Lorsque les opérations de sécurité passent à la « vitesse machine » : comment le SOC basé sur les agents de Bendigo Bank redéfinit le paradigme de la cybersécurité

Quand les opérations de sécurité passent à la « vitesse machine »

La vitesse d'évolution des menaces de cybersécurité a depuis longtemps dépassé la bande passante cognitive des analystes humains. Les centres d'opérations de sécurité (SOC) traditionnels s'appuient sur un grand nombre d'analystes de niveau 1 et 2 pour le filtrage des alertes, l'audit des journaux et la réponse initiale, mais dans le contexte où les attaquants modernes utilisent des attaques génératives basées sur l'IA et des mouvements latéraux automatisés, le cycle « détection-réponse » dominé par les humains a montré ses limites. Le responsable de la sécurité de Bendigo Bank, Gajan Ananthapavan, a déclaré au Google Cloud Summit à Sydney : « Les équipes SOC traditionnelles n'existeront plus sous leur forme actuelle. »

La réponse de la banque a été de construire le premier « centre d'opérations de sécurité agentique » (agentic SOC) d'Australie. Son cœur n'est pas une simple mise à niveau automatisée, mais l'intégration d'agents IA dans la boucle de décision de sécurité — de la corrélation des alertes, à la classification des incidents, jusqu'à l'exécution des réponses, les agents peuvent juger et agir de manière autonome en quelques millisecondes, ne sollicitant l'intervention humaine que pour des analyses approfondies ou des décisions stratégiques. Ananthapavan a indiqué que l'objectif final est de retirer complètement les humains de la réponse de première ligne, permettant à l'équipe de se concentrer sur un « travail de sécurité à haute valeur ajoutée ».

De SOAR à Agentic : le saut paradigmatique de l'automatisation de la sécurité

L'orchestration, l'automatisation et la réponse de sécurité (SOAR) étaient autrefois l'outil standard pour améliorer l'efficacité des SOC, mais il s'agit essentiellement d'une exécution mécanique « scriptée » : règles prédéfinies, branches conditionnelles limitées, manque de compréhension contextuelle. Le SOC agentique est quant à lui basé sur de grands modèles de langage (LLM) et l'apprentissage par renforcement, capable de comprendre le renseignement sur les menaces décrit en langage naturel, d'ajuster dynamiquement les stratégies, et même de renforcer proactivement les contrôles de défense — par exemple en ajustant automatiquement les règles du pare-feu d'applications Web pour faire face aux vecteurs d'attaque en temps réel.

Le choix technologique de Bendigo Bank illustre le support sous-jacent de cette transition : utiliser Google Threat Intelligence pour fournir une carte mondiale des menaces, Google SecOps comme plateforme d'analyse unifiée, et Security Command Center pour la visualisation et la gestion des politiques des actifs natifs du cloud. Ces produits intègrent déjà de nombreuses capacités d'IA, mais la banque va plus loin en construisant sa propre couche d'agents par-dessus. Ananthapavan souligne que cela nécessite de « construire progressivement la confiance dans les décisions des agents », en maintenant initialement une « coopération homme-machine », puis en réduisant progressivement l'intervention humaine une fois la précision du modèle atteinte.

Triple impact sur la structure industrielle

L'essor du SOC agentique va profondément modifier trois dimensions du domaine de la cybersécurité :Premièrement, la restructuration de la main-d'œuvre. Le SOC mondial est confronté à une grave pénurie de talents, avec un taux de rotation très élevé des analystes juniors. Si les agents peuvent prendre en charge 80 % du traitement des alertes et des réponses standardisées, les entreprises n'auront plus besoin d'un grand nombre d'analystes de niveau inférieur ; à la place, elles auront besoin de moins de rôles composites « ingénieur sécurité + formateur IA », chargés d'optimiser les comportements des agents et d'enquêter sur les menaces avancées. Cela ressemble à la refonte du poste de QA par les tests automatisés – non pas une suppression d'emplois, mais un relèvement du niveau de compétence.

Deuxièmement, le repositionnement des fournisseurs de sécurité. Les fournisseurs traditionnels de SIEM (tels que Splunk, IBM QRadar) sont confrontés à une concurrence féroce de la part des piles de sécurité cloud natives. Google, Microsoft et Amazon ont tous lancé des plateformes de sécurité opérationnelle complètes, intégrant des capacités d'agent IA et tirant parti de leurs avantages en matière d'infrastructure cloud. Bendigo Bank a achevé la migration de sa plateforme en quatre mois et fermé son ancien système, ce qui montre que la vitesse de déploiement et les avantages de coût des solutions cloud natives se transforment en choix concrets. Parallèlement, des cabinets de conseil comme PwC, en tant qu'intégrateurs, se disputent également le marché des services de « transformation agentique ».

Troisièmement, la mise à niveau de la stratégie de sécurité des entreprises. Les agents ne se contentent pas de répondre, ils peuvent aussi renforcer proactivement la défense. Ananthapavan donne l'exemple suivant : grâce aux renseignements en temps réel collectés lors d'attaques réelles, les agents peuvent ajuster directement les règles de protection frontales – ce qui marque le passage des opérations de sécurité de la « défense passive » à la phase « d'autonomie active ». À long terme, le centre de gravité du travail des équipes de sécurité des entreprises passera de la « gestion des incidents » à la « gouvernance des modèles et à la conception des stratégies ».L'essai de Bendigo Bank est un point de validation empirique de ce récit ambitieux. Lorsque le SOC basé sur des agents prouvera sa fiabilité et son rapport coût-efficacité, le secteur accélérera son adoption. Les règles du jeu de la cybersécurité sont en train d'être réécrites : la victoire n'appartiendra plus à l'humain le plus réactif, mais à la machine dotée des agents les plus intelligents.