Merci lecteur d’avoir osé cliquer sur cet article au titre humoristique qui j’espère, vous a au moins fait sourire. Car un SIEM ce n’est pas une base de données dormante. Un SIEM c’est une vue en hauteur de la sécurité d’un Système d’Information (des tableaux de bord, des alertes, des statistiques…) supervisée par des experts en cyber sécurité.

Dans cet article, je vous explique ce qu’est un SIEM, sa complémentarité avec un SOC et leurs pertinence pour l’entreprise.

Un SIEM, c’est quoi ?

Un SIEM (en anglais Security Information and Event Management) est un outil de gestion des événements (logs) du système d’information. Exploité par des ingénieurs en cyber sécurité, cet outil permet de collecter en temps réel des logs de sources diverses, de les analyser, de les agréger et de les corréler, dans l’objectif de détecter des incidents de sécurité.

En s’équipant d’un SIEM une entreprise va pouvoir réagir en temps réel aux cyberattaques et se conformer aux exigences réglementaires en vigueur.

SIEM ou SOC ou les deux ?

Point central de la sécurité d’une entreprise, un SOC (en anglais Security Operations Center) est un service au sein d’une entreprise (pouvant aussi être externalisé) composé de personnes spécialisées dans la détection, l’analyse, la résolution et la remédiation des incidents de sécurité. L’objectif de ce service est d’assurer la sécurité du système d’information de l’entreprise. Pour ce faire, ces spécialistes cyber sécurité utilisent différents outils organisationnels et techniques parmi lesquels : un SIEM !

Apparus au début des années 2000, les SIEM ont révolutionné le travail des équipes SOC, notamment par :

• l’industrialisation de la surveillance des systèmes d’information
• la simplification de l’analyse des multiples sources d’information
• la détection de scénarios d’intrusion avancés

Un SIEM est donc un outil d’analyse des informations (logs) remontées par de multiples sources en provenance du système d’information. Pour être vraiment efficace, cet outil doit être exploité par une équipe d’experts cyber sécurité. Un SIEM sera beaucoup moins utile s’il n’est pas exploité par un SOC.

Est-ce que mon entreprise a besoin d’un SOC et d’un SIEM?

Il y a quelque temps, je vous aurai dit que tout dépend de l’importance que vous accordez à la protection des données de votre entreprise. Mais aujourd’hui, grâce aux nouvelles réglementations (RGPD, LPM…), les entreprises n’ont plus le choix et tant mieux.

La combinaison d’un SIEM et d’un SOC couvre un nombre important des exigences référencées par ces nouvelles réglementations. En effet, pour rester à la hauteur des attaques auxquelles elles sont confrontées, les offres de cyber sécurité évoluent rapidement ainsi que les compétences des experts qui les exploitent.

Les solutions installées de façon isolées ne suffisent plus. Les entreprises doivent corréler toutes les sources de logs dont elles disposent afin de découvrir les attaques avant que des dégâts trop importants soient causés.

Une stratégie de cyber sécurité est indispensable pour tous les types d’entreprises. J’encourage les plus petites structures à se renseigner sur les SOC externalisés. Pour les entreprises de taille plus importante, un SOC équipé d’un SIEM est aujourd’hui un prérequis. Peu importe qu’il soit interne ou externe.