La surveillance de la sécurité consiste à collecter, analyser et traiter en continu les données relatives à la sécurité provenant de l'ensemble de la surface d'attaque de l'entreprise — réseaux, terminaux, cloud , identités, applications SaaS et journaux — afin de détecter les menaces avant qu'elles ne causent un préjudice grave. Dans ce guide, le terme « surveillance de la sécurité » désigne exclusivement la discipline de la cybersécurité d'entreprise, et non les systèmes d'alarme domestiques destinés aux particuliers ni les services de gardiennage physique. Ce terme apparaît souvent dans les résultats des moteurs de recherche car ces deux secteurs l'utilisent, mais les pratiques en question n'ont aucun lien entre elles. Si vous évaluez un programme de surveillance de la cybersécurité d'entreprise — quels outils mettre en place, quelles sont les exigences de conformité, comment mesurer l'efficacité et s'il vaut mieux développer ou acheter une solution — cet article constitue la référence de référence. Nous relions les sept domaines de surveillance (réseau, endpoint, cloud, identités, SaaS, applications et journaux) au MITRE ATT&CK , à l'économie actuelle des violations de données, aux principaux cadres de conformité et au choix entre une solution interne ou externalisée.
Qu'est-ce que la surveillance de la sécurité ?
La surveillance de la sécurité est une pratique continue en matière de cybersécurité qui consiste à collecter, analyser et exploiter les données relatives à la sécurité provenant de l'ensemble de la surface d'attaque d'une entreprise — réseaux, terminaux, cloud , identités, applications SaaS et journaux — afin de détecter les activités malveillantes avant qu'elles ne causent un préjudice concret. Il s'agit de la discipline globale qui assure la visibilité de l'équipe opérationnelle du SOC, alimente le flux de travail TDIR et fournit les preuves attendues par les auditeurs.
La surveillance de la cybersécurité face au secteur de la consommation du même nom
Remarque terminologique. L'expression « surveillance de la sécurité » — ainsi que sa variante « surveillance de la cybersécurité » — désigne également le secteur grand public des systèmes d'alarme domestiques, des caméras de surveillance et des centres de réception d'alertes fonctionnant 24 heures sur 24, 7 jours sur 7. Les résultats de recherche de Google pour ce terme générique mélangent souvent ces différentes acceptions. Cet article traite exclusivement de la cybersécurité en entreprise. Si vous recherchez des informations sur la sécurité domestique grand public, les services d'intervention en cas d'alarme ou la surveillance de la sécurité physique, le contenu présenté ici ne vous concernera pas.
La surveillance de la sécurité par rapport à des concepts connexes
On confond souvent la surveillance de la sécurité avec les outils et les processus qui la composent. Il est utile de faire cinq distinctions :
- Surveillance de la sécurité vs opérations du SOC. La surveillance consiste à générer des signaux de menace fiables. Les opérations du SOC désignent l'ensemble des ressources (personnel, processus et organisation des équipes) qui traitent ces signaux et prennent les mesures qui s'imposent. Une petite entreprise peut mettre en place une surveillance de la sécurité sans pour autant disposer d'un SOC officiel.
- Surveillance de la sécurité vs TDIR. La détection, l'investigation et la réponse aux menaces constituent un processus de bout en bout. La surveillance en représente la phase initiale. Le TDIR intègre en outre l'intervention de l'analyste, la gestion des dossiers et la clôture.
- Surveillance de la sécurité vs SIEM. Le SIEM est un modèle architectural au service de cette discipline : l'agrégation et la corrélation centrées sur les journaux. La surveillance a une portée plus large, englobant également les solutions NDR, EDR, ITDR, CSPM, SSPM et FIM. Le SIEM et la surveillance des journaux jouent un rôle fondamental, mais ils ne constituent pas l'ensemble de la discipline.
- Surveillance de la sécurité vs surveillance des performances réseau. La surveillance des performances réseau se concentre sur la disponibilité, la latence et la capacité. La surveillance de la sécurité se concentre sur le comportement des attaquants. Les deux s'appuient sur les données de télémétrie réseau, mais les exploitent à des fins différentes.
- Surveillance de la sécurité vs observabilité. L'observabilité est une discipline d'ingénierie plus large qui consiste à utiliser des journaux, des métriques et des traces pour comprendre le comportement d'un système. La surveillance de la sécurité en est un sous-ensemble spécifique à la sécurité, axé sur la détection des attaquants plutôt que sur le diagnostic de l'état de santé du système. Les données d'observabilité alimentent la surveillance de la sécurité ; cette dernière apporte quant à elle des analyses spécifiques aux menaces, des modèles comportementaux et des workflows de réponse.
Les termes « surveillance de la cybersécurité » et « surveillance continue de la sécurité » (termes utilisés dans la norme NIST SP 800-137) désignent la même pratique. Le Centre national de cybersécurité du Royaume-Uni ( NCSC) formalise ses attentes normatives dans le principe C1 du cadre d'évaluation de la cybersécurité du NCSC, qui constitue la définition officielle la plus concise de ce qu'est une « bonne » surveillance de la sécurité.
Une définition pratique pour la suite de cet article : la surveillance de la sécurité désigne les mesures qu’une entreprise met en œuvre en permanence pour savoir si son environnement est victime d’une attaque — et, de plus en plus, pour déterminer à quelle vitesse elle peut réagir à cette information. C’est dans ce « comment » que s’inscrivent les sept domaines, les lacunes de couverture et les choix de mise en œuvre.
Pourquoi la surveillance de la sécurité est-elle importante en 2026 ?
