares, et c'est justement ce qui rend la rigueur du quotidien importante.