Recruter un responsable SOC : profil, missions et entretien

Un SOC peut aligner d'excellents analystes et pourtant mal fonctionner : rotations épuisantes, règles de détection jamais revues, alertes qui s'accumulent sans que personne ne sache lesquelles comptent. Bien souvent, ce qui manque n'est pas un analyste de plus, mais quelqu'un qui pilote. Ce guide vous aide à définir le poste de responsable SOC, à reconnaître le bon profil et à l'évaluer sur ce qui fera réellement la différence.

Ce que fait un responsable SOC

Le responsable SOC (on parle aussi de SOC manager) n'est pas l'analyste N3 promu par ancienneté. Sa valeur se mesure à la qualité de la détection et à la santé de l'équipe, pas au nombre d'incidents qu'il traite lui-même.

Ses missions les plus fréquentes :

Organiser l'activité : planning des rotations et des astreintes, répartition entre niveaux N1, N2 et N3, procédures d'escalade claires.
Piloter la détection : décider quelles menaces couvrir en priorité, faire revoir les règles qui génèrent du bruit, suivre la couverture des sources de journaux.
Mesurer et rendre compte : construire des indicateurs utiles (délai de qualification, taux de faux positifs, couverture des actifs critiques) et les présenter au RSSI ou à la direction sans les maquiller.
Faire le lien avec la réponse à incident : savoir à quel moment une alerte devient un incident, qui prend la main et comment l'information circule.
Gérer les prestataires et les outils : piloter un MSSP le cas échéant, préparer les choix de SIEM ou d'EDR, suivre les contrats et les engagements de service.
Faire grandir l'équipe : recrutement, intégration, montée en compétence, prévention de l'usure liée au travail posté.

Si votre SOC est entièrement externalisé, le poste change de nature : il s'agit alors surtout de piloter un prestataire et de challenger ses rapports. C'est un profil proche, mais il faut l'écrire clairement dans l'annonce.

Pourquoi recruter ce poste maintenant

Plusieurs signaux montrent qu'un SOC a besoin d'un responsable dédié plutôt que d'un analyste supplémentaire :

Le RSSI passe une part importante de son temps à arbitrer des questions de planning ou de tri d'alertes.
Les analystes les plus expérimentés partent, souvent faute de perspective.
Personne ne sait dire quelle part du parc est réellement surveillée.
Les règles de détection s'empilent sans être revues ni documentées.
Les obligations de notification se rapprochent : la directive NIS2 (directive (UE) 2022/2555) impose aux entités concernées une alerte précoce dans les 24 heures après la prise de connaissance d'un incident important. Cela suppose une chaîne de détection et d'escalade qui fonctionne.

Notre article sur les profils à recruter pour NIS2 montre comment ce poste s'articule avec les autres rôles de l'équipe.

Le profil à rechercher

Une vraie culture de l'investigation

Un responsable SOC qui n'a jamais trié d'alertes ne saura ni juger la qualité d'un ticket ni repérer une règle mal conçue. Cherchez une expérience réelle d'analyse, idéalement jusqu'au niveau N2 ou N3 : lecture de journaux Windows et Active Directory, usage d'un EDR, raisonnement d'enquête. Il n'a pas besoin d'être le meilleur technicien de l'équipe, mais il doit savoir poser les bonnes questions à celui qui l'est.

Le sens de l'organisation et de la mesure

C'est ce qui distingue ce poste d'un poste d'analyste senior. Le candidat doit savoir construire un planning soutenable, prioriser des chantiers de détection, et utiliser des indicateurs pour décider plutôt que pour décorer un tableau de bord.

Le management d'une équipe en rotation

Encadrer une équipe qui travaille de nuit, le week-end ou en astreinte demande une attention particulière : équité des plannings, gestion de la fatigue, perspectives d'évolution. Notre article sur la fidélisation des équipes cyber détaille les leviers qui comptent, et ce responsable en sera le premier garant.

Une communication à deux niveaux

Le responsable SOC parle aux analystes le matin et à la direction l'après-midi. Il doit savoir expliquer pourquoi une alerte a été classée sans suite, comme pourquoi un budget de journalisation supplémentaire est nécessaire.

D'où viennent les bons candidats

Origine	Atout	Point à vérifier
Analyste N3 ou lead technique de SOC	Connaissance fine de la détection et de l'outillage	Envie réelle de manager, et non simple souhait d'évolution salariale
Responsable d'équipe chez un MSSP	Habitude des volumes, des engagements de service et des rotations	Capacité à s'inscrire dans un seul environnement, avec ses contraintes métier
Ingénieur détection expérimenté	Méthode d'amélioration continue des règles	Expérience de l'encadrement et du pilotage d'un planning
Manager d'exploitation ou de supervision IT	Maîtrise de l'organisation en 24/7 et des astreintes	Profondeur de la culture sécurité et de l'investigation

Pour les profils issus de l'ingénierie de détection, notre guide pour recruter un ingénieur détection vous aide à apprécier la partie technique.