En 2026, trois facteurs font de la surveillance de la sécurité une nécessité opérationnelle plutôt qu'une simple formalité administrative : l'aspect économique des violations, la rapidité des attaquants et l'évolution vers des campagnes multidomaines axées sur l'identité.
L'économie des violations de données. L'étude « Cost of a Data Breach » (Coût d'une violation de données) réalisée en 2025 par le Ponemon Institute (la référence mondiale la plus récente) estime le coût moyen d'une violation de données à 4,44 millions de dollars, soit une baisse de 9 % par rapport à l'année précédente. Cette baisse n'est pas due à une baisse de l'efficacité des attaquants, mais au fait que le délai moyen d'identification et de confinement a atteint son plus bas niveau en neuf ans, à 241 jours. Les organisations ayant largement déployé des systèmes de détection basés sur l'IA ont ainsi économisé en moyenne 1,9 million de dollars et réduit le cycle de vie des violations de 80 jours. Ces chiffres montrent que la maturité des systèmes de surveillance se reflète désormais dans les coûts financiers des violations. Selon la même étude, 241 jours représentent tout de même plus de huit mois d’accès pour les attaquants — ce seuil de référence absolu reste une mise en cause de la couverture de la détection.
La rapidité des attaquants. Le temps de propagation de la cybercriminalité — c'est-à-dire le délai entre la compromission initiale et le premier déplacement latéral — est tombé à 29 minutes en 2025, soit une augmentation de 65 % par rapport à l'année précédente, selon une étude sur les menaces du secteur publiée par MSSP Alert. Lorsqu'un attaquant est capable de se déplacer d'un hôte à l'autre en moins d'une demi-heure, l'analyse quotidienne des journaux et les cycles de mise au point hebdomadaires ne constituent plus une surveillance, mais relèvent de l'archéologie.
Campagnes multi-domaines axées sur l'identité. Selon les recherches de l'Unité 42, les failles d'identité sont impliquées dans près de 90 % des enquêtes majeures, et 80 % des attaques malware font malware appel à malware, mais reposent sur la compromission de comptes plutôt que sur endpoint . Quarante pour cent des violations réussies en 2024 ont concerné plusieurs domaines, ce qui signifie que la détection reposant sur une seule catégorie d'outils (endpoint , journaux uniquement) passe à côté de la majeure partie de la surface d'attaque. Le vol d'identifiants et les signaux comportementaux qui en découlent (connexions anormales, élévation de privilèges, mouvements latéraux) constituent le cœur des attaques modernes.
Le point d'ancrage de l'actualité. En mai 2026, au moins deux CVE ont fait l'objet d'exploitations actives au cours de la semaine écoulée. CVE-2026-20182 est une faille notée 10,0 selon le CVSS affectant le plan de contrôle d'un SD-WAN qui authentifie des attaquants distants — elle figure désormais dans le catalogue des vulnérabilités connues pour être exploitées de la CISA. CVE-2026-23918, une faille de double libération (CVSS 8,8) dans Apache HTTP/2, illustre comment les angles morts au niveau des applications et des communications est-ouest se traduisent directement par des compromissions. Ces deux cas montrent pourquoi la surveillance continue sur l'ensemble des sept domaines n'est pas facultative.
Les sept domaines de la surveillance de la sécurité
La surveillance moderne de la sécurité couvre sept domaines, chacun présentant des lacunes distinctes en matière de télémétrie, d'outils et de visibilité. Traiter un domaine de manière isolée conduit au schéma de violation multi-domaines évoqué plus haut. Le schéma ci-dessous représente ces sept domaines sous la forme de couches de couverture qui se chevauchent sur une surface d'attaque commune : aucune ne remplace l'autre, et c'est dans les interstices entre elles que les violations se produisent.
- Réseau
- Endpoint
- Cloud
- Identité
- SaaS
- Demande
- Journal
Surveillance de la sécurité du réseau
La surveillance de la sécurité réseau (NSM) consiste en l'analyse continue du trafic est-ouest et nord-sud à la recherche d'anomalies comportementales — une discipline qui complète les systèmes IDS/IPS basés sur les signatures par l'analyse comportementale. Consultez notre guide dédié à la surveillance de la sécurité réseau et à la nouvelle classification des catégories en matière de détection et réponse aux incidents pour une analyse approfondie des outils. L'exploitation du plan de contrôle SD-WAN mentionnée ci-dessus (CVE-2026-20182) est un cas d'école illustrant pourquoi la visibilité est-ouest et du plan de contrôle est importante ; les projets open source comme Zeek restent une référence fondamentale pour les praticiens du NSM.
Surveillance Endpoint
La surveillance Endpoint observe le comportement des processus, l'intégrité des fichiers, les modifications apportées au registre et au système, ainsi que les traces en mémoire sur les postes de travail et les serveurs. C'est le point de départ de la plupart des programmes de sécurité, mais aussi la limite à laquelle la plupart d'entre eux se heurtent. Environ 50 % des violations de données majeures impliquent des attaquants qui contournent endpoint — par le biais de techniques « living-off-the-land », d'exécution sans fichier, ou simplement en pivotant vers des attaques basées sur l'identité là où endpoint s'arrête. C'est pourquoi endpoint et la réponseendpoint (EDR) — qui ajoute l'analyse comportementale à endpoint traditionnelle endpoint — est nécessaire mais non suffisante.
L'EDR moderne évolue vers la détection et la réponse étendues (XDR), qui met en corrélation endpoint avec cloud relatives au réseau, aux identités et cloud . Cette distinction est importante, car ce que le XDR apporte (la corrélation interdomaines) correspond précisément à ce qui fait défaut à la surveillance endpoint.
