Votre SOC n'a pas de problème de données. Il a un problème de coordination.

Les équipes de sécurité passent des années à rechercher la même solution pour relancer la réduction des risques : acheter plus d'outils, ajouter plus de règles de détection, recruter plus d'analystes pour gérer le flot d'alertes qui en résulte. Mais le véritable problème ne réside pas dans des lacunes de couverture, mais dans les obstacles à l'intégration des outils et processus qu'elles possèdent déjà. La plupart des SOC ont été conçus pour détecter, répondre, chasser et valider comme quatre tâches distinctes, alors que les équipes de sécurité réalisent maintenant que ces processus doivent être liés dans un cycle continu si nous voulons construire une couche unifiée de données d'exposition aux menaces qui résiste réellement à la découverte de vulnérabilités à vitesse machine et aux attaques assistées par IA.

En bref :

• Le problème du SOC n'est pas le manque de données ou d'outils, c'est la coordination entre les outils – toujours gérés comme des disciplines déconnectées optimisées sur leurs propres métriques.
• L'IA agentique comble désormais le fossé entre « les données existent » et « la décision est prise ». La couche d'abstraction de données de XTM One unifie le contexte de chaque outil dans un modèle interrogeable d'exposition.
• Le véritable déblocage est la boucle, pas un workflow unique. La threat intelligence affine la validation, la validation affine la priorisation, la priorisation affine la détection – et un système construit sur ce cycle continu est ce qui fait réellement passer un SOC de réactif à proactif.

Le problème : pourquoi « plus de couverture » n'a pas fonctionné

Pendant des années, le playbook du SOC a été « ajouter plus ». Plus de sources de logs. Plus de règles de détection. Plus d'outils ajoutés à la pile. Plus d'effectifs pour suivre le volume d'alertes que tout cela génère.

Et pourtant, pour la plupart des équipes de sécurité, la réduction des risques a atteint un plateau. Pas parce que les gens ne travaillent pas assez dur, mais parce que le SOC n'a jamais été conçu pour réellement coordonner les capacités qu'il possède.

Selon notre dernière enquête State of Threat Management (SoTM), 47 % des professionnels de la sécurité signalent des obstacles à l'intégration des outils et processus existants lorsqu'ils tentent d'améliorer la gestion de l'exposition aux menaces.

C'est le vrai problème qui se cache derrière la plupart des conversations sur la « maturité du SOC » : ce n'est pas un problème de couverture. C'est un problème de coordination.

Le coût silencieux des opérations de sécurité déconnectées

La plupart des SOC gèrent aujourd'hui la détection, la réponse aux incidents, la threat intelligence et la validation des contrôles comme quatre disciplines distinctes. Chacune optimisée localement, chacune mesurée sur ses propres métriques, chacune largement ignorante de ce que les autres savent.

Lorsque chaque alerte est traitée comme également importante, indépendamment du fait que l'actif sous-jacent soit exposé, exploitable, ou même critique pour l'entreprise, les SOC finissent par augmenter leurs effectifs et leurs outils juste pour suivre le bruit.

L'analyste moyen consacre environ 42 % de sa semaine de travail à des investigations sans issue.

Cette fragmentation se manifeste partout :

• La détection sans contexte devient rapidement coûteuse
• La réponse aux incidents privilégie par défaut l'urgence plutôt que l'impact
• La validation des contrôles se fait en vase clos

Ce n'est pas un problème de connaissance. Les équipes de sécurité savent que l'exposition et le contexte des menaces comptent. Ce qui manque, c'est un mécanisme qui apporte réellement ce contexte aux personnes qui prennent les décisions, au moment où elles les prennent.

Construire une base d'exposition qui tient réellement la route

La maturité de votre SOC ne réside pas dans le nombre d'outils et de données, mais dans votre temps de réponse et votre capacité à prendre des décisions éclairées. Cela nécessite une base partagée comme un cockpit pour l'analyste de sécurité – un seul endroit pour gérer chaque outil, voir l'image complète et agir en conséquence, au lieu de sauter de console en console juste pour reconstituer ce qui se passe réellement.

Les workflows assistés par IA et l'IA agentique rendent cela possible maintenant. Les logiciels peuvent désormais parler aux agents, et les agents peuvent se parler entre eux, grâce à des standards émergents comme la communication Agent-to-Agent (A2A), permettant aux outils de se coordonner directement au lieu d'attendre qu'un humain relaie le contexte entre eux. Un contrôle humain et des garde-fous appropriés doivent être en place, bien sûr. Cela pourrait alors considérablement améliorer la prise de décision éclairée. Cependant, construire cette base n'est pas un projet ponctuel, elle doit être continuellement assemblée et maintenue à jour, en s'alignant sur des frameworks comme le framework Continuous Threat Exposure Management (CTEM).

