Les attaques ne se mesurent plus en jours. Selon notre équipe Unit 42, le délai entre la découverte d’une vulnérabilité et son exploitation est désormais inférieur à 25 minutes, et certaines attaques se déroulent intégralement en moins d’une heure, contre plusieurs jours ou semaines il y a peu. D’après Sandrine Tarnaud, la directrice générale France, Palo Alto Networks, pour les entreprises françaises, cette compression du temps d’attaque n’est pas une statistique abstraite : elle traduit un changement dans la nature même du problème que le centre des opérations de sécurité (SOC) doit absolument résoudre.
Un SOC conçu pour une autre époque
La plupart des SOC ont été construits sur un modèle traditionnel : collecter les journaux, générer des alertes, faire trier ces alertes par un analyste. Ce modèle restait viable tant que les volumes de données et la vitesse des attaquants demeuraient à l’échelle humaine. Aujourd’hui, ce n’est plus du tout le cas : les attaques assistées par l’IA opèrent en millisecondes. En 2025, des volumes d’alertes élevés et des outils de sécurité fragmentés ont permis aux attaquants de dissimuler leur activité à travers plusieurs systèmes, retardant l’escalade vers l’équipe de sécurité. Il ne s’agit pas seulement d’une question d’efficacité opérationnelle : chaque alerte non corrélée, qu’elle provienne des systèmes informatiques, de l’IoT, des terminaux, du cloud ou d’agents d’IA, est une porte laissée entrouverte. Le risque est technique et opérationnel, mais aussi business et réputationnel.
Identité : une dimension qui amplifie l’ampleur du problème
À cette pression s’ajoute un phénomène plus récent : l’explosion des identités machines. En France, selon le 2026 Identity Security Landscape, les identités machines, y compris les agents d’IA, dépassent désormais les identités humaines dans un ratio moyen de 112 pour 1. 91 % des organisations ont subi une violation liée à l’identité au cours des douze derniers mois, et la fragmentation des outils d’identité ajoute en moyenne 12 heures à chaque incident. Dans le même temps, les intrusions les plus rapides atteignent l’exfiltration en 72 minutes. Ce n’est plus seulement le SOC qui doit rattraper son retard sur les attaquants : c’est l’ensemble de la gouvernance des accès, humains comme machines, qui doit être repensé au même rythme.
La plateformisation, condition préalable à la transformation
Au-delà de la transformation, une tendance de fond se confirme : la consolidation. Selon les données d’IDC, 44 % des responsables sécurité classent les cyberattaques assistées par l’IA parmi les menaces de premier plan, et 45 % des organisations consolident activement leurs fournisseurs de cybersécurité sur la période 2025-2026, principalement pour simplifier le déploiement et l’intégration. La donnée est l’enjeu principal et le point central lorsque les outils sont dispersés. Ce qui conduit finalement à de moins bons résultats en matière de sécurité. Car plus les outils sont dispersés, plus la corrélation prend du temps, et plus les attaquants disposent de fenêtres pour se dissimuler. Cette consolidation traduit également une évolution de l’automatisation elle-même, qui progresse par étapes : des scénarios rigides et préécrits à des systèmes capables de s’adapter au contexte, jusqu’à des agents capables d’analyser une situation, de proposer et d’exécuter un plan d’action sous supervision. C’est cette progression, plus que l’accumulation d’outils, qui définit la maturité réelle d’un SOC.
Transformation du SOC : ce que l’IA peut apporter
L’IA change la donne sur un point précis : traiter un volume d’informations qu’aucune équipe humaine ne pourrait absorber en temps réel, en corrélant des signaux épars pour reconstituer une chronologie d’attaque exploitable. C’est un gain de vitesse et de cohérence, pas un substitut au jugement. Pour illustrer concrètement mon propos : le SOC de Palo Alto Networks ingère 11 pétaoctets de données et traite environ 40 milliards d’événements chaque jour, soit plus de 1 000 milliards par mois… Dans le même temps, les attaquants accélèrent eux aussi grâce à l’IA offensive. À cette échelle et à cette vitesse, aucune équipe humaine ne peut, seule, trier et répondre. Sans IA, la bataille est perdue avant même d’avoir commencé.
Les modèles d’IA évoluent vite, et un SOC dépendant d’un modèle unique et statique risque d’être dépassé par la prochaine vague d’innovation. La bonne question n’est donc plus « avons-nous de l’IA dans notre SOC ? » mais « notre architecture peut-elle absorber les prochaines avancées de l’IA sans devoir tout reconstruire ? »
Le rôle humain reste déterminant
Rien de tout cela ne supprime le besoin de gouvernance : l’IA est un complément à l’analyse et à l’action humaines, pas un substitut. Toute automatisation doit rester encadrée par des règles claires et des garde-fous définissant ce qui peut s’exécuter sans supervision, ce qui nécessite une validation humaine, et comment chaque décision reste traçable. Le rôle de l’analyste ne disparaît pas ; il évolue vers le jugement et la perspective stratégique.
Cette question se pose avec une acuité particulière au sommet de la fonction sécurité. En cas d’attaque ou de crise, le RSSI devient, de facto, le responsable de la gestion de crise de l’entreprise, souvent sans l’autorité ni le soutien que cette responsabilité devrait impliquer. En France, le CESIN mesure ce coût : un RSSI sur deux se dit stressé, un sur quatre fortement stressé. Utiliser l’IA pour se défendre, disposer d’un SOC moderne, automatiser le tri de routine et réduire le nombre d’outils déconnectés n’est donc pas seulement un gain d’efficacité : cela redonne aussi aux équipes de sécurité, RSSI compris, la capacité de se concentrer sur l’essentiel, plutôt que de s’épuiser dans le bruit.
Ce que cela signifie pour les entreprises françaises
Trois constats se dégagent. La vitesse des attaques a changé d’ordre de grandeur : un SOC qui pense encore la détection en heures ou en jours s’expose à un risque structurel, quel que soit le secteur. La gestion des identités, en particulier pour les machines et les agents d’IA, doit désormais faire partie intégrante de la stratégie de sécurité opérationnelle. Enfin, la modernisation du SOC n’est pas un simple investissement technologique : elle implique de repenser les processus, de consolider les outils, de former les équipes, et de définir où s’arrête l’automatisation et où commence la décision humaine.
Le SOC ne sera jamais totalement à l’abri de la vitesse des attaquants. Mais l’écart peut se réduire, à condition que la sécurité opérationnelle soit traitée comme un véritable enjeu de gouvernance d’entreprise, et non comme une simple ligne budgétaire et technique.
