04/11/2026
Cybersecurity Insights
ResOps : pourquoi l’avenir de la cyber se joue dans le ROC, pas seulement dans le SOC
En 2026, la réalité du risque cyber ne semble plus à démontrer : le travail de sensibilisation des dirigeants de la décennie passée, soutenu par la multiplication des incidents et par un durcissement réglementaire qui renforce leur responsabilité, a nettement accompagné cette prise de conscience.
La question n’est donc plus « serons-nous la cible d’une attaque ? ». Pour autant, elle reste encore trop souvent limitée au seul enjeu de la détection, au détriment d’une véritable approche de résilience opérationnelle. Il faut passer de « savons-nous détecter ? » à « savons-nous tenir, décider, reconstruire et le démontrer ? ». C’est ce que recouvre le ResOps, pour Resilience Operations.
Derrière cette approche encore émergente se dessine une transformation profonde des attentes des organisations : atténuer les pertes financières en cas d’incident majeur, préserver la confiance des clients et partenaires, et démontrer leur continuité d’activité aux régulateurs comme aux investisseurs.
Cette conviction structure notre approche ROC ® : une vision élargie des opérations cyber, conçue pour orchestrer la préparation, la réponse, la reconstruction et le retour à la normale.
Une nouvelle donne pour la performance cyber
Pendant des années, la cybersécurité s’est structurée autour d’un objectif dominant : empêcher l’incident, ou à défaut le détecter puis le contenir rapidement. Cette logique reste indispensable mais ne répond plus, à elle seule, à la réalité des crises actuelles.
Nous l’observons à chaque intervention de notre CERT en réponse à des incidents cyber, les problématiques de sécurité et de continuité constituent les deux faces d’une même médaille pour nos clients.
Qu’il s’agisse d’une attaque par rançongiciel, d’une compromission d’administration, d’une destruction ciblée d’infrastructure, d’une corruption de sauvegardes ou encore de la défaillance d’un tiers critique, l’enjeu de sécurité est indissociable de celui de la rupture d’exploitation qu’ils entraînent. Et pour cause, pour l’organisation victime de l’incident, les effets sont immédiats et en cascade :
- Pertes financières directes et indirectes
- Dégradation de la confiance client
- Tension avec les partenaires et l’écosystème
- Exposition accrue aux attentes des régulateurs
- Fragilisation de la crédibilité de l’entreprise auprès des investisseurs
L’évaluation de la performance cyber ne se mesure donc pas uniquement à la qualité de la détection ou à la richesse des cas d’usage mais doit également intégrer la capacité d’une organisation à maintenir ses activités essentielles, à arbitrer sous contrainte, puis à reconstruire proprement un socle de confiance. C’est ce déplacement du centre de gravité qui explique l’émergence du ResOps.
Pour les dirigeants, la question n’est donc plus de savoir s’il faut investir dans l’intelligence artificielle que d’identifier les usages sur lesquels concentrer les efforts afin de générer des gains de productivité durables et de renforcer la création de valeur.
Le ResOps marque un changement de paradigme
Il faut bien comprendre que la réalité derrière cette démarche, le ResOps, ne désigne pas une nouvelle couche technologique ni un simple rebranding des pratiques existantes, mais plutôt un changement de philosophie.
Il s’agit une approche transverse, qui renforce la place des métiers et du « business », pour passer d’une cybersécurité centrée sur la protection à une cybersécurité capable d’absorber le choc, d’opérer en mode dégradé et de restaurer rapidement les fonctions critiques.
ResOps en une phrase : faire de la résilience une capacité observable, pilotable et testée, de la préparation à la reconstruction, dont les enseignements permettent à leur tour d’enrichir la préparation et la protection.
Dans cette logique, la résilience doit dépasser les plans, procédures et exercices séparés du réel pour intégrer, en amont, les enjeux opérationnels : quels services doivent tenir, dans quel ordre, avec quelles dépendances, pour quels enjeux métier et dans quelles limites de dégradation acceptables.
Une approche complémentaire au SOC
Le SOC reste un maillon essentiel. Il constitue le socle incontournable de toute capacité moderne de cyberdéfense. Sans visibilité, sans corrélation, sans détection et sans qualification, il n’y a ni maîtrise du temps chaud, ni réaction crédible.
Le SOC est le socle incontournable de la cyberdéfense. Le ROC lui donne sa pleine portée dans une chaîne de résilience plus large.
Mais un socle n’a de valeur que s’il porte un dispositif plus large. Lorsqu’une organisation entre dans une crise majeure, ou quand le volume de vulnérabilités explose, les capacités de détection les plus avancées doivent être complétées par l’approche « ROC » pour qualifier les vulnérabilités qui ont permis la rupture, coordonner voire ajuster la réponse, piloter les dépendances techniques, isoler, prioriser, reconstruire, remettre en service les environnements critiques et préparer un retour à la normale ou à l’acceptable suffisamment sûr pour ne pas réinjecter le risque dans le système d’information.
Le ROC ne remplace donc pas le SOC puisqu’il l’inscrit dans une vision plus large et plus exigeante de la performance opérationnelle.
