Il faut faire une distinction importante.
Le SIEM améliore principalement :
la visibilité.
Or la visibilité permet d’améliorer :
- la détection ;
- l’investigation ;
- la réponse ;
- la gouvernance.
Mais la visibilité seule ne suffit pas.
On peut avoir :
100 % de visibilité + 0 capacité de réponse = risque toujours élevé. Le SIEM doit donc être intégré à un dispositif opérationnel.