Surveillance Cloud
La surveillance Cloud offre une visibilité sur les plans cloud , la télémétrie des charges de travail, les dérives de configuration et les charges de travail éphémères (conteneurs, serverless). Consultez la section « Surveillancecloud » pour une analyse détaillée et la section « cloud et réponse cloud » pour la catégorie de détection en temps réel. La télémétrie des conteneurs et de Kubernetes ainsi que les enjeux de surveillance spécifiques à AWS complètent cloud . Les catégories CSPM, CWPP et CNAPP (plateforme de protection des applicationscloud) convergent vers une mission unique : une visibilité continue sur la configuration et l'exécution dans l'ensemble cloud .
Détection et réponse aux menaces liées à l'identité (ITDR)
Détection et réponse aux menaces liées à l'identité — ou ITDR — surveille les fournisseurs d'identité, les services d'annuaire et les flux d'authentification afin de détecter les vols d'identifiants, les connexions anormales (déplacements impossibles, zones géographiques atypiques) et l'escalade de privilèges (T1078, T1110), l'exploitation des comptes inactifs et les mouvements latéraux via l'usurpation d'identité. Contrairement à la journalisation IAM — qui est axée sur l'audit et la conformité —, l'ITDR est axée sur le comportement et les attaquants.
L'identité est largement reconnue comme la principale surface d'attaque moderne. Environ 30 % des intrusions sont liées à l'identité et, selon la catégorie de marché ITDR de Gartner et les analyses concordantes du secteur, plus de 80 % des cloud impliquent des erreurs de configuration des identités. La violation d'ADT en 2026 en est une illustration parfaite : les opérateurs de ShinyHunters ont mené une campagne de vishing qui a compromis une session du service d'assistance, puis ont utilisé cet accès pour s'authentifier sur une plateforme SSO d'entreprise, avant de pivoter vers Salesforce et d'exfiltrer 5,5 millions d'enregistrements clients (analyse Rescana). Aucun malware utilisé. Cette chaîne d'attaques correspond exactement au type de comportement que l'ITDR est conçu pour détecter — et exactement au type de comportement que la surveillance endpoint des journaux ne parvient pas à détecter.
Surveillance de la sécurité des services SaaS (SSPM)
La gestion de la posture de sécurité des applications SaaS (SSPM) surveille les plateformes SaaS (CRM, suites de productivité, fournisseurs d’identité, référentiels de code) afin de détecter les erreurs de configuration, les actions administratives anormales, les abus OAuth et les risques liés aux applications connectées. Deux incidents récents illustrent pourquoi la SSPM est essentielle. L’incident Canvas/Instructure de 2026 a révélé une période de présence de plusieurs semaines dans une faille de couverture de la surveillance SaaS avant sa découverte (analyse Penligent). La compromission de TransUnion en 2025 — exécutée via une intégration de jetons OAuth Salesloft Drift avec Salesforce — a démontré que ce sont les autorisations des applications connectées, et non endpoint , qui constituaient le vecteur d'attaque (synthèse de la violation Strobes 2025). La surveillance des jetons OAuth, l'audit des autorisations entre applications et les références comportementales des actions administratives sont les contrôles SSPM qui auraient dû déclencher les alertes appropriées.
Surveillance de la sécurité des applications
La surveillance de la sécurité des applications couvre le comportement des applications en exécution — notamment les résultats des tests SAST et DAST dans le pipeline de build, les tests IAST et RASP en exécution, la télémétrie WAF et les journaux d'application. C'est là que s'inscrit la surveillance à distance de la sécurité des services destinés aux clients, et c'est là que la frontière entre la surveillance et l'observabilité technique est la plus floue. La faille de double libération Apache HTTP/2 de 2026 (CVE-2026-23918) constitue une référence pertinente pour 2026 : la surveillance au niveau de l'application doit signaler les plantages du processus httpd, les pics d'erreurs de flux HTTP/2 et la création anormale de processus enfants — éléments qui ne sont visibles ni par les piles basées uniquement sur les journaux, ni par celles endpoint.
Surveillance des journaux et SIEM
La surveillance des journaux consiste en l'agrégation, la normalisation, la corrélation et la conservation centralisées des journaux provenant de l'ensemble de la pile — fondement historique de la surveillance de la sécurité et architecture le plus souvent désignée sous les termes de « SIEM » et de « surveillance des journaux ». Le SIEM a évolué pour devenir une couche d'analyse en arrière-plan au service de plateformes SecOps plus larges, plutôt qu'un simple moteur de détection. Le 5e rapport annuel de CardinalOps sur la couverture de détection du SIEM — abordé dans la section suivante — constitue la conclusion la plus importante pour 2025 concernant ce que le SIEM détecte à lui seul et ce qu'il laisse passer.
Comment fonctionne la surveillance de la sécurité
La surveillance de la sécurité s'inscrit dans un cycle continu. Les huit mêmes étapes s'appliquent à chaque domaine surveillé, les données d'entrée et les analyses variant selon le type de capteur. C'est ce cycle de vie qui fait de la surveillance une discipline plutôt qu'un simple outil.
- Collecter des données de télémétrie provenant des capteurs réseau, endpoint , cloud , des fournisseurs d'identité, des journaux d'audit SaaS et de l'instrumentation des applications.
- Normaliser et enrichir les données brutes — analyser les formats de journaux, ajouter des informations sur la criticité des ressources, l'identité, la localisation géographique et le contexte en matière de renseignements sur les menaces.
