Formation
SOC Manager
Programme 5 jours. Conception, réalisation et évaluation d'un parcours de formation managériale pour les responsables d'équipes Security Operations Center.
Compréhension du besoin
Les équipes SOC disposent aujourd'hui de formations techniques solides pour leurs analystes. Les outils, les méthodologies de détection et les frameworks de référence sont enseignés et maîtrisés. Pourtant, de nombreuses organisations constatent que la performance opérationnelle ne suit pas : incidents mal escaladés, coordination défaillante entre niveaux d'analyse, épuisement des équipes.
Le problème n'est pas technique : il est organisationnel et managérial.
La formation des managers de SOC constitue un angle mort persistant. Si un analyste L1 sait détecter une alerte, il ne sait pas nécessairement les étapes claires et les contenus attendus par l'organisation, faute de processus clairs définis par son manager. Cette opacité entre les niveaux L1, L2 et L3 génère des frictions quotidiennes : doublons d'investigation, alertes perdues, responsabilités floues.
À ces dysfonctionnements structurels s'ajoutent des défauts de pilotage récurrents : missions mal définies, absence de vision d'équipe partagée, planification inadaptée aux contraintes d'astreinte et de rotation. Ces lacunes, tolérables en temps normal, deviennent critiques en période de crise.
Ces défauts organisationnels ne restent pas sans conséquence humaine. La charge cognitive permanente, l'absence de sens et les processus défaillants exposent les équipes SOC à des risques psychosociaux élevés, aggravés par les contraintes budgétaires fréquentes dans ce secteur.
- Hausse de l'absentéisme
- Turnover élevé
- Présentéisme
- Accidents du travail
- Dégradation de l'ambiance
- Multiplication des conflits
- Incivilités
- Isolement des équipes
- Baisse de la qualité
- Perte de créativité
- Atteinte à la réputation
- Dégradation de l'image
Cette formation s'adresse aux managers de SOC qui souhaitent passer d'une posture réactive à une posture structurante. Elle leur permet d'identifier les écueils les plus fréquents, d'adopter progressivement les standards du marché, et de mettre en place les conditions durables d'une équipe performante, résiliente et engagée, y compris en situation de crise.
Périmètre non couvert
Cette formation ne couvre pas les aspects techniques et opérationnels du SOC. Les éléments suivants sont explicitement hors périmètre :
- Paramétrage des outils de détection et optimisation des règles de corrélation
- Augmentation du volume d'alertes et gestion de la productivité individuelle
- Application des frameworks de sécurité standards — la formation enseigne quand et pourquoi s'en écarter
- Préparation à une certification formelle (CISSP, CISM ou équivalent)
- Relations avec les équipes amont (threat intelligence, red team, équipes de réponse à incident)
- Problématiques de recrutement initial ou de réduction d'un backlog d'alertes (SOC en phase de construction)
Prérequis
Cette formation s'adresse à des professionnels déjà en poste. Elle suppose une expérience opérationnelle préalable dans un environnement SOC ou sécurité, à un niveau d'analyste senior, de team lead ou de manager en prise de poste.
Maîtrise des fondamentaux de la détection et de la réponse à incident : cycle de vie d'une attaque, outils SIEM et EDR en contexte opérationnel, lecture et interprétation de logs de sécurité. Première exposition à MITRE ATT&CK attendue.
Aucune certification formelle exigée. Une expérience d'encadrement ou de coordination d'équipe, même partielle, est nécessaire pour tirer pleinement parti des exercices de crise et des labs de management.
Analystes juniors sans expérience de coordination. Managers issus de fonctions IT sans exposition à la cybersécurité opérationnelle. Participants cherchant une préparation à une certification technique.
Le commanditaire s'engage à vérifier l'adéquation des profils avant inscription. TEHTRIS se réserve le droit de refuser ou rediriger un participant dont le profil ne correspond pas, afin de préserver la qualité du groupe.
Méthodologie
Cette formation est structurée autour des difficultés réelles des équipes SOC, pas autour d'un référentiel théorique. Chaque section part d'un problème concret : turnover élevé, burnout masqué en problème de performance, couverture de détection surestimée, métriques utilisées comme outil de pression plutôt que de pilotage.
Aucune section ne s'arrête à la théorie : chacune produit un livrable de travail, utilisé directement dans le lab qui suit.
Les labs sont le cœur de la méthode : cartographie des actifs critiques, évaluation des règles de détection, construction de playbooks d'incident response, tableau de bord réduit aux indicateurs utiles. Les exercices de crise reproduisent des scénarios réels : coordination sous pression, décisions de confinement avec information incomplète, communication vers la direction en temps de crise.
La maturité SOC est traitée sans complaisance. Le SOC-CMM n'est pas un objectif marketing : c'est un outil de diagnostic.
- Managers capables de diagnostiquer le burnout
- Couverture de détection pilotable
- Équipes qui s'améliorent sur la durée
- 40% discussion et décisions
- 40% simulation de crise
- 20% management et people
- Référentiel VTLM
- ENISA ECSF
- Évaluation par examen final
Planning — 5 jours
Gouvernance et comitologie
Un comité de pilotage est constitué pour la durée du programme. Il réunit le sponsor, le responsable fonctionnel des services éducatifs et le formateur. Il se réunit au minimum trois fois : en amont du démarrage, à mi-parcours, et à l'issue de la formation.
Décisions en comité de pilotage
- Ajustement de contenu pédagogique
- Remplacement d'un intervenant
- Modification du calendrier
Décisions de l'instructeur
- Logistique et convocations
- Supports de formation
- Organisation des laboratoires
À l'issue de chaque parcours, les participants rempliront sous la responsabilité du commanditaire un document permettant d'évaluer la qualité et, si nécessaire, les axes de progrès.
Livrables
Garanties
- Chaque participant est en mesure à l'issue de diagnostiquer les modes de défaillance silencieux d'un SOC
- Capacité à conduire une session de crise avec une posture de commandement claire
- Production des livrables opérationnels associés à chaque journée
- En cas d'échec à l'examen final : session de rattrapage individuelle remote sans surcoût dans les 60 jours
- Garantie conditionnée à la participation effective aux 5 jours et à l'adéquation au profil prérequis
- Contenu aligné sur les référentiels en vigueur au moment de la réalisation
- Pédagogie : référentiel VTLM et recommandations ENISA ECSF
- Technique : NIST SP 800-61, NIST CSF, ANSSI, MITRE ATT&CK
- Engagement de signalement de toute évolution significative d'un référentiel entre signature et réalisation
- Ajustements proposés sans surcoût si l'évolution affecte le contenu prévu
- Réclamation formulée par écrit dans les 15 jours ouvrés suivant la dernière journée
- En cas de défaillance instructeur : report de date proposé dans les 30 jours
- Si aucune date trouvée : remboursement au prorata du forfait TTC versé
- Droit de résiliation sans frais jusqu'à 30 jours avant démarrage
- En deçà : indemnité forfaitaire de 30% du montant total TTC
Validité de l'offre : cette offre est valable jusqu'au 01/01/2027.