Un analyste capable de surveiller votre système d'information, de qualifier les alertes de votre SIEM et de votre EDR, de mener l'investigation d'un incident jusqu'à sa remédiation, et qui intègre l'IA dans son travail de détection. Nous vous présentons des profils évalués en moins de 48h.
Par Hugo Brisset · Mis à jour le
L'analyste SOC (Security Operations Center) surveille en continu les événements de sécurité de votre système d'information. Il qualifie les alertes remontées par le SIEM et l'EDR, distingue les faux positifs des véritables attaques, investigue les incidents, coordonne la réponse avec les équipes d'exploitation et documente chaque cas. Les profils confirmés interviennent en niveau 2 ou 3 : investigation approfondie, chasse aux menaces, écriture et réglage des règles de détection.
Les besoins prennent des formes variées : renforcer un SOC interne, reprendre la détection après le départ d'un analyste, migrer d'un SIEM vers un autre (de QRadar vers Microsoft Sentinel, par exemple), déployer un EDR sur l'ensemble du parc ou préparer l'organisation aux exigences de notification d'incident portées par NIS2 et DORA. Le volume d'alertes et la pénurie de profils expérimentés rendent le renfort freelance fréquent sur ce métier.
L'IA transforme profondément le travail du SOC. Les éditeurs intègrent des assistants à leurs consoles (Microsoft Security Copilot, Charlotte AI chez CrowdStrike, Purple AI chez SentinelOne) qui résument une alerte, proposent une requête ou rédigent un rapport. Ces outils accélèrent le tri, mais une conclusion erronée sur un incident coûte cher. La valeur de l'analyste tient donc à sa capacité à vérifier ce que l'IA avance, à partir des journaux bruts. C'est précisément ce que nous évaluons.
Les besoins que les entreprises confient typiquement à un analyste SOC freelance.
Triage quotidien des alertes du SIEM et de l'EDR, qualification des faux positifs, escalade des incidents avérés, suivi dans l'outil de ticketing et respect des délais de traitement fixés par le niveau de service.
Analyse des journaux, des processus et des flux réseau, isolement des postes compromis depuis l'EDR, recherche de l'étendue de la compromission, coordination de la remédiation et rédaction du rapport d'incident.
Création de cas d'usage alignés sur MITRE ATT&CK, écriture de requêtes en SPL, KQL ou Sigma, réduction du bruit, tests des règles et documentation, dans une logique de détection en code versionnée.
Bascule d'un SIEM historique vers Microsoft Sentinel, Splunk ou Google SecOps, raccordement des sources de journaux, reprise des règles existantes, déploiement d'un EDR sur le parc et réglage des politiques.
Suivi des vulnérabilités critiques (CVE, catalogue KEV de la CISA, bulletins du CERT-FR), exploitation du renseignement sur les menaces, campagnes de chasse proactive sur les techniques d'attaque en circulation.
Conception de playbooks SOAR pour enrichir les alertes, bloquer un indicateur ou isoler un poste, en gardant une validation humaine sur les actions sensibles, et mesure du temps gagné par l'équipe.
Les technologies qui reviennent le plus dans les besoins des équipes SOC en 2026.
Ce qui nous distingue
Chaque freelance passe un entretien technique et comportemental mené par un ingénieur. Une partie se déroule en partage d'écran : nous voulons voir comment il travaille réellement, pas l'entendre le raconter.
Quels assistants il utilise dans ses consoles SIEM et EDR, sur quelles étapes (résumé d'alerte, enrichissement, rédaction de rapport), et ce que cela a changé dans son traitement quotidien. Nous attendons des exemples précis.
Comment il contrôle une hypothèse proposée par l'IA en revenant aux journaux bruts, et un cas où l'outil s'est trompé. Un bon analyste ne clôt jamais un incident sur la seule foi d'un résumé généré.
Comment il fait produire une requête KQL ou SPL, ou une règle Sigma, puis la relit, la teste sur des données réelles et en mesure le taux de faux positifs avant de la mettre en production.
