FortiSOAR orchestre vos outils de sécurité et automatise la réponse aux incidents grâce aux playbooks. Fonctionnement, statut 2026 et bonnes pratiques.
FortiSOAR est la plateforme de Fortinet dédiée à l'orchestration, à l'automatisation et à la réponse aux incidents de sécurité (SOAR). Elle centralise les alertes issues de vos outils, les enrichit, puis exécute des playbooks qui enchaînent automatiquement les actions d'analyse et de remédiation. L'objectif : réduire le travail répétitif des analystes et rendre la réponse plus rapide et plus homogène.
Un centre opérationnel de sécurité reçoit chaque jour un volume d'alertes que les équipes ne peuvent pas traiter manuellement avec la même rigueur. Le SIEM détecte et corrèle ; le SOAR prend le relais pour organiser le traitement. Il répond à trois besoins :
La plateforme repose sur quelques éléments que tout administrateur doit maîtriser :
FortiSOAR est proposé en logiciel auto-hébergé (appliance virtuelle) ou en SaaS.
FortiSOAR n'a été ni renommé ni arrêté : c'est un produit actif, dont la branche 8.0 est publiée sur la bibliothèque documentaire de Fortinet. Cette version met l'accent sur des agents d'IA qui assistent l'investigation des alertes et la construction de playbooks, avec la possibilité de choisir le modèle de langage utilisé. Pour des besoins plus modestes, notez que FortiAnalyzer intègre aussi des fonctions d'automatisation par playbooks ; FortiSOAR reste l'outil de référence dès que l'on orchestre de nombreux outils tiers ou plusieurs équipes.
La valeur d'un SOAR dépend moins de l'outil que de la qualité des processus que l'on y traduit. Quelques principes éprouvés :
Un cas classique est le traitement des signalements d'hameçonnage : extraction des pièces jointes et des URL, analyse de réputation, recherche des autres destinataires du même message, puis suppression dans les boîtes aux lettres après validation de l'analyste.
Pour vérifier que l'investissement produit des effets, suivez quelques indicateurs simples : délai moyen de prise en charge d'une alerte, délai moyen de résolution, part des alertes clôturées automatiquement, taux de faux positifs remontés aux analystes. Comparez ces valeurs avant et après le déploiement de chaque playbook. Cette mesure aide aussi à décider quels processus automatiser ensuite.
Administrer FortiSOAR suppose trois familles de compétences : la connaissance des processus de réponse aux incidents, la compréhension du fonctionnement d'un SOC, et une aisance technique avec les API, le format JSON et un peu de scripting Python. Pour construire ces bases, plusieurs parcours sont pertinents :
FortiSOAR apporte une réponse outillée à la surcharge des SOC, à condition de l'alimenter avec des processus clairs et testés. Commencez par automatiser l'enrichissement, mesurez les gains, puis étendez progressivement l'automatisation aux actions de remédiation, en gardant la maîtrise humaine là où l'impact est réel.