Onboarding d'un analyste SOC : les 90 premiers jours
Onboarding d'un analyste SOC : accès, binôme, procédures, montée progressive vers l'autonomie et les astreintes. Un plan concret sur 90 jours pour les équipes.
Un analyste SOC bien recruté peut rester des semaines à regarder un écran sans savoir quoi faire de ses alertes. Ce n'est pas un problème de compétence : c'est un problème d'intégration. Ce guide propose un plan concret sur 90 jours pour qu'un nouvel analyste devienne autonome, utile à l'équipe et confiant dans son choix.
Pourquoi l'onboarding SOC est un cas particulier
Dans la plupart des métiers, une intégration ratée coûte du temps. Dans un SOC, elle crée aussi un risque. Un analyste qui ne connaît pas encore le périmètre, les actifs critiques ou les procédures d'escalade peut classer à tort une alerte réelle, ou au contraire escalader tout ce qu'il voit et saturer les niveaux supérieurs.
Trois particularités rendent l'exercice plus exigeant qu'ailleurs :
- Le contexte compte autant que l'outil. Un analyste expérimenté connaît le SIEM et l'EDR. Il ne connaît pas encore vos comptes de service, vos tâches planifiées légitimes ni les applications métier qui génèrent du bruit.
- Le travail est souvent posté. Les rotations, les nuits et les week-ends compliquent l'accompagnement : le référent n'est pas toujours présent quand la recrue en a besoin.
- Les droits sont sensibles. Donner un accès complet le premier jour pose des questions de sécurité ; ne rien donner bloque l'apprentissage.
Ces contraintes se préparent avant l'arrivée, idéalement dès la phase de recrutement. Si vous en êtes encore à définir le poste, commencez par notre guide pour recruter un analyste SOC.
Avant le premier jour : préparer le terrain
Une bonne intégration commence pendant le préavis. Notre article sur les délais de recrutement en cybersécurité rappelait que garder le lien pendant cette période évite bien des désistements. C'est aussi le moment de préparer concrètement l'arrivée.
La checklist d'avant arrivée
- Poste de travail configuré, comptes créés, MFA prêt à être activé.
- Accès en lecture au SIEM, à l'EDR et à l'outil de ticketing demandés, avec un périmètre défini.
- Documentation rassemblée : cartographie du périmètre surveillé, liste des actifs critiques, procédures d'escalade, playbooks.
- Référent désigné, avec du temps réellement libéré dans son planning.
- Planning des premières semaines établi, en horaires de journée.
- Objectifs des 30, 60 et 90 jours rédigés et partagés avec la recrue dès son arrivée.
Le dernier point est souvent oublié. Pourtant, un analyste qui sait ce qu'on attend de lui à chaque étape s'organise seul et pose de meilleures questions.
Jours 1 à 30 : comprendre avant d'agir
Le premier mois sert à construire le contexte. L'objectif n'est pas que la recrue traite des alertes seule, mais qu'elle comprenne ce que l'équipe protège et comment elle travaille.
Découvrir l'environnement
Organisez des rencontres courtes avec les équipes que l'analyste sollicitera pendant un incident : infrastructure, réseau, support, équipes applicatives, et le RSSI ou son équivalent. Savoir qui appeler, et comment cette personne préfère être sollicitée, fera gagner un temps précieux le jour d'un vrai incident.
Faites aussi présenter les actifs critiques. Une alerte sur un contrôleur de domaine ou sur le serveur de paie ne se traite pas comme une alerte sur un poste de test.
Observer en binôme
Pendant les premières semaines, la recrue travaille aux côtés d'un analyste confirmé. Elle observe le triage, puis le pratique avec relecture. Le binôme explique ses choix à voix haute : pourquoi telle alerte est un faux positif connu, pourquoi telle autre mérite une recherche complémentaire.
Lire l'historique
Les tickets clos des derniers mois sont une mine d'apprentissage. Demandez à la recrue d'en relire une sélection, en particulier les incidents confirmés et les faux positifs récurrents. Elle y apprend le vocabulaire de l'équipe, le niveau de détail attendu et les pièges propres à votre environnement.
Objectif de fin de mois : la recrue sait expliquer le périmètre surveillé, retrouver une procédure, identifier les interlocuteurs clés et trier sous supervision les alertes les plus courantes.
