Première journée de cadrage : comprendre la feuille de route de la semaine, s'approprier les rôles au sein de l'équipe, et ancrer les fondamentaux de l'Incident Handling dans la culture opérationnelle du SOC. Les méthodes analogiques et le vrai-faux permettent de tester et corriger les représentations initiales.

Prise en main complète de l'UI, configuration des alertes et notifications, et maintien en conditions opérationnelles. En parallèle, compréhension des types de logs et de la taxonomie des événements — avec les vidéos de référence Chris Sanders comme support d'apprentissage autonome.

Journée centrale du parcours. Le matin est dédié au triage par jeu de rôle pompier — simulant la pression opérationnelle et la gestion des priorités sous contrainte. L'après-midi bascule sur l'investigation structurée, la rédaction des SOP et le reporting via brainstorm et mind map.

Journée AFEST complète en deux temps. Le matin en autonomie libre (Free for All) : l'apprenant prend en charge des incidents réels sans guidage, seul face à son environnement de production. L'après-midi en procédure guidée et chronomètrée : application des protocoles sous pression temporelle avec un instructeur en observateur.

Dernière journée orientée vers la montée en efficacité : API, SOAR, timelines automatisées et reporting structuré. La résolution de problèmes comme méthode pédagogique permet d'ancrer les automatisations dans des cas réels rencontrés pendant la semaine. La session de wrap-up conclut sur les axes de progrès individuels et collectifs.