- Détecter grâce à des règles de corrélation, à l'analyse comportementale, à l'apprentissage automatique et à la comparaison de signatures.
- Alertes de triage: dédupliquer, classer par niveau de gravité, filtrer les faux positifs connus et mettre en évidence les cas méritant un examen approfondi.
- Analyser les incidents confirmés — relier les différents indices pour établir le scénario de l'attaque et évaluer l'ampleur des répercussions.
- Réagir: isoler les ressources compromises, révoquer les identifiants, bloquer les connexions malveillantes et préserver les preuves.
- Rapport — intégrer les indicateurs de performance dans les tableaux de bord du SOC, les rapports destinés à la direction et les référentiels de preuves de conformité.
- S'améliorer en permanence: affiner les règles de détection, combler les lacunes en matière de couverture et mettre à jour les guides d'intervention en s'appuyant sur les enseignements tirés.
Une bonne façon d'appréhender ce processus consiste à le diviser en deux phases : l'acquisition et l'analyse (étapes 1 à 3), puis la prise de décision et l'action (étapes 4 à 8). La première phase concerne l'ingénierie des données et la science de la détection. La seconde phase concerne la prise de décision humaine et automatisée — c'est là que se concentre la majeure partie des coûts opérationnels. Les programmes performants investissent de manière équilibrée dans ces deux phases ; les programmes moins performants surinvestissent dans la collecte et sous-investissent dans le triage, ce qui explique pourquoi tant de données SIEM ne sont jamais utilisées pour la détection.
La détection continue des menaces — ce que le NIST qualifie de « surveillance continue de la sécurité » — est ce qui distingue la surveillance des analyses périodiques. Les menaces ne suivent pas de calendrier précis, et la détection ne doit pas non plus s'y conformer. La recherche active de menaces est une pratique complémentaire qui consiste à tester des hypothèses de manière proactive à partir des mêmes données télémétriques, en se demandant « où un attaquant pourrait-il se cacher en ce moment même ? » plutôt que d'attendre une alerte. Lorsque la détection se déclenche, la réponse aux incidents est le volet opérationnel qui boucle la boucle.
Remarque concernant le trafic chiffré. Le protocole HTTPS, le DNS chiffré et les protocoles basés sur QUIC ont rendu l'inspection approfondie des paquets moins efficace. La plupart des systèmes de détection réseau modernes s'appuient désormais sur des approches basées sur les métadonnées et le comportement : ils analysent les caractéristiques des flux, les modèles de balises, les empreintes JA3/JA4 et les anomalies au niveau des sessions plutôt que le contenu des paquets. Le guide pratique de la CISA intitulé « Implementing SIEM and SOAR platforms », publié en mai 2025, définit les sources de journaux à privilégier : les fournisseurs d'identité, l'accès périmétrique et à distance, les plans cloud et les applications métier critiques.
Le véritable déficit de couverture : quelle part en percevez-vous réellement ?
La plupart des publications consacrées à la surveillance de la sécurité indiquent aux lecteurs quels produits acheter et comment les déployer. Cette section aborde une réalité plus complexe : quelle part du manuel MITRE ATT&CK la pile de surveillance type d'une entreprise détecte-t-elle réellement, et où se situent les lacunes ?
Le problème des 79 %. Le 5e rapport annuel de CardinalOps sur la couverture de détection des systèmes SIEM, publié en 2025, a révélé que les systèmes SIEM d'entreprise ne détectent que 21 % des MITRE ATT&CK , ce qui signifie que 79 % des techniques passent inaperçues lorsque l'on se fie uniquement au SIEM. La couverture de ce rapport par Help Net Security ajoute des conclusions à l'appui : plus de la moitié des données SIEM ne sont jamais utilisées pour la détection, moins de 20 % des règles de détection se déclenchent, moins de 5 % des règles génèrent la plupart des alertes intempestives, et plus de 70 % des lacunes de détection pourraient être comblées avec les données existantes que le SIEM ingère déjà. Cela implique que le déficit de couverture n'est pas un problème budgétaire, mais un problème d'ingénierie de la détection.
Ce que couvre réellement chaque catégorie d'outils. Aucun capteur ni aucune plateforme ne couvre à lui seul l'ensemble du modèle ATT&CK. Le tableau ci-dessous indique la contribution de chaque catégorie d'outils, les cellules étant classées comme « Fort » (couverture complète), « Partiel » (couverture partielle), « Faible » (visibilité limitée) ou « Aucun » (hors champ d'application par conception). Il s'agit d'une carte thermique de couverture, et non d'un classement des fournisseurs ; les résultats réels varient en fonction de la maturité du déploiement.
Tableau 1. Couverture MITRE ATT&CK par catégorie d'outils de surveillance
| Catégorie d'outils |
Accès Initial |
Exécution |
Persistance |
Accès aux identifiants |
Découverte |
Mouvement latéral |
Collection |
C2 |
Exfiltration |
Impact |
| SIEM |
Partiel |
Partiel |
Partiel |
Partiel |
Partiel |
Faible |
Faible |
Partiel |
Faible |
Partiel |
| EDR |
Partiel |
Solide |
Solide |
Partiel |
Solide |
Partiel |
Partiel |
Partiel |
Faible |
Solide |
| NDR |
Solide |
Faible |
Faible |
Partiel |
Solide |
Solide |
Partiel |
Solide |
Solide |
Partiel |
| ITDR |
Solide |
Aucun |
Partiel |
Solide |
Partiel |
Solide |
Aucun |
Aucun |
Faible |
Aucun |
| GPSC |
Partiel |
Aucun |
Partiel |
Partiel |
Faible |
Aucun |
Aucun |
Aucun |
Partiel |
Partiel |
| FIM |
Aucun |
Partiel |
Solide |
Aucun |
Aucun |
Aucun |
Faible |
Aucun |
Aucun |
Solide |
| UEBA |
Partiel |
Partiel |
Partiel |
Solide |
Solide |
Solide |
Partiel |
Partiel |
Solide |
Partiel |
Le niveau de couverture est indicatif ; il est calculé à partir des capacités de chaque catégorie dans le cadre de schémas de déploiement types. La combinaison des solutions EDR, NDR, ITDR et d'une couche UEBA permet généralement d'atteindre un niveau de couverture bien supérieur aux 21 % de référence obtenus avec un système SIEM seul.
