Analyste SOC : missions, niveaux 1 à 3, formations et salaire

Ce que fait un analyste SOC

L’analyste SOC (Security Operation Center) surveille en continu le système d’information d’une organisation pour détecter des activités suspectes ou malveillantes. Il identifie, analyse et qualifie les événements de sécurité remontés par le SIEM, l’outil qui centralise et corrèle les journaux de milliers d’équipements, puis évalue leur gravité avant de notifier ou d’escalader un incident avéré, selon la fiche métier publiée par l’Agence nationale de la sécurité des systèmes d’information (Anssi).

Le métier se structure en général sur trois niveaux. Le niveau 1 trie les alertes et réalise leur première qualification à partir de fiches de tâches, le niveau 2 mène l’investigation pour caractériser une activité malveillante et en qualifier l’étendue, et le niveau 3 vient en appui des deux premiers sur les incidents nouveaux ou complexes, jusqu’à identifier le mode opératoire de l’attaquant, selon les référentiels de formation établis par le Campus Cyber. Un analyste débutant commence presque toujours au niveau 1, où l’essentiel du travail consiste à distinguer un faux positif d’un vrai signal, parfois plusieurs centaines de fois par vacation.

Au-delà du tri d’alertes, l’analyste contribue à la mise en place du service de détection lui-même : il participe à la définition des règles de corrélation, documente les procédures pour les nouveaux types d’incidents et tient à jour des tableaux de bord d’activité. Certains consacrent une partie de leur temps à la recherche de compromissions (threat hunting), une activité proactive qui ne part pas d’une alerte mais d’une hypothèse d’attaque à vérifier dans les journaux.

Les compétences attendues

La base technique couvre la sécurité des systèmes d’exploitation et des protocoles réseau, la pratique de l’analyse de journaux et de flux réseau, et la connaissance des outils de corrélation d’événements (SIEM) comme Splunk ou QRadar. Un analyste script couramment en Python ou en Bash pour automatiser une tâche répétitive, et doit connaître les techniques d’attaque et d’intrusion pour en reconnaître les traces.

La rigueur compte plus que la rapidité apparente : qualifier une alerte trop vite expose à laisser passer une vraie intrusion, et la qualifier trop lentement retarde une réponse. La capacité à résister à la pression pèse aussi, en particulier la nuit ou le week-end, quand un analyste est seul face à une alerte critique en astreinte. Le travail reste collectif : un niveau 1 qui bute sur une alerte doit savoir l’escalader plutôt que s’entêter, et un niveau 3 doit restituer ses conclusions à des équipes qui n’ont pas son niveau technique.

Devenir analyste SOC

L’accès de référence au premier niveau est le bac + 3 avec une spécialisation en cybersécurité, selon la fiche de l’Anssi. Le niveau 2 demande en général une première expérience comme analyste niveau 1 ou dans l’administration de systèmes et de réseaux, et le niveau 3 se prépare souvent après un passage par le niveau 2 ou une expérience d’architecte système ou réseau.

1. Bac + 2 : BTS SIO, option SISRServices informatiques aux organisations, avec un bloc cybersécurité obligatoire depuis la session RNCP40792.
2. Bac + 3 : BUT Réseaux et télécommunications, parcours CybersécuritéOuvert depuis septembre 2026, RNCP41611, ou licence professionnelle administration et sécurité des systèmes et des réseaux, RNCP40102.
3. Certification Security+Le CompTIA Security+ (SY0-701) valide les bases de la sécurité informatique par un examen chez Pearson VUE. Une référence internationale pour entrer dans un SOC, sans remplacer un diplôme ; son tarif n’est pas publié sur la page officielle et varie selon les organismes de formation.
4. Bac + 5 : master ou école d’ingénieurs en cybersécuritéPour viser le niveau 2 ou 3 d’emblée, ou évoluer vers un poste de responsable de SOC.

En reconversion, le titre professionnel Administrateur d’infrastructures sécurisées (RNCP37680, niveau 6) se prépare en contrat de professionnalisation et affichait 67 % d’insertion à six mois pour la promotion 2021. Une première carrière en support informatique ou en administration réseau aide souvent plus à entrer dans un SOC qu’un diplôme seul, car le niveau 1 recrute aussi sur l’expérience de terrain. Le compte personnel de formation finance une certification enregistrée, avec 150 € de participation obligatoire, et un salarié peut mobiliser un projet de transition professionnelle pour préparer un bac + 5 sans perdre tout son salaire.

