Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?

Réponse : B. 3 analystes

Les alertes que vérifient les analystes sont au nombre de 1440 × (1 − 0,75) = 360 par jour, soit 360 ÷ 24 = 15 par heure. Un analyste peut traiter 60 ÷ 10 = 6 alertes par heure ; le nombre nécessaire est donc 15 ÷ 6 = 2,5, arrondi au supérieur à 3. Sans le traitement automatisé du SOAR, il y aurait 60 alertes par heure, ce qui demanderait 60 ÷ 6 = 10 analystes. En pratique, il y a des pauses et d'autres tâches, et le nombre d'alertes varie selon l'heure de la journée ; on fixe donc l'effectif avec une marge sur le taux d'occupation.