La fatigue liée aux alertes est un problème de couverture déguisé. L'enquête SANS SOC 2024 — mise en lumière dans un article de The Hacker News consacré aux types d'alertes les plus risqués — a révélé qu'un centre SOC traite en moyenne environ 11 000 alertes par jour, dont seulement 19 % sont jugées dignes d'être examinées. Les données d'agrégateurs mentionnées dans ce même article indiquent que 63 % des alertes ne sont pas traitées, que 46 % sont des faux positifs et qu'entre 63 % et 76 % des analystes SOC signalent des symptômes d'épuisement professionnel. La série d'articles de The Hacker News identifie cinq catégories d'alertes chroniquement sous-traitées : WAF, DLP, OT et IoT, renseignements sur le dark web et chaîne d'approvisionnement.
C'est pourquoi la fatigue liée aux alertes n'est pas un problème d'effectifs qu'il suffirait de résoudre en recrutant davantage d'analystes. Il s'agit d'un problème de couverture et de contenu. La solution ne réside pas dans des alertes plus bruyantes, mais dans des alertes moins nombreuses et plus précises, capables de relier les comportements connexes pour former des scénarios d'attaque. Pour combler cette lacune, trois disciplines sont nécessaires : l'ingénierie de la détection en tant que pratique à part entière (rédaction et ajustement continu du contenu de détection), un triage assisté par l'IA qui supprime le bruit sans perdre le signal, et une couverture plus large des capteurs (réseau + identité + cloud SaaS, et pas seulement endpoint les journaux). La détection des mouvements latéraux — historiquement le maillon faible de la plupart des matrices de couverture — est le domaine où les catégories modernes NDR et ITDR comblent le plus leur retard.
Surveillance de la sécurité et conformité
La surveillance continue constitue la base factuelle de presque tous les régimes de conformité modernes. Si les cadres réglementaires diffèrent dans leur formulation, ils convergent vers la même exigence : la collecte, l'analyse et la conservation continues des données relatives à la sécurité, accompagnées de procédures documentées et d'un stockage inviolable. Les pages thématiques consacrées aux cadres de conformité et de sécurité traitent en détail du paysage réglementaire ; cette section est un tableau de correspondance d'une page qui regroupe les obligations de surveillance des principaux régimes.
Tableau 2. Tableau de correspondance en matière de conformité — contrôles de surveillance dans les principaux cadres réglementaires
| Le cadre |
Section / Commande |
Éléments à surveiller |
Cadence |
Artéfact de preuve |
| NIST CSF 2.0 |
DE.CM (Surveillance continue) ; DE.AE (Analyse des événements indésirables) |
Réseaux, personnel, environnement, prestataires de services externes |
En continu |
Rapports de surveillance, journaux d'anomalies |
| NIST SP 800-137 |
Stratégie ISCM (Définir → Mettre en place → Mettre en œuvre → Analyser → Réagir → Réévaluer) |
Tous les actifs et contrôles concernés |
Classés par niveau de mission, d'activité et de système d'information |
Document stratégique de l'ISCM, rapports automatisés |
| PCI DSS v4.0.1 |
Exigence n° 10 |
Tous les accès aux composants du système et aux données des titulaires de carte ; les tentatives de connexion ; les actions administratives |
Examen quotidien des journaux ; gestion centralisée des journaux ; stockage inviolable |
Fichiers journaux (conservation de 12 mois ; disponibles en ligne pendant 3 mois), dossiers FIM |
| HIPAA |
45 CFR §164.312(b) Contrôles d'audit |
Activités liées aux données de santé électroniques (ePHI) — matériel, logiciels et procédures |
Révision continue ; révision périodique |
Journaux d'audit, documentation relative à l'examen d'audit |
| SOC 2 |
Critères relatifs aux services de confiance — CC7 (Exploitation des systèmes) |
Événements de sécurité, détection et réponse aux incidents, gestion des vulnérabilités |
Surveillance continue ; incident documenté |
Suivi des données factuelles, des tickets d'incident et des registres de correction |
| Directive NIS2 |
Cascade de notification prévue à l'article 23 |
Incidents majeurs affectant la disponibilité ou l'intégrité du service |
Alerte précoce 24 heures à l'avance → Notification de l'incident 72 heures à l'avance → Rapport final dans un délai d'un mois |
Journaux de notification, correspondance avec le CSIRT, rapport sur les causes profondes |
| RGPD |
Article 32 (Sécurité du traitement) |
Réseaux, journaux d'audit, indicateurs de violation — mesures techniques et organisationnelles |
En continu ; notification des violations dans les 72 heures |
Journaux d'audit, stockage inviolable, AIPD |
| FedRAMP |
Surveillance continue (ConMon) — Guide pratique v1.0 (novembre 2025) |
Référentiel cloud autorisés + écart |
Contrôles mensuels de la sécurité des systèmes et des réseaux ; évaluation complète annuelle ; test d'intrusion tous les trois ans (niveau modéré/élevé) |
POA&M, rapports mensuels d'analyse, stratégie ConMon |
| CIS Controls v8 |
Mesure de contrôle n° 8 (gestion des journaux d'audit) ; Mesure de contrôle n° 13 (surveillance et protection du réseau) |
Création, conservation et surveillance des journaux d'audit ; flux de trafic réseau |
En continu |
Configuration de la gestion des journaux, enregistrements NDR |
| ISO/IEC 27001/27002:2022 |
A.8.16 (Activités de surveillance) ; A.5.7 (Renseignements sur les menaces) ; A.8.15 (Enregistrement des journaux) |
Réseaux, systèmes, applications ; intégration des informations sur les menaces ; qualité de la journalisation |
Examen continu et documenté |
L'annexe A régit les éléments de preuve et les registres de suivi |
Toutes les références renvoient aux documents-cadres de référence. Voir l'analyse approfondie RGPD concernant l'article 32, ainsi que la cartographie MITRE D3FEND qui complète la vue d'ensemble de l'ATT&CK.