Où travailler et dans quelles conditions

Deux modèles coexistent. Un SOC interne appartient à l’organisation qu’il protège, un choix réservé aux structures qui en ont la taille et les moyens : grand groupe, banque, opérateur d’importance vitale. Un MSSP (prestataire de services de sécurité managés) surveille plusieurs clients à la fois depuis une plateforme mutualisée, souvent avec une astreinte permanente que peu d’entreprises peuvent financer seules. L’Anssi qualifie ces prestataires sous le label PDIS : les opérateurs d’importance vitale doivent recourir à un service de détection qualifié, exploité sur le territoire national.

Les horaires suivent la nature du risque. Un SOC qui surveille 24 heures sur 24 fonctionne par vacations, avec des nuits et des week-ends travaillés en rotation entre plusieurs analystes. Des structures plus petites couvrent seulement les heures ouvrées et font relayer la nuit par un MSSP. Le télétravail reste possible pour l’analyse courante, mais une astreinte ou une vacation de nuit impose une présence, physique ou à distance immédiate.

Combien gagne un analyste SOC

Le salaire dépend d’abord du niveau. D’après l’étude Michael Page 2026, un analyste sécurité/SOC/SIEM débutant gagne entre 45 000 et 50 000 € brut par an, une fourchette qui dépasse 85 000 € après dix à quinze ans d’expérience. Dans la fonction publique, la circulaire n° 6434-SG du 3 janvier 2024 fixe la rémunération d’un contractuel « analyste en détection d’intrusions » entre 40 000 et 51 700 € pour moins de cinq ans d’expérience.

Salaire analyste SOC en 2026Grille Syntec, circulaire de l’État, écarts entre niveaux 1, 2 et 3 et passage au net.Voir les salaires

Emploi et débouchés

Selon la 4e édition de l’Observatoire des métiers de l’Anssi, publié le 9 juin 2025, plus de 23 000 offres d’emploi en cybersécurité ont été analysées entre juin 2023 et juin 2024, en hausse de 49 % depuis 2019. Seuls 40 % des postes demandent un bac + 5, et surtout, la moitié des professionnels en poste ne viennent pas d’une formation initiale en cybersécurité : un profil de technicien réseau ou d’administrateur système reconverti y a toute sa place.

L’Opiiec, observatoire paritaire de la branche, chiffre à 25 000 le nombre de postes à pourvoir en cybersécurité d’ici 2028, dans une étude relayée par Le Monde Informatique le 6 juin 2025. Les femmes ne représentent que 25 % des effectifs du secteur, une proportion que les deux organismes citent comme un gisement de recrutement encore sous-exploité.

Évolutions de carrière

La progression suit d’abord les niveaux du SOC : du niveau 1, qui trie les alertes, au niveau 2, qui mène l’investigation, puis au niveau 3, qui prend en charge les incidents les plus complexes et identifie le mode opératoire de l’attaquant. Elle se poursuit ensuite vers un poste d’analyste au sein d’un CSIRT (équipe de réponse aux incidents de sécurité), qui pilote la réponse aux incidents majeurs, ou de threat hunter, spécialisé dans la recherche proactive de compromissions.

Avec l’expérience, certains analystes deviennent responsable du SOC, un poste qui exige un bac + 5 et au moins cinq ans d’expérience au sein d’un SOC selon l’Anssi, pour planifier les opérations, définir la stratégie de détection et encadrer une équipe. D’autres bifurquent vers le conseil en sécurité, l’audit, ou la gouvernance des risques, avec à terme le poste de responsable de la sécurité des systèmes d’information (RSSI), qui combine stratégie, budget et relation avec la direction.

Métiers proches

Ces métiers partagent la même culture technique des systèmes et des réseaux, avec des passerelles directes vers la cybersécurité.

Analyste SOC, hacker éthique, RSSI : trois métiers qu’on confond

Les trois se croisent dans la même chaîne de défense, mais ne font pas le même travail. Le hacker éthique intervient de façon ponctuelle, sur un contrat de pentest qui fixe un périmètre et des dates : il attaque un système avec l’autorisation de son propriétaire pour trouver ses failles avant un vrai attaquant. L’analyste SOC, lui, surveille en continu un système déjà en production, sans savoir à l’avance quand ni comment une attaque viendra.

Le RSSI se situe encore ailleurs : il ne surveille ni n’attaque, il arbitre. C’est lui qui décide du budget de sécurité, qui répond des choix devant la direction et qui reçoit, en bout de chaîne, les comptes-rendus du SOC et les rapports du pentester. Confondre ces métiers lors d’une recherche d’orientation mène à candidater au mauvais poste : un goût pour l’intrusion offensive et l’adrénaline d’un test ponctuel mène plutôt vers le pentest, un goût pour la rigueur d’une surveillance méthodique et sans fin programmée mène vers le SOC.