Clint Patterson / Unsplash
Un analyste SOC débutant (N1) gagne environ 2 600 à 3 200 € brut par mois, soit autour de 32 000 à 40 000 € brut annuels ; le CIDJ retient 2 900 € brut mensuels en début de carrière. Un profil confirmé (N2) se situe entre 3 500 et 5 400 € brut mensuels (42 000 à 55 000 € par an) et un senior (N3, threat hunter) peut dépasser 5 500 € brut mensuels, jusqu'à 75 000 € annuels. Trois leviers font monter la rémunération : la région (l'Île-de-France paie 10 à 18 % de plus que la province), le secteur (banque, assurance et opérateurs d'importance vitale majorent de 10 à 15 %, les prestataires MSSP paient plutôt en dessous) et les certifications reconnues. Les postes en rotation 24/7 ajoutent 3 000 à 10 000 € par an de primes d'astreinte, de nuit et de week-end. En freelance, le tarif journalier se situe autour de 400 à 700 € pour un profil expérimenté.
Estimation du net avant impôt sur le revenu (~22 % de charges). Le montant réel varie selon le statut et la convention collective. SMIC net mensuel ≈ 1 427 €.
Le niveau bac+3 en informatique avec spécialisation réseaux/cybersécurité est le minimum reconnu pour entrer comme analyste N1 : BUT réseaux et télécommunications parcours cybersécurité, licence professionnelle métiers de l'informatique (administration et sécurité des systèmes et des réseaux), ou bachelor cybersécurité en école privée. Le bac+5 (master mention cybersécurité, diplôme d'ingénieur en informatique ou en sécurité des systèmes d'information) est vivement conseillé pour accéder plus vite aux niveaux N2/N3 et aux postes d'expert. En amont, un bac général à dominante scientifique ou un bac technologique STI2D est le plus courant ; le bac pro CIEL (cybersécurité, informatique et réseaux, électronique) puis un BTS SIO option A (SISR) constituent une voie technique valable, à condition de poursuivre jusqu'au bac+3. L'alternance est très répandue et facilite fortement l'insertion, car les recruteurs valorisent la pratique (labs, CTF, home lab personnel) autant que le diplôme. Des reconversions via des bootcamps intensifs (3 à 6 mois) existent, mais elles s'adressent surtout à des profils ayant déjà une base informatique.
Trouve des entreprises qui recrutent en alternance pour ce métier.
L'analyste SOC travaille dans un « Security Operations Center », une salle de supervision où défilent en continu les alertes de sécurité générées par les systèmes informatiques d'une ou plusieurs entreprises. Son outil de travail principal est le SIEM (Security Information and Event Management), un logiciel qui collecte et corrèle des millions de journaux d'événements (connexions, flux réseau, comportements de postes de travail) pour faire remonter ce qui sort de l'ordinaire.
Concrètement, sa journée consiste à traiter une file d'alertes : il ouvre chaque alerte, vérifie s'il s'agit d'un faux positif ou d'une vraie menace (tentative de phishing, malware, connexion suspecte depuis l'étranger, exfiltration de données), reconstitue le scénario d'attaque à partir des logs, puis qualifie sa gravité. Si l'incident est réel, il applique les procédures de réponse : isoler une machine, bloquer un compte, alerter les administrateurs systèmes, et rédiger un rapport d'incident clair. Il participe aussi à la veille sur les nouvelles menaces et à l'amélioration des règles de détection pour que l'attaque du jour soit automatiquement repérée demain.
Le métier s'organise en trois niveaux. Le N1 trie et qualifie les alertes en première ligne, le N2 mène l'analyse approfondie et accompagne le traitement de l'incident, le N3 (expert) traite les cas les plus complexes, chasse les menaces discrètes (threat hunting) et écrit les règles de détection avancées. On commence presque toujours en N1.
C'est un travail sédentaire, devant plusieurs écrans, en équipe soudée : la passation entre équipes (les « shifts ») est un moment clé. Beaucoup de SOC fonctionnent 24h/24 et 7j/7, ce qui implique des horaires postés (rotations de type 3x8), des week-ends et des nuits, compensés par des majorations et des primes d'astreinte. D'autres SOC fonctionnent en horaires de bureau avec astreinte. Le télétravail est souvent partiel, rarement total, car certains environnements sensibles (banque, défense, opérateurs d'importance vitale) imposent une présence sur site. On exerce soit dans le SOC interne d'une grande entreprise, soit chez un prestataire spécialisé (MSSP) qui surveille plusieurs clients, soit dans le secteur public (ANSSI, ministères, collectivités, armées).
La progression N1 → N2 → N3 se fait en deux à cinq ans selon les compétences acquises et les certifications obtenues. Ensuite, plusieurs routes s'ouvrent : responsable ou coordinateur de SOC (management d'équipe), spécialisation en réponse à incident et investigation numérique (CSIRT, analyste forensic), threat intelligence (analyse de la menace), ingénierie de détection, ou passage « côté offensif » vers le pentest. À plus long terme, les postes d'architecte sécurité, de consultant cybersécurité ou de RSSI (responsable de la sécurité des systèmes d'information) sont des débouchés classiques. Le passage en freelance est également fréquent pour les profils expérimentés.
C'est l'un des métiers les plus recherchés de la cybersécurité française. L'ANSSI estime à plus de 15 000 le nombre de postes cyber non pourvus en France, et environ trois entreprises sur quatre déclarent manquer de compétences en sécurité. La multiplication des cyberattaques (rançongiciels, fraudes, attaques sur les hôpitaux et les collectivités) et l'entrée en vigueur des réglementations européennes NIS2 et DORA obligent un nombre croissant d'organisations à se doter d'une surveillance continue, donc de SOC. Résultat : les recrutements d'analystes N1 restent nombreux et l'insertion après un bac+3 ou bac+5 spécialisé est rapide, souvent dès la fin de l'alternance. Les employeurs sont les grandes entreprises (banque, industrie, télécoms, santé), les prestataires de services managés de sécurité (MSSP), les ESN, et le secteur public (ANSSI, ministères, armées, collectivités). Le point de vigilance : le turnover en N1 est élevé, car les horaires postés et la répétitivité du tri d'alertes fatiguent ; il faut viser assez vite la montée en N2/N3 ou une spécialisation.