Les compétences à évaluer

Voici une grille à partager entre tous les membres du jury :

Triage et investigation : sait-il juger rapidement la qualité d'une analyse et repérer une conclusion hâtive ?
Stratégie de détection : comment choisit-il les menaces à couvrir en priorité, et sur quelles sources de journaux ?
Réduction du bruit : quelle démarche propose-t-il face à une règle qui génère surtout des faux positifs ?
Indicateurs : quels indicateurs suit-il, et lesquels refuse-t-il de suivre parce qu'ils poussent aux mauvais comportements ?
Organisation : comment construit-il un planning de rotation et d'astreintes soutenable ?
Escalade : où place-t-il la frontière entre le SOC et l'équipe de réponse à incident ?
Pilotage d'un prestataire : comment challenge-t-il un MSSP sur la qualité de ses alertes ?
Management : comment fait-il progresser un N1 vers le N2, et comment gère-t-il un analyste en difficulté ?

Les certifications attestent d'un apprentissage, pas d'une capacité à piloter. Notre article sur les certifications en cybersécurité aide à les situer à leur juste place.

Une mise en situation qui révèle le niveau

Un entretien classique mesure mal la capacité à piloter un SOC. Une mise en situation d'une heure, menée par un praticien de la sécurité, en dit beaucoup plus. Voici un format simple.

Le scénario

Remettez au candidat un dossier fictif décrivant un SOC : effectif, organisation des rotations, outils, sources de journaux raccordées, quelques indicateurs qualitatifs (« beaucoup de faux positifs sur les connexions VPN », « postes de travail bien couverts, serveurs cloud peu journalisés »), et deux ou trois tickets réels anonymisés ou entièrement synthétiques.

Les questions

Quelles sont vos trois priorités pour les 90 premiers jours, et pourquoi celles-là ?
Que pensez-vous de la qualité de ces tickets, et que diriez-vous à leurs auteurs ?
Quels indicateurs présenteriez-vous au RSSI le mois prochain ?
Un analyste vous signale qu'il ne tient plus le rythme des astreintes. Que faites-vous ?

Écoutez surtout le raisonnement : le candidat pose-t-il des questions avant de proposer ? Distingue-t-il ce qui relève de l'outil, du processus et de l'humain ? Sait-il renoncer à certaines ambitions pour sécuriser l'essentiel ?

Cette démarche rejoint celle que nous appliquons à tous les profils : nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques, et pour un poste de pilotage, nous complétons par une mise en situation de ce type. Pour structurer le reste de l'entretien, notre méthode pour structurer un entretien technique cyber s'applique aussi à ce poste.

Préparer une offre crédible

Un bon responsable SOC regarde moins le titre que les moyens. Soyez précis sur :

Le périmètre : SOC interne, hybride ou externalisé, nombre d'analystes, couverture horaire.
Le rattachement : au RSSI, à la DSI ou à une direction des opérations. Ce choix dit beaucoup de la place donnée à la sécurité.
Le budget et la marge de manœuvre : peut-il faire évoluer l'outillage, recruter, choisir ses prestataires ?
Les astreintes : participe-t-il lui-même aux rotations, et dans quelles conditions ?
L'évolution : vers un poste de RSSI adjoint, de responsable des opérations de sécurité, ou vers un périmètre élargi à la réponse à incident.

Les rémunérations varient fortement selon la taille de l'équipe, le secteur, la région et le poids des astreintes. Fixez une fourchette réaliste dès le cadrage pour ne pas perdre un bon candidat au moment de l'offre.

Les erreurs à éviter

Promouvoir le meilleur analyste par défaut : un excellent technicien peut être malheureux dans un rôle de management. Posez-lui la question franchement.
Recruter un gestionnaire sans culture technique : l'équipe le sentira vite et cessera de lui remonter les vrais problèmes.
Confondre responsable SOC et responsable réponse à incident : les deux rôles se parlent, mais n'exigent pas les mêmes réflexes. Notre guide pour recruter un responsable réponse à incident détaille le second.
Cacher l'état réel du SOC : un candidat sérieux demandera à voir les indicateurs. S'il découvre la réalité après son arrivée, il repartira.
Un processus trop long : les profils de ce niveau sont rares et souvent sollicités. Prévoyez peu d'étapes et des retours rapides.

En résumé

Recruter un responsable SOC, c'est chercher un équilibre rare : assez de profondeur technique pour être crédible auprès des analystes, assez de méthode pour piloter la détection avec des indicateurs utiles, et assez d'attention humaine pour qu'une équipe en rotation tienne dans la durée. Une grille partagée, une mise en situation réaliste et une offre transparente sur les moyens vous éviteront la plupart des erreurs. Pour renforcer ensuite l'équipe qu'il encadrera, notre guide pour recruter un analyste SOC prend le relais.

Vous cherchez un responsable SOC ? Confiez-nous votre besoin : un recruteur et un praticien de la sécurité mènent la recherche ensemble, et chaque candidat présélectionné a fait ses preuves sur un lab pratique. Découvrez notre façon de travailler.