Why Your SOC Needs a Risk Operations Center (ROC)| Rich Seiersen, Qualys

Why Your SOC Needs a Risk Operations Center (ROC)| Rich Seiersen, Qualys

Pourquoi votre SOC a besoin d'un centre d'opérations de risque (ROC) | Rich Seiersen, Qualys

par Rich Seiersen · Voir la chaîne sur PSI

Sciences humaines, sociales & pensée Informatique & Cybersécurité UInformatique et technologies de l’informationURSécurité informatique
🎙 Rich Seiersen 👥 40K 📅 16 septembre 2026 ⏱ 39 min 👁 493 📄 opinion experte 🧭 2026-09-17
Disponible en : Français (actuel) English

Mots-clés

AWEMTTRhyper-prioritisationROCexposition

Résumé

Dans cet épisode du Cloud Security Podcast, Ashish Rajan interviewe Rich Seiersen, Chief Risk Technology Officer chez Qualys et ancien CISO de Twilio et LendingClub. La discussion porte sur l’évolution de la gestion des vulnérabilités vers une approche de Risk Operations Center (ROC). Rich explique que le volume de CVEs explose, avec une moyenne de 2000 nouvelles CVEs par semaine, et que le temps de weaponisation (mean time to weaponize) est passé à -7 jours avant la divulgation. Il introduit le concept d’Average Window of Exposure (AWE), actuellement estimé à 28 jours en moyenne, ce qui est inacceptable. Il propose de réduire ce délai à 24 heures de MTTR pour les vulnérabilités atteignables et exploitables, via l’hyper-prioritisation et la remédiation autonome. Il détaille la métrique de ‘porosité’ en termes de jours-instances d’exposition (40 000 par exemple) et insiste sur l’importance de contrôler le terrain (allusion à Sun Tzu et la bataille des Thermopyles). Enfin, il recommande aux entreprises de mettre en place un ROC distinct du SOC, adossé à des capacités de mesure et d’automatisation, et mentionne le prochain événement Qualys ROCON à Austin.

184 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur de l’information est élevée : l’invité apporte des chiffres précis (AWE 28 jours, MTTR 24h, 2000 CVEs/semaine) et une méthodologie concrète pour réduire l’exposition. L’argumentation est structurée, s’appuyant sur des analogies militaires (Sun Tzu, 300) pour illustrer la nécessité de contrôler le terrain. L’accent mis sur l’automatisation et l’IA comme leviers de remédiation est pertinent. Cependant, le discours est partiellement orienté vers la promotion de solutions Qualys, ce qui introduit un biais d’expertise commerciale.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est correcte : l’invité cite des références (livres, données Qualys, concepts MITRE ATT&CK) et des statistiques opérationnelles. Les sources mentionnées dans la description (site du podcast, newsletter, LinkedIn) sont fiables pour le contexte. Le contenu est cohérent avec le titre, qui annonce clairement le focus sur le ROC. Aucune divergence majeure entre titre et contenu. Les recommandations sont ancrées dans une réalité opérationnelle, même si les données proviennent en grande partie de Qualys.

167 mots

Adéquation titre / contenu

Le titre correspond bien au contenu : l'invité développe précisément pourquoi un ROC distinct du SOC est nécessaire pour gérer les risques à l'ère de l'IA.

Qualité & fiabilité

8/10

Discussion experte avec des données quantitatives (28 jours AWE, 24h MTTR) issues des recherches de Qualys, mais présentant un biais commercial évident. Les chiffres sont contextualisés et le raisonnement est cohérent.

Chapitres

Sources citées

Sources concordantes

  • CISA Known Exploited Vulnerabilities Catalog — Le catalogue KEV confirme qu'un nombre croissant de vulnérabilités sont activement exploitées, ce qui appuie le besoin d'une réduction du temps de remédiation.

Apport & nouveautés

L’apport principal de cet épisode est de formaliser le concept de Risk Operations Center (ROC) comme évolution du SOC, en proposant des métriques opérationnelles concrètes (AWE, MTTR, jours-instances d’exposition) et une méthode de hyper-priorisation basée sur l’exploitabilité réelle. La distinction entre simple gestion des vulnérabilités et gestion des risques est bien explicitée, avec une orientation pratique pour les CISO. La recommandation de viser un MTTR de 24h pour les vulnérabilités critiques est un objectif chiffré utile.

Pour aller plus loin :

  • Common Vulnerabilities and Exposures (CVE) — Référence standard sur les CVEs, utile pour comprendre la volumétrie et le cycle de vie.
  • MITRE ATT&CK — Framework de techniques adverses, mentionné indirectement via les notions de kill chain et de techniques, pertinent pour l’analyse des expositions.
  • CISA Known Exploited Vulnerabilities (KEV) Catalog — Source officielle des vulnérabilités exploitées, en lien avec le concept de ’temps de weaponisation’ et la priorisation.

149 mots

Profil radar

Le profil radar montre des scores équilibrés avec une légère dominance de la quantité d'information et de la qualité, reflétant un contenu dense et structuré. La fiabilité globale est un peu inférieure du fait du biais commercial, mais le niveau technique reste élevé.

Fiabilité 7/10