Le SOC regroupe les analystes cyber qui supervisent 24/7 les alertes du SIEM, EDR et autres outils. Leur mission : trier les faux positifs, qualifier les incidents réels, orchestrer la réponse et documenter pour améliorer la détection. Un SOC peut être interne, externalisé (SOC as a Service) ou hybride. Il s'appuie sur des playbooks d'intervention et des outils d'orchestration (SOAR).