Dans un paysage numérique où la continuité de service est aussi critique que la protection des données, les entreprises structurent leur défense et leur maintenance autour de centres dédiés. Le SOC et le NOC sont souvent confondus, pourtant leurs missions, bien que complémentaires, sont radicalement différentes. Cet article détaille leurs périmètres, leurs interactions et comment choisir le bon modèle pour votre organisation.

Définitions et périmètres techniques

Pour optimiser une infrastructure, il est impératif de comprendre qui fait quoi. Chaque entité répond à des enjeux spécifiques avec des outils propres.

SOC : La vigie cybersécurité

Le SOC est une structure opérationnelle 24/7/365 dont l'unique but est la sécurité du SI. Il collecte les logs de l'ensemble de l'infrastructure via un SIEM (Security Information and Event Management) pour détecter des anomalies comportementales.

Ses analystes ne s'intéressent pas à une panne de serveur, sauf si elle est causée par une attaque. Leurs KPIs majeurs sont le MTTD (Temps moyen de détection) et le MTTR (Temps moyen de réponse). Ils utilisent des outils de Threat Intelligence pour anticiper les attaques avant qu'elles ne frappent.

NOC : Le garant de la disponibilité

Le NOC est responsable de la santé opérationnelle. Son rôle est de maintenir les "lumières allumées". Il supervise les routeurs, switchs, serveurs et applications.

Si un lien fibre est coupé ou si un disque dur est plein, c'est le NOC qui intervient. Ils utilisent des outils de supervision (type Nagios, Zabbix, PRTG) et gèrent la gestion des correctifs (patch management) et les sauvegardes pour garantir les SLA (Service Level Agreements).

CSIRT & CERT : Les pompiers du numérique

Contrairement au SOC qui fait de la surveillance continue, le CSIRT (Computer Security Incident Response Team) intervient en réaction à un incident avéré et critique (ex: ransomware paralysant l'activité). C'est une équipe d'intervention d'urgence. Le terme CERT est souvent utilisé de manière interchangeable, bien qu'il désigne historiquement des centres d'alerte nationaux (comme le CERT-FR).

Tableau comparatif détaillé : SOC vs NOC

Bien qu'ils partagent souvent le même "open space" ou les mêmes écrans muraux, leurs réalités opérationnelles divergent fortement.

Synergie : Pourquoi les dissocier est une erreur

L'efficacité réelle réside dans la collaboration entre ces deux entités. Le cloisonnement (silos) est le meilleur allié des attaquants. Voici deux exemples concrets où la coopération est vitale :

• L'attaque DDoS : Le NOC détecte une latence anormale et une saturation des liens (problème de performance). Il alerte le SOC, qui analyse le trafic pour confirmer qu'il s'agit d'une attaque malveillante et non d'un pic d'activité légitime. Le SOC active les règles de filtrage, le NOC reroute le trafic.
• Le Ransomware : Le SOC détecte une tentative d'exfiltration de données ou un chiffrement suspect. Il ordonne l'isolement de la machine. Le NOC intervient ensuite pour restaurer les systèmes à partir des sauvegardes saines ("Cold Storage") et remettre la production en route le plus vite possible.

Choisir son modèle : Interne, Managé ou Hybride

Le choix du modèle opérationnel dépend de la maturité de l'entreprise, de sa taille et de ses contraintes réglementaires (OIV, OSE, RGPD).

1. Le modèle 100% Interne

Privilégié par les très grandes structures et les secteurs sensibles (Défense, Banque). Il offre une maîtrise totale des données et une réactivité immédiate.
Inconvénient : Le coût est prohibitif pour la plupart des entreprises (nécessite >1M€/an et le recrutement d'au moins 6 à 10 experts pour assurer le 24/7).

2. Le modèle Externalisé (MSP / MSSP)

La solution la plus courante pour les PME et ETI. Un prestataire (MSP) fournit le NOC et le SOC. Vous bénéficiez d'une expertise de pointe et d'outils mutualisés pour un coût mensuel prévisible.
Avantage : Déploiement rapide et accès à des technologies coûteuses (SIEM, SOAR) sans investissement initial (CAPEX).

3. Le modèle Hybride

Le compromis idéal pour monter en maturité. Vous conservez une petite équipe interne pour la stratégie, la gouvernance et la gestion des incidents critiques, tout en déléguant la surveillance "bruit de fond" (Niveau 1) et le travail de nuit à un partenaire spécialisé.

Questions fréquentes (FAQ)