Recrutement analyste SOC : des analystes qui tiennent la détection, et qui restent
Niveaux 1 à 3, threat hunting, réponse à incident : un SOC vaut ce que valent ses analystes, et le marché les use vite. Les N1 se forment, les N3 se chassent, et entre les deux, tout le monde recrute. Rehackt recrute des analystes SOC et threat hunters pour les SOC internes et les MSSP, avec une évaluation technique réelle et un vrai travail sur ce qui les fera rester.
L’analyste SOC en 2026 : trois niveaux, trois recrutements
Le N1 qualifie, le N2 investigue, le N3 chasse. Le premier trie et enrichit les alertes, applique les playbooks, escalade. Le deuxième mène l’investigation, reconstitue la chronologie, décide du confinement. Le troisième écrit les règles de détection, traque les menaces que les outils n’ont pas vues et forme les autres. Ce sont trois métiers, trois viviers et trois façons de recruter. Et la demande ne vient plus seulement des grands comptes : en 2025, 73 % des organisations ciblées recensées par l’ENISA étaient des entités essentielles ou importantes au sens de NIS 2, celles que la loi Résilience, de nouveau reportée le 6 octobre 2026, obligera à signaler leurs incidents importants sous 24 heures.
L’outillage a changé, pas le fond. EDR, SIEM cloud, SOAR, IA d’aide au tri : les outils prennent une part croissante du travail répétitif. Ce qui reste, et ce qui se paie, c’est la capacité à comprendre ce qui se passe réellement sur un poste ou dans un annuaire, à le documenter, et à tenir le rythme d’un SOC 24/7 sans s’épuiser. Le rapport de l’ANSSI sur la DGFiP, publié le 29 septembre 2026, le rappelle : aucune des deux vagues d’exfiltration de l’été n’a été détectée, l’un des portails utilisés n’était pas supervisé, et l’alerte qui a bien été levée n’a pas été reliée à l’autre portail. Et quand des failles Citrix NetScaler sont exploitées avant même la sortie des correctifs, comme le signale le CERT-FR depuis le 28 septembre, il ne reste que la détection.
Pourquoi les SOC recrutent en permanence
Un SOC qui recrute tout le temps n’a pas un problème de sourcing, il a un problème de rétention. On traite les deux.
Les N1 se forment, les N3 se chassent
Le bas du marché est alimenté par les écoles et les reconversions. Le haut se compte en quelques centaines de personnes en France, presque toutes en poste, et toutes sollicitées.
Le 24/7 use
Nuits, week-ends, alertes qui s’empilent : la fatigue est la première cause de départ. Un analyste qui part au bout de dix-huit mois coûte plus que son recrutement.
MSSP et interne ne cherchent pas le même profil
Le MSSP veut du volume, de la méthode et de la tenue face aux clients. Le SOC interne veut de la profondeur sur un périmètre. Beaucoup de candidats n’ont connu que l’un des deux.
Le SOC est une porte d’entrée
Pour beaucoup, l’analyse est un passage vers le pentest, la réponse à incident ou l’ingénierie détection. Recruter sans parler de la suite, c’est recruter pour dix-huit mois.
Rémunération d’un analyste SOC en 2026
Fourchettes indicatives France, brut annuel fixe, hors astreintes, primes de nuit et avantages, calées sur les baromètres 2026 (Silkhom, JobRise, Zeroday) et sur nos échanges avec les candidats en poste. La région parisienne, l’EDR et le hunting, et l’expérience MSSP à l’échelle tirent vers le haut.
| Contexte | Fourchette brute annuelle | Ce qui fait bouger le curseur |
|---|---|---|
| Analyste SOC N1 / N21 à 3 ans, MSSP ou SOC interne | 35 à 42 K€ | Astreintes et nuits rémunérées à part, souvent 5 à 15 % de plus sur l’année. Le vivier existe, la rétention est le sujet. |
| Analyste SOC N2 / N3 confirmé4 à 7 ans, investigation, EDR, premiers travaux de hunting | 42 à 55 K€ | Le cœur du marché et le plus disputé. Sollicité chaque semaine par les MSSP et les grands comptes. |
| Analyste N3 / threat hunter / lead techniquegrand compte, MSSP, CERT, règles de détection et formation | 55 à 75 K€ | Rare. Souvent à la frontière de l’ingénierie détection ou de la réponse à incident, avec un package qui suit. |
Fourchettes indicatives France 2026, hors avantages.
Comment nous recrutons un analyste SOC
Le process complet, du brief à l’intégration, est détaillé sur la page Confier un recrutement. Voici ce que ça donne sur un poste d’analyste, en SOC interne ou en MSSP.
Conditions : les mêmes que pour tous nos mandats. Honoraires au succès, indexés sur le package, garantie de remplacement. Le détail est sur la page Confier un recrutement.
FAQ : recruter un analyste SOC ou un threat hunter
Les questions qui reviennent au premier appel. Cliquez pour ouvrir.
Q.01 Analyste N1, N2, N3, threat hunter : quelle différence ?
Le N1 qualifie les alertes et applique les procédures. Le N2 mène l’investigation et décide des premières actions de confinement. Le N3 conçoit les règles de détection, traite les incidents complexes et forme les autres niveaux. Le threat hunter cherche activement les menaces que les outils n’ont pas remontées. Dans un SOC de taille moyenne, N3 et hunter sont souvent la même personne.
Q.02 Quel salaire pour un analyste SOC en 2026 ?
De 35 K€ pour un N1 en début de carrière à 75 K€ de fixe pour un N3, un threat hunter ou un lead technique en grand compte, hors astreintes et primes de nuit, qui ajoutent souvent 5 à 15 % sur l’année. Le tableau ci-dessus détaille les trois niveaux. Les horaires et les perspectives d’évolution pèsent au moins autant que le salaire dans la décision.
Q.03 Combien de temps pour une shortlist ?
2 à 4 semaines en moyenne pour une shortlist qualifiée, 5 à 8 semaines en moyenne pour le process complet, préavis non compris. Ce sont des moyennes constatées sur nos mandats. Les N3 et threat hunters demandent plus de temps que les N1 et N2.
Q.04 Vous ne présentez que des profils expérimentés ?
Non. Pour les postes de N1 et N2, nous proposons aussi des profils en montée en compétence, issus de reconversion ou de premier poste, que nous connaissons et suivons. Bien choisis et bien encadrés, ce sont souvent les analystes qui restent le plus longtemps.
Q.05 Un SOC externalisé dispense-t-il de recruter ?
Non, il déplace le besoin. Le MSSP surveille, mais quelqu’un chez vous doit connaître le périmètre, faire superviser les applications qui comptent et décider quand une alerte devient un incident. Le rapport de l’ANSSI sur la DGFiP montre ce qui arrive quand un portail reste hors du périmètre supervisé. Selon votre taille, ce rôle revient à un analyste N2 ou N3 interne, ou à un Head of SOC.
Vous montez un SOC, ou le vôtre tourne à effectif réduit ? Échangeons.
Sans engagement au premier appel. Vous échangez directement avec Eva, réponse sous 48 heures.