Selon Gartner, « D'ici 2029, plus de 50 % des gains de performance des SOC proviendront d'améliorations de la qualité des données d'exposition, de l'intégration du contexte d'exposition et de l'alignement des workflows plutôt que d'augmentations incrémentales du volume de détection ou de la complexité des outils. »

Bien avant que « l'exposure management » ne devienne une catégorie sur laquelle les analystes écrivent des rapports, le pari fondateur de Filigran était simple : fermer la boucle entre contexte de menace → exploitabilité → risque validé → exposition réduite. Tout ce que nous avons construit depuis : OpenCTI pour la gestion des menaces, OpenAEV pour la validation de l'exposition et XTM One pour l'orchestration par IA agentique et les workflows – c'est le même fil conducteur, étendu plus loin dans le SOC qu'il ne l'a jamais été auparavant.

Donner à chaque fonction du SOC une compréhension partagée et vivante de l'exposition et de l'exploitabilité – pour se concentrer sur les menaces et expositions qui comptent, réduire les faux positifs et améliorer la confiance dans les décisions et la qualité des résultats.

Vous ne pouvez pas opérationnaliser les données d'exposition si elles sont piégées dans des silos, et c'est là qu'une marketplace d'intégrations ouverte cesse d'être un plus pour devenir le prérequis de tout le reste. Chaque nouvelle intégration – votre système de gestion de threat intelligence, vos outils de gestion d'identité et d'actifs, outils de posture cloud, SIEM, systèmes de ticketing, outils d'observabilité – ajoute un autre élément de contexte dans un workflow partagé et vivant au lieu d'un autre rapport isolé que personne n'a le temps de lire.

Transformer les données d'exposition en actions, pas seulement en sensibilisation

Avoir les bonnes données n'est que la moitié de l'équation. Le changement majeur consiste à s'assurer que ces données atteignent réellement le point de décision – automatiquement, en temps réel, sans que quelqu'un doive les assembler manuellement sous pression.

L'IA agentique et la couche d'abstraction de données de XTM One rendent cela réellement possible. La marketplace d'intégrations de XTM One réduit la distance physique entre différentes sources en abstrayant la complexité de l'emplacement des données pour qu'elles puissent être rassemblées dans un modèle cohérent et partagé d'exposition, quel que soit l'outil, l'équipe ou le système qui en était initialement propriétaire, en les intégrant dans la même image continue et interrogeable.

L'IA agentique est ce qui réduit la deuxième distance : de données disponibles à décision prise. Au lieu qu'un analyste interroge manuellement cinq outils différents pour construire le contexte autour d'une seule alerte, un agent effectue cette corrélation en continu, en arrière-plan, et fait remonter la réponse synthétisée exactement au moment où elle est nécessaire – dans l'alerte, dans l'incident, dans la chasse. L'agent ne remplace pas le jugement de l'analyste ; il supprime le délai entre « l'information existe » et « la personne qui prend la décision la possède réellement ».

Vidéo de démonstration : Transformer votre modeste session MS Teams en salle de crise

Cette combinaison – une couche de données unifiée plus des agents capables de raisonner dessus en temps réel – est ce qui rend les décisions basées sur les menaces suffisamment rapides pour être pertinentes. Une décision de priorisation qui nécessitait autrefois une réunion inter-équipes et un tableur se produit maintenant dans les secondes entre le déclenchement d'une alerte et l'ouverture du cas par un analyste. Une décision de réponse qui reposait autrefois sur le souvenir de quelqu'un concernant les systèmes critiques pour l'entreprise arrive maintenant pré-chargée avec ce contexte, provenant de données en direct plutôt que d'une page wiki mise à jour pour la dernière fois il y a huit mois.

C'est le bond que l'IA agentique permet réellement : pas seulement une automatisation plus rapide des étapes existantes, mais la capacité d'accéder et de traiter l'information où qu'elle se trouve et de la transformer en une décision éclairée par les menaces là où elle est nécessaire – sans qu'un humain soit le goulot d'étranglement qui assemble le tout.

Fermer la boucle est l'objectif principal

Le véritable déblocage n'est pas l'un de ces workflows individuellement – c'est la boucle entre eux. La Threat Intelligence met en évidence les chemins d'attaque qui doivent être testés. Les résultats de validation affinent la priorisation. La priorisation affine la détection. Les résultats de détection informent le prochain cycle de chasse et de test. Chaque cycle rend le suivant plus précis.

C'est la différence structurelle entre un SOC qui est réactif et un qui est proactif : pas moins d'alertes, pas plus d'outils – un système où chaque fonction travaille sur la même compréhension partagée et actuelle du risque, et où cette compréhension s'affine à chaque utilisation.

Pourquoi nous l'avons construit ainsi

Nous n'avons pas connecté l'intelligence, la validation et l'orchestration dans une plateforme XTM unique parce qu'une catégorie de marché a fini par obtenir un nom. Nous avons construit de cette manière pour mettre la défense basée sur les menaces au premier plan, une défense où l'exposition n'est pas un rapport qui atterrit sur le bureau d'un dirigeant une fois par trimestre, mais une boucle fermée qui traverse chaque décision qu'une équipe de sécurité prend, toute la journée, tous les jours.

Ajouter plus d'outils et une couverture de détection plus large n'allait jamais être la réponse. La prise de décision coordonnée et contextualisée l'est. C'est ce que nous construisons avec XTM One, ses workflows agentiques et sa marketplace d'intégrations pour fournir, transformant les données d'exposition que les organisations possèdent déjà en actions qui réduisent réellement le risque cyber et, finalement, le risque métier.