Jours 31 à 60 : pratiquer avec un filet
Le deuxième mois, la recrue prend en charge une file d'alertes réelle, d'abord sur un périmètre limité, puis de plus en plus large. La relecture reste systématique au début, puis devient ponctuelle.
| Pratique | Ce qu'elle apporte |
|---|---|
| Triage autonome sur un périmètre restreint | Confiance progressive, erreurs à faible impact |
| Relecture des tickets par le référent | Alignement sur le niveau de qualité attendu |
| Exercice sur table d'un scénario d'incident | Familiarité avec les procédures avant d'en avoir besoin |
| Participation, en observateur, à un incident réel | Compréhension de la coordination et de la communication |
| Proposition d'une amélioration (règle, procédure, documentation) | Regard neuf valorisé, premier impact visible |
Le dernier point mérite d'être encouragé. Un nouvel arrivant voit ce que l'équipe ne voit plus : une procédure obsolète, une règle trop bruyante, un playbook incomplet. Lui demander de documenter ces constats donne du sens à son travail et améliore le SOC.
C'est aussi le bon moment pour introduire l'astreinte, si le poste en comporte. Commencez par un créneau en doublure avec un analyste confirmé, puis un créneau seul avec un recours garanti. Les conditions annoncées pendant le recrutement doivent être respectées à la lettre : c'est un sujet où la confiance se perd vite, comme nous l'expliquions dans notre article sur le télétravail et les astreintes.
Objectif de fin de mois : la recrue trie de façon autonome les alertes de son périmètre, rédige des tickets exploitables sans relecture systématique et sait quand escalader.
Jours 61 à 90 : vers l'autonomie
Le troisième mois consolide l'autonomie et prépare la suite. La recrue couvre l'ensemble du périmètre attendu pour son niveau, participe pleinement aux rotations et commence à contribuer au-delà du triage.
Selon le niveau recruté, les attentes diffèrent :
- Analyste N1 : traitement autonome des alertes courantes, application rigoureuse des procédures, escalade argumentée.
- Analyste N2 : conduite d'investigations complètes sur les incidents escaladés, propositions de confinement, encadrement informel des N1.
- Analyste N3 : chasse aux menaces, ajustement ou création de règles de détection, amélioration des playbooks.
Ces niveaux doivent correspondre à ceux que décrivait la fiche de poste. Si vous avez utilisé notre modèle de fiche de poste d'analyste SOC, reprenez-le comme grille de lecture : il décrit déjà les missions attendues.
Objectif de fin de mois : la recrue est intégrée aux rotations comme n'importe quel membre de l'équipe et porte au moins une amélioration concrète.
Le point de fin de période d'essai
Au terme des trois mois, organisez un échange formel dans les deux sens. L'entreprise partage ce qu'elle observe ; la recrue dit ce qu'elle a découvert, ce qui correspond à ce qu'on lui avait présenté et ce qui s'en écarte.
Quelques questions utiles à poser :
- Qu'est-ce qui vous a le plus ralenti pendant ces trois mois ?
- Quelle partie de la documentation vous a manqué, ou induit en erreur ?
- Le rythme des rotations et des astreintes correspond-il à ce qui avait été annoncé ?
- Sur quels sujets aimeriez-vous progresser dans les six prochains mois ?
Les réponses servent deux fois : elles améliorent l'intégration du prochain arrivant, et elles posent les bases d'un plan de développement. C'est l'un des premiers leviers pour fidéliser vos équipes cyber.
Les erreurs les plus fréquentes
- Laisser la recrue attendre ses accès. Une semaine sans outils envoie un message de désorganisation, particulièrement mal perçu dans une équipe de sécurité.
- La mettre seule en rotation de nuit trop tôt. Le risque opérationnel s'ajoute au stress et à l'isolement.
- Confondre documentation et intégration. Un wiki ne remplace pas un référent disponible.
- Ne fixer aucun objectif. Sans repères, la recrue ne sait pas si elle progresse, et le manager non plus.
- Ne pas protéger le temps du référent. S'il doit accompagner en plus de sa charge habituelle, l'accompagnement sera le premier sacrifié.
- Ignorer les remarques de la recrue. Son regard neuf est une ressource ; le négliger décourage les suivantes.
En résumé
Un onboarding SOC réussi suit une logique simple : préparer les accès et la documentation avant l'arrivée, consacrer le premier mois au contexte, le deuxième à la pratique encadrée, le troisième à l'autonomie, puis faire un bilan honnête. Ce plan demande du temps à l'équipe, mais beaucoup moins qu'un recrutement à refaire après un départ en période d'essai.
Vous préparez l'arrivée d'un analyste SOC, ou vous cherchez encore le bon profil ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent avec vous le niveau réel du poste et ses conditions. Les candidats que nous présentons ont prouvé leurs compétences sur des labs pratiques, ce qui donne aussi à votre équipe une base claire pour construire leur intégration. Découvrez notre processus ou parlez-nous de votre besoin.