Comprendre les rôles SecOps

À mesure que vous développez une discipline Security Operations (SecOps), cet article explique les rôles, responsabilités et partenariats internes nécessaires pour exploiter un modèle SecOps efficace et moderne aligné sur les principes de Confiance nulle.

SecOps est une discipline spécialisée axée sur la détection, l’examen et la réponse aux menaces actives en quasi temps réel. Il opère en conflit continu avec les adversaires qui s’adaptent activement à leurs techniques.

Ce guide est destiné à toute personne qui planifie ou participe à la modernisation de SecOps, y compris les responsables de la sécurité, les praticiens secOps, les architectes, les ingénieurs et les équipes partenaires.

Pourquoi les rôles et les modèles d’exploitation sont importants

Les résultats secOps dépendent autant des personnes et de la collaboration que de la technologie. Même les outils de détection et de réponse les plus avancés sont inefficaces sans :

• Responsabilités clairement définies pendant les incidents
• Chemins d’escalade structurés
• Des partenariats solides avec les équipes qui conçoivent, exécutent et comprennent l’environnement.

Bien que SecOps soit une fonction de sécurité dédiée, elle s’appuie fortement sur l’expertise des équipes d’ingénierie, d’exploitation et d’entreprise qui gèrent les systèmes et les processus au sein de l’organisation.

Un modèle d’exploitation clair garantit :

• Les incidents sont gérés par les rôles appropriés au bon moment.
• Les escalades sont prévisibles et efficaces.
• Les enseignements tirés des incidents se traduisent par une posture de sécurité améliorée,

Rôles SecOps et modèle d’exploitation

Ces définitions de rôle SecOps sont basées directement sur les rôles de sécurité Open Group et la norme de glossaire, fournissant un vocabulaire et une structure communs qui s’étendent de petites équipes à des centres d’opérations de sécurité distribués (SOC) volumineux.

Dans les petites organisations, ces responsabilités peuvent être combinées en quelques rôles. Dans les grandes organisations, elles sont généralement séparées en équipes spécialisées. Quelle que soit la taille, les fonctions et les résultats restent cohérents.

Les rôles et responsabilités SecOps sont illustrés dans ce diagramme :

Dans les équipes SecOps plus grandes, les rôles spécialisés peuvent être divisés en équipes dédiées. Ce diagramme illustre la façon dont ces rôles fonctionnent ensemble :

Rôles SecOps principaux

• Gestionnaire des opérations de sécurité (SecOps) : assure la direction et la supervision de la fonction SecOps. Prend en charge les équipes SecOps, aligne le travail sur les priorités de l’entreprise et améliore continuellement l’efficacité.
• Analyste de triage (niveau 1) : agit comme premier répondeur pour les alertes et les incidents. Ce rôle gère rapidement les modèles d’attaque bien compris et augmente les cas complexes pour une enquête plus approfondie.
• Analyste d’investigation (niveau 2) : mène une réponse pour des incidents complexes ou à fort impact. Ce rôle examine les attaques à plusieurs étapes, coordonne les actions de confinement et affine la logique de détection en fonction des incidents réels.
• Threat Hunter (niveau 3) : recherche de manière proactive les attaquants qui ont échappé aux détections. Les chasseurs de menaces réduisent le temps de vie des attaquants et contribuent à une expertise approfondie pendant les incidents majeurs.
• Ingénieur de détection : conçoit, teste et améliore les détections pour réduire les zones sans visibilité totale. Ce rôle limite la capacité d’un attaquant à fonctionner sans détection et améliore les procédures de détection et d’investigation pour les analystes.
• SecOps Platform et Ingénieurs Données : garantit que les outils secOps et les pipelines de données sont fiables, évolutifs et en constante évolution. Ce rôle sous-tend l’efficacité de toutes les autres fonctions SecOps.
• Analyste de renseignement sur les menaces : collecte et analyse les informations sur les menaces à partir de sources internes et externes et les convertit en insights exploitables pour secOps, la direction de la sécurité et les équipes partenaires.
• Coordination et gestion des incidents : coordonne la réponse technique et commerciale pendant les incidents majeurs. Ce rôle gère les communications, la prise de décision et l’exécution interfonctionnale pendant les crises.
• Simulation d’attaque : teste la préparation organisationnelle via des simulations réalistes. Surface les lacunes entre les personnes, les processus et la technologie. Ces simulations peuvent prendre de nombreuses formes et formats, notamment :
  • Test d’intrusion : simulation d’une seule opération pour tenter de compromettre une ressource ou l’organisation (souvent fournie par une organisation externe).
  • Association rouge : simulation d’un acteur de menace persistant effectuant plusieurs opérations à long terme.
  • Purple teaming – opérations conjointes d’attaque simulée dans lesquelles les défenseurs (bleus) et les attaquants simulés (rouges) travaillent en étroite collaboration afin d’accélérer l’apprentissage des deux parties.
  • Simulation basée sur la discussion (exercice tabletop) : exercice de simulation structurée pour plusieurs rôles afin de discuter d’un scénario d’attaque réaliste (parfois complété par des simulations techniques).
• Reverse Engineering/Digital Forensics (rôles spécialisés) : rôles hautement spécialisés qui analysent les programmes malveillants, les artefacts et les preuves. Les spécialistes de l’investigation numérique prennent en charge les exigences légales et réglementaires en traitant des preuves avec des procédures approuvées et en conservant la chaîne de garde.

Comment les rôles SecOps collaborent

Ces rôles fonctionnent en tant que modèle en couches, où :

• Triage gère le volume et la vitesse
• Examen et chasse gèrent la complexité et la profondeur
• Les ingénieurs améliorent le système en continu
• La direction et la coordination garantissent l’alignement et la résilience

Cette structure garantit l’échelle sans sacrifier la qualité.

Principaux partenaires internes de SecOps

SecOps ne peut pas fonctionner efficacement en isolation. Les opérations de sécurité réussies dépendent d’une intégration approfondie avec les équipes qui conçoivent, créent et exploitent l’environnement.

Les données et insights SecOps, en particulier les renseignements sur les menaces, sont les plus utiles lorsqu’ils informent les décisions de hiérarchisation au sein de l’organisation.

Ingénierie technique/opérations

Ces équipes aident à examiner, à contenir et à récupérer pendant les incidents, et utilisent des insights SecOps pour hiérarchiser les contrôles préventifs. Les partenaires communs sont les suivants :

• Identité
• Réseau
• Endpoints
• Infrastructure et plateformes (cloud, local, CI/CD)
• Données et IA
• Technologie opérationnelle (OT)

Rôles d’architecture

Les architectes conçoivent les systèmes que SecOps surveille et défend, et intègrent les enseignements tirés des incidents dans les futures conceptions.

Les rôles clés sont les suivants :

• Architectes d’entreprise
• Architectes de sécurité
• Architectes d’infrastructure
• Architectes de données et d’IA
• Architectes d’accès (identité, réseaux, etc.)
• Architectes de solutions
• Architectes logiciels et applications

Rôles de développement d’applications et de produits

Ces équipes conçoivent et gèrent les applications que SecOps doit détecter et protéger.

Ils prennent en charge SecOps par :

• Assistance à l’investigation et à la remédiation lors des incidents
• Garantir que les applications génèrent des données de télémétrie appropriées
• Utilisation de SecOps Intelligence pour hiérarchiser les améliorations de sécurité

Étapes suivantes

En savoir plus sur les rôles de sécurité dans la norme Open Group.