Depuis deux ans, Almond a déployé cette démarche ROC auprès de ses clients, autour d’un même continuum opérationnel :
- Le SOC pour la détection et la supervision
- Le VOC pour la gestion opérationnelle des vulnérabilités
- Le CERT pour la réponse à incident
- La CTI pour l’anticipation de la menace
- Les activités de conseil pour l’identification des « crown jewel », des plans de continuité ou reprise, les exercices de crise
- L’ITOaaS et le CloudOps pour la continuité technique et l’exploitation
- Les capacités de reconstruction pour rebâtir rapidement un environnement de confiance.
Une reprise rapide sur un socle compromis n’est pas une résilience. C’est un redémarrage du risque.
Les retours d’expérience ont démontré l’intérêt du dépassement du seul périmètre « opérations ». Il permet ainsi de renforcer la résilience en s’appuyant sur des fondations de protection, sur une gouvernance du risque claire et sur des mécanismes de contrôle capables d’aligner exigences de sécurité, priorités métier et trajectoires de conformité.
La résilience se gagne (ou se perd…) avant la crise
Mais attention, restreindre le ResOps à un simple enjeu de coordination lors de la survenue d’un incident serait réducteur. Il repose d’abord sur des choix d’anticipation.
Concrètement, nous observons que les organisations les plus matures sont celles qui savent répondre, avant même l’incident, à quelques questions structurantes :
- Quels services doivent tenir en priorité
- Quel niveau de dégradation est acceptable et pendant combien de temps
- Dans quel ordre reconstruire et avec quelles dépendances
- Sur quelles bases arbitrer lorsque les contraintes techniques, réglementaires et métier entrent en tension
On pourrait sembler enfoncer des portes ouvertes, en pratique, les niveaux de maturité observés sont très inégaux.
Les organisations les plus résilientes sur le plan cyber, sont celles qui ont réussi à engager une démarche où la résilience rejoint pleinement la stratégie d’entreprise.
C’est ce que des sociétés comme Almond peuvent apporter à des clients, en combinant visions technique, organisationnelle, culturelle, avec la préoccupation « business », nous avons un rôle à jouer pour aider les équipes cyber à sortir d’une logique de spécialité pour mieux dialoguer avec les métiers, l’IT, la gouvernance et la direction, définir la « MVC » (Minimum Viable Company).
Il s’agit d’aider à mettre en place un langage commun sur ce qu’il faut préserver, ce qu’il est possible de reconstruire vite, ce qu’il faut accepter de dégrader temporairement et les arbitrages qui s’imposent lorsqu’une crise survient.
La résilience se construit par avance, dans la durée.
Au-delà de cette démarche de conseil, c’est aussi une logique à intégrer dans les services managés, par les MSSP et autres offreurs de solution cyber. Nous avons engagé ce virage depuis plusieurs années chez Almond, avec des choix et des investissements structurants : hyperautomatisation, AIOps, plateforme agentique AI, detection as code, datafactory ROC, contrôles automatisés et compliance as code. L’anticipation repose quant à elle sur des leviers complémentaires, comme nos outils et nos experts en CTI, notre démarche d’innovation appliquée continue, notre plateforme M&NTIS d’attaque/défense, permettant de tester agents et outil d’IA R&D, le savoir-faire de notre laboratoire d’évaluation cyber (CESTI), et par un investissement continu dans le build et l’amélioration des capacités.
Faire de la reconstruction une compétence native, mesurable et un enjeu de confiance.
L’autre pilier d’une approche ResOps réussie tient aux capacités de reconstruction, savoir reconstruire vite, proprement et à l’échelle.
Une résilience crédible suppose ainsi des compétences natives sur les chantiers qui décident réellement de la reprise : Active Directory, IAM, cloud, hébergements d’urgence, remédiation et retour à la normale.
Elle suppose aussi de définir des indicateurs à suivre, pour mesurer la réalité de ses capacités et leur évolution au cours du temps. Le tableau ci-dessous présente par exemple quelques indicateurs opérationnels suivis dans les activités ROC d’Almond :
Source : éléments de positionnement Almond 2025-2026
Cette promesse de résilience repose enfin sur une relation de confiance, en particulier dans le contexte géopolitique et technologique instable que nous connaissons. Ce doit être un élément clé d’appréciation des offres des fournisseurs de solutions cyber et conduire à la (re)valorisation des services délivrés onshore, des qualifications reconnues, de l’engagement actif dans l’écosystème de confiance et de la capacité à accompagner les clients dans le temps… des engagements qui donnent à la cyberrésilience une profondeur qui dépasse la seule performance technique.
En conclusion, le ResOps n’est pas un nouveau sigle : c’est une nouvelle exigence
Le ResOps s’impose parce qu’il nomme enfin ce qui manquait à beaucoup de stratégies cyber : la capacité à faire le lien entre anticipation, protection, détection, réponse, continuité, reconstruction et amélioration.
Dans ce contexte, le SOC reste de toute évidence plus que jamais essentiel. Il est le socle.
Il ne peut pour autant jouer pleinement ce rôle que s’il s’inscrit dans une vision plus large, capable d’articuler les opérations avec la stratégie de résilience de l’entreprise, ses priorités métier et ses exigences de confiance.
C’est précisément l’ambition portée par Almond à travers son approche ROC. Dans un monde où l’incident majeur doit être considéré comme un scénario d’exploitation crédible, l’avenir de la cyber ne se joue plus seulement dans la capacité à détecter. Il se joue dans la capacité à orchestrer toute la chaîne de résilience.