Intervention dans les 24 heures au titre de la directive NIS2. Les obligations de notification prévues à l'article 23 de la directive NIS2 imposent un processus en trois étapes : une alerte précoce dans les 24 heures, une notification de l'incident dans les 72 heures et un rapport final dans un délai d'un mois. Pour les entités soumises à la réglementation de l'UE, ce délai de 24 heures a des implications directes sur le contrat de niveau de service (SLA) en matière de surveillance : la capacité de détection et de notification au CSIRT doit être disponible 24 heures sur 24. Un programme de surveillance conçu pour un triage le jour ouvrable suivant ne peut pas respecter la règle des 24 heures.
Référence pour le gouvernement fédéral américain et ses sous-traitants. Le guide FedRAMP Continuous Monitoring Playbook v1.0, publié le 17 novembre 2025, codifie les attentes en matière de surveillance continue (ConMon) pour les offres cloud autorisées. Associé aux recommandations de la CISA destinées aux praticiens SIEM/SOAR de mai 2025, il constitue l'ensemble de références opérationnelles pour les programmes fédéraux et ceux réglementés par FedRAMP. Le NIST CSF 2.0 DE.CM reste le cadre de référence global pour les secteurs public et privé. Le MITRE ATT&CK constitue la référence de facto en matière de couverture de détection, à laquelle se réfèrent la plupart des programmes d'audit modernes.
Choisir un modèle de prestation : en interne, MSSP, MDR, hybride
Cinq modèles de prestation couvrent l'essentiel des critères pris en compte par les acheteurs des PME et des grandes entreprises lorsqu'ils choisissent des services de surveillance de la cybersécurité. La décision repose rarement uniquement sur le budget : la véritable question est de savoir qui est responsable de la réaction lorsqu'une attaque confirmée est en cours. Le tableau ci-dessous résume les compromis à faire.
Tableau 3. Matrice décisionnelle relative au modèle de prestation des services de surveillance de la sécurité
| Modèle |
Champ d'application |
Responsabilité de la réponse |
Fourchette de prix habituelle |
Modèle de dotation en personnel |
Délai de rentabilisation |
Idéal pour les entreprises de cette taille |
| Centre de sécurité des opérations (SOC) interne |
Complet — sélectionné par l'acheteur |
Acheteur |
Entre 1 et 2 millions de dollars par an, toutes charges comprises |
5 à 8 postes à temps plein ou plus pour un service 24 h/24, 7 j/7 |
6 à 18 mois |
Plus de 5 000 employés bénéficiant d'un programme de sécurité bien établi |
| MSSP |
Opérations sur les outils + transfert des alertes |
Acheteur |
10 000 à 50 000 $ par mois |
Prestataire (triage de niveau 1-2) ; l'acheteur conserve la réponse |
1 à 3 mois |
Entreprises comptant entre 1 000 et 10 000 employés et souhaitant externaliser certaines de leurs activités |
| MDR |
Détection et mesures correctives |
Prestataire (dans le cadre convenu) |
40 000 $ à 150 000 $+ par an (segment intermédiaire) |
Fournisseur ; l'acheteur conserve la stratégie |
30 à 60 jours |
Entre 500 et 10 000 employés sans service d'intervention interne disponible 24 heures sur 24, 7 jours sur 7 |
| SOCaaS / vSOC |
Centre d'opérations de sécurité (SOC) entièrement virtuel |
Fournisseur |
60 000 $ à 250 000 $ et plus par an |
Fournisseur ; acheteur en sous-traitance intégrale |
30 à 90 jours |
<2,500 employees with <5 security FTEs |
| Hybride |
Répartir par niveau ou par domaine |
Partagé |
Variable |
Modèle mixte — l'acheteur conserve le contrôle stratégique, le prestataire gère les niveaux 1 et 2 |
60 à 120 jours |
Entre 2 500 et 25 000 employés pour la mise en place d'un SOC partiel |
Les fourchettes de prix correspondent aux fourchettes habituelles du secteur pour 2026 et varient en fonction de la taille de l'environnement, du volume de données de télémétrie et des accords de niveau de service (SLA). Le délai de rentabilisation tient compte d'une mise en service réaliste pour un environnement de complexité modérée.