Un Skill, un Subagent, un serveur MCP ou un playbook qui enrichit une alerte ou prépare une investigation, et la manière dont il l'a fait évoluer, y compris les garde-fous sur les actions de blocage.
Ce qu'il accepte d'envoyer à un modèle et ce qu'il garde hors de portée : journaux contenant des données personnelles, indicateurs d'un incident en cours, éléments soumis à confidentialité.
Sans pratique de l'IA illustrée et démontrée, nous ne donnons pas suite.
Tarifs
Ces montants sont des estimations du TJM constaté sur le marché freelance français, hors taxes. Nous communiquons le TJM exact avec les profils, sous 48h.
TJM moyen constaté sur le marché
610 €
Fourchette : 480 € à 780 € HT par jour
| Niveau | TJM marché HT | À savoir |
|---|---|---|
| Confirmé (niveau 2)Triage et qualification des alertes, premières investigations, suivi des incidents. | 540 € | |
| Senior (niveau 3)Investigation approfondie, réponse à incident, écriture et réglage des règles de détection. | 630 € | |
| Expert détectionDetection engineering, chasse aux menaces, migration de SIEM ou pilotage d'une équipe SOC. | 740 € |
Source : Estimation de marché établie en octobre 2026 à partir de baromètres publics de TJM freelance en France. Ce ne sont pas des montants facturés par Top Profil. · Free-Work, baromètre TJM ingénieur en cybersécurité · Silkhom, freelance en cybersécurité : missions, TJM et certifications (2026) · Zeroday Cyber Academy, TJM freelance cybersécurité par métier (2026)
FAQ
D'après les baromètres publics, le TJM d'un analyste SOC freelance se situe le plus souvent entre 480 € et 780 € hors taxes. Comptez autour de 540 € pour un profil confirmé de niveau 2, 630 € pour un senior de niveau 3 et davantage pour un expert en ingénierie de la détection. Nous communiquons le TJM exact avec les profils.
Le niveau 1 surveille et trie les alertes selon des procédures établies. Le niveau 2 investigue les alertes escaladées et pilote la réponse aux incidents courants. Le niveau 3 traite les incidents complexes, chasse les menaces et conçoit les règles de détection. En mission freelance, les besoins portent surtout sur les niveaux 2 et 3.
Un freelance seul ne remplace pas un SOC opéré en continu : la surveillance 24/7 suppose une équipe en rotation ou un prestataire de SOC managé. Un analyste freelance peut en revanche renforcer votre équipe en heures ouvrées, participer à un roulement d'astreinte défini au contrat ou piloter la relation avec votre SOC managé. Nous précisons ce cadre avec vous dès le premier échange.
La maîtrise d'au moins un SIEM et d'un EDR du marché, la capacité à écrire des requêtes (KQL, SPL) et à lire des journaux système et réseau, la connaissance de MITRE ATT&CK et une démarche d'investigation rigoureuse. La qualité de ses rapports d'incident compte autant que sa technique, car ils servent à la direction comme aux autorités.
Souvent, oui. Un SOC managé détecte et escalade, mais il faut en interne quelqu'un qui connaît votre contexte, qualifie les escalades, coordonne la remédiation avec vos équipes et fait évoluer les cas d'usage. Un analyste freelance peut tenir ce rôle à temps plein ou à temps partiel.
Lors d'un entretien mené par un ingénieur, en partie en partage d'écran, nous observons comment il utilise les assistants intégrés à ses outils, comment il vérifie leurs conclusions à partir des journaux et ce qu'il a construit pour lui-même, comme un Skill, un Subagent ou un serveur MCP. Nous regardons aussi ce qu'il refuse de confier à un modèle. Sans pratique démontrée, nous ne donnons pas suite.
Fiche rédigée par Hugo Brisset, cofondateur de Top Profil.
Publiée le , mise à jour le .
Échangeons 30 minutes sur votre besoin. Nous vous présentons des profils évalués en moins de 48h.