MDR ou MSSP ? C'est la question qui revient le plus souvent dans ce domaine. Un MSSP gère les outils de sécurité et transmet les alertes ; le client conserve le pouvoir de décision et la responsabilité des actions. Un fournisseur de services de détection et de réponse gérés (MDR) prend des mesures correctives au nom du client — mise en quarantaine d'un hôte, désactivation d'un compte, blocage d'une connexion — dans le cadre d'un périmètre convenu. Le MSSP convient aux organisations disposant de capacités de réponse qui souhaitent externaliser l'exploitation des outils. Le MDR convient aux organisations qui ont besoin de mesures correctives qu'elles ne peuvent pas assurer en interne, en particulier la nuit et le week-end.
L'option SOCaaS / vSOC. Les services SOC virtuels entièrement externalisés sont passés d'une solution de niche à une pratique courante, à mesure que les programmes de sécurité gérés par de petites équipes se multiplient. Ils constituent la solution idéale pour les organisations comptant moins de cinq employés à temps plein chargés de la sécurité et qui ont besoin d'une surveillance 24 h/24, 7 j/7, sans avoir à supporter les coûts ni le temps nécessaires à la mise en place d'une plateforme SOC dédiée. Le compromis réside dans la profondeur de la connaissance du contexte : les fournisseurs de vSOC opèrent à grande échelle pour de nombreux clients et ne peuvent égaler la connaissance institutionnelle d'une équipe interne.
Le contexte du marché en 2026. Les flux de capitaux sont révélateurs. Deux tours de financement consécutifs de plusieurs centaines de millions de dollars en 2026 ont porté le montant total des investissements dans les plateformes SOC natives IA et « agentic » à plus de 245 millions de dollars, selon un article de SecurityWeek consacré à la catégorie des SOC « agentic ». Ce même article décrit le rôle de l'analyste SOC de niveau 1 comme « arrivant à son terme en 2026 », ce qui signifie que l'IA traite plus de 90 % des alertes de niveau 1, les humains se concentrant sur les enquêtes de niveau 2 et 3. Les clients des MSSP évaluent désormais les fournisseurs en fonction du temps de réponse, et non plus du nombre d'outils, et ce même indicateur est en train de redéfinir la composition des équipes internes.
Évaluation de l'efficacité de la surveillance et approches modernes
L'efficacité de la surveillance de la sécurité se mesure à l'aune des résultats, et non de l'activité. Cinq indicateurs de résultats sont déterminants :
- MTTD (délai moyen de détection). Délai nécessaire pour que la surveillance détecte une menace réelle après une intrusion. Les références du secteur s'améliorent, mais ce délai se mesure encore en mois pour la plupart des organisations.
- MTTR (temps moyen de réponse). La rapidité avec laquelle les menaces confirmées sont maîtrisées. Les programmes performants mesurent le MTTR en heures ; les programmes moins performants le mesurent en jours.
- Durée de présence. Durée totale d'accès de l'attaquant, depuis la compromission initiale jusqu'à la détection. Selon l'étude « Cost of a Data Breach » (Coût d'une violation de données) du Ponemon Institute, la moyenne du secteur pour 2025 s'élevait à 241 jours — un niveau jamais vu depuis neuf ans, mais qui représente tout de même huit mois d'accès pour l'attaquant.
- MITRE ATT&CK . Pourcentage de techniques pour lesquelles au moins une règle de détection est définie dans l'ensemble de la pile de surveillance. La valeur de référence pour le SIEM seul de CardinalOps est de 21 % ; la combinaison du SIEM, de l'EDR, du NDR et de l'ITDR permet généralement d'atteindre une couverture bien supérieure à 70 %.
- Précision et taux de détection. La qualité de la détection prime sur le volume d'alertes. La précision (vrais positifs / tous les positifs) permet d'éviter de réagir de manière excessive à un flux d'alertes bruyant ; le taux de détection (vrais positifs / positifs réels) confirme que les attaques réelles sont bien détectées.
Quatre approches modernes sont en train de redéfinir la structure des programmes. L'ingénierie de la détection s'est imposée comme une discipline à part entière, distincte du métier d'« analyste SOC » : elle recadre la fatigue liée aux alertes comme un problème de contenu et de couverture plutôt que comme un problème de personnel. Le triage et les investigations assistés par l'IA réduisent l'écart de vitesse avec les attaquants utilisant l'IA, même si la sécurité basée sur l'IA introduit de nouveaux types d'alertes (anomalies de modèles, empoisonnement des données, utilisation d'IA fantôme) que le programme de surveillance doit désormais intégrer. L'analyse comportementale, plutôt que la correspondance de signatures, se concentre sur la détection à court terme du comportement des adversaires plutôt que sur la simple correspondance des indicateurs de compromission (IOC), les données sur les schémas de violation du rapport DBIR de Verizon validant cette évolution. La corrélation interdomaines rassemble endpoint du réseau, de l'identité, cloud endpoint en un seul récit d'attaque — le même schéma que le commentaire d'Omdia sur le marché NDR de 2026 identifie comme la thèse de la consolidation des plateformes.
Vectra AI en matière de surveillance de la sécurité
Vectra AI la surveillance de la sécurité comme un problème de signaux, et non comme un problème de journalisation. La philosophie du « présumer la compromission » part du principe que les attaquants les plus rusés parviendront à s’introduire dans le système ; par conséquent, la surveillance la plus utile se concentre sur ce qu’ils font une fois à l’intérieur : mouvements latéraux, élévation de privilèges, comportements identitaires anormaux, activités de commande et de contrôle, et exfiltration. Attack Signal Intelligence une analyse comportementale basée sur l’IA au comportement des attaquants sur l’ensemble de la surface d’attaque moderne (réseau, identités, cloud et SaaS) afin de détecter les attaques que la surveillance centrée sur endpoint les journaux ne parvient pas à repérer. L'objectif est d'obtenir des alertes moins nombreuses mais plus fiables, qui permettent de retracer la chaîne d'attaque, et non pas un nombre accru d'alertes à trier. Pour les organisations dont les équipes de sécurité sont limitées, cela signifie transformer la surveillance d'un problème générateur de bruit en une capacité de cyber-résilience mesurable — évaluée en fonction du nombre d'attaques réelles détectées plus tôt, et non du nombre de journaux ingérés.
Tendances futures et considérations émergentes
Le paysage de la cybersécurité évolue plus rapidement que ne peuvent s'adapter la plupart des programmes de surveillance. Au cours des 12 à 24 prochains mois, cinq tendances vont profondément transformer la manière dont les entreprises assurent leur surveillance — ainsi que les discussions budgétaires qui la financent.
Le remplacement du triage des alertes de niveau 1. Selon l'analyse de SecurityWeek portant sur la catégorie des SOC « agentic », les plateformes SOC natives de l'IA et de type « agentic » traitent désormais plus de 90 % des alertes de niveau 1 dans les déploiements les plus aboutis. Cela ne signifie pas pour autant que les SOC disparaissent, mais plutôt que la répartition des rôles évolue. Les enquêtes de niveau 2 et 3, l'ingénierie de détection et la chasse aux menaces deviennent le domaine de l'intervention humaine. Les acheteurs doivent s'attendre à ce que les contrats et les descriptions de poste reflètent cette évolution au cours du cycle 2026-2027.
L'ingénierie de la détection en tant que poste budgétaire. Les organisations qui considéraient auparavant le contenu de détection comme un simple effet secondaire de la gestion d'un système SIEM créent désormais des postes dédiés à l'ingénierie de la détection ou s'associent à des prestataires de services MDR qui intègrent la gestion du contenu de détection dans leur offre de services. Cette évolution fait écho à la manière dont le mouvement DevOps a formalisé le concept d'« infrastructure-as-code » il y a une dizaine d'années.
La surveillance axée sur l'identité devient l'investissement le plus rentable. Étant donné que 80 % des attaques malware et qu'environ 30 % des intrusions sont liées à l'identité, l'acheteur disposant d'un budget supplémentaire a tout intérêt à investir dans une solution ITDR pour optimiser sa couverture, plutôt que de renforcer endpoint . Les modèles Scattered Spider ADT et Scattered Spider de 2026 viennent étayer cette thèse de manière empirique.
Le rythme des réglementations s'accélère. La règle d'alerte précoce de 24 heures prévue à l'article 23 de la directive NIS2 sera pleinement appliquée dans tous les États membres de l'UE en 2026, tandis que le FedRAMP ConMon Playbook v1.0, son équivalent fédéral américain, renforce les exigences imposées aux fournisseurs cloud . Ces deux initiatives font passer les accords de niveau de service (SLA) en matière de surveillance du simple « raisonnable » au niveau « vérifiable ».
Une consolidation inter-domaines, et non une centralisation autour d’un seul outil. Les acheteurs ne se tournent pas vers une seule catégorie d’outils, mais vers des plateformes qui assurent une cohérence entre les différentes catégories. En 2026, les discussions autour des plateformes XDR et SOC porteront sur l’intégration des données et l’expérience des analystes, et non sur la réduction du nombre de capteurs.
Le guide de préparation n'a rien d'extraordinaire. Faites le point sur ces sept domaines par rapport à votre parc actuel de capteurs. Réalisez une évaluation de la couverture ATT&CK en toute honnêteté, sans vous fixer d'objectifs trop ambitieux. Déterminez à quoi devra ressembler votre modèle de déploiement dans 18 mois — et non dans trois. Et investissez dans les contenus de détection comme dans un actif à entretenir en continu, à l'instar des équipes d'ingénierie qui investissent dans des suites de tests.
Conclusion
La surveillance de la sécurité est la discipline globale qui permet de donner tout son sens à chaque autre investissement en matière de sécurité. Sans une visibilité continue sur les sept domaines — réseau, endpoint, cloud, identités, SaaS, applications et journaux —, les investissements dans la détection, la réponse et la conformité s'effectuent en partie à l'aveuglette. Les perspectives pour 2025 sont claires : si le coût des violations diminue, c'est uniquement parce que les meilleurs programmes détectent plus rapidement les incidents, et l'écart entre les performances du premier quartile et la moyenne ne cesse de se creuser.
Les données réelles sur la couverture — un système SIEM seul détectant 21 % des MITRE ATT&CK , 11 000 alertes par jour en moyenne dans un SOC, et une durée de présence de 241 jours comme référence du secteur — ne sont pas une raison de désespérer. Il s'agit d'une feuille de route. Pour combler ce fossé, trois engagements sont nécessaires : instrumenter les sept domaines plutôt que de se limiter à un ou deux, considérer le contenu de détection comme un actif entretenu en continu plutôt que comme un déploiement ponctuel, et choisir le modèle de déploiement en fonction de la capacité de réponse de votre équipe.
Pour les responsables de la sécurité qui réfléchissent à la manière d'allouer leurs prochains budgets, les investissements les plus rentables en 2026 concernent généralement la surveillance axée sur l'identité (ITDR), la surveillance comportementale du réseau et cloud, ainsi que le triage assisté par l'IA qui permet de transformer le volume d'alertes en récits d'attaques. Consultez les pages thématiques ci-dessus pour approfondir n'importe lequel de ces domaines, et utilisez le tableau de correspondance des normes de conformité ainsi que la matrice des modèles de déploiement comme points de départ pour les discussions internes que ces décisions nécessitent.
