Faut-il un audit avant de mettre en place un SOC managé ?

Non, un audit de sécurité complet n’est pas un prérequis pour mettre en place un SOC managé. Ce qui est nécessaire, c’est un état des lieux ciblé : savoir quels postes, serveurs et services cloud surveiller, qui détient les accès à privilèges, quel EDR est déployé, où sont les sauvegardes et qui prévenir en cas d’alerte. Cet inventaire tient en quelques jours, pas en quelques mois.

Cet article fait partie de notre série sur la mise en œuvre, présentée dans Comment mettre en place un SOC managé ?. Il répond à une question fréquente chez les infogérants qui lancent leur premier client sous SOC.

Audit complet ou état des lieux : deux exercices différents

Un audit de sécurité est une évaluation approfondie : revue d’architecture, de configuration, tests d’intrusion, analyse organisationnelle. En France, l’ANSSI qualifie les prestataires d’audit (référentiel PASSI) pour ce type de mission. C’est un exercice utile, mais long, et pensé pour produire un plan d’action global.

Un état des lieux avant SOC a un objectif plus étroit : donner au SOC ce qu’il lui faut pour surveiller correctement dès le premier jour. Il ne cherche pas à tout corriger, seulement à savoir ce qui existe.

	Audit de sécurité	État des lieux avant SOC
Objectif	Évaluer le niveau de sécurité global	Préparer la surveillance
Durée	Plusieurs semaines	Quelques jours
Livrable	Rapport et plan d’action	Inventaire et contacts
Obligatoire pour démarrer	Non	Oui, sous une forme simple

Ce que l’état des lieux doit couvrir

Pour un client de taille moyenne, l’infogérant peut le préparer à partir de ce qu’il gère déjà :

• Le périmètre : nombre de postes et de serveurs, tenant Microsoft 365 ou Google Workspace, pare-feux.
• Les comptes sensibles : administrateurs du domaine, du tenant cloud, comptes de service, accès des prestataires.
• L’EDR : est-il déployé partout ? Cyna s’intègre nativement avec SentinelOne et Microsoft Defender. Si le client n’en a pas, ou s’il utilise un autre EDR, les modalités (périmètre, licences, accompagnement d’une éventuelle migration) sont précisées dans le contrat conclu avec l’infogérant partenaire. Voir Faut-il un EDR pour un SOC managé ?.
• Les sauvegardes : où elles sont, si elles sont isolées, quand elles ont été testées.
• Les contacts : qui appeler côté infogérant et côté client, à quelle heure, pour quelle gravité.

Le détail de ces informations est traité dans Quelles informations fournir au SOC au démarrage ?.

Pourquoi il ne faut pas attendre un audit pour démarrer

Lancer un audit complet avant le SOC repousse la surveillance de plusieurs semaines. Pendant ce temps, le client reste sans détection, alors que les failles éventuelles sont déjà là. La surveillance ne remplace pas les corrections, mais elle permet de voir une attaque qui exploiterait une faiblesse pas encore corrigée.

Le raccordement lui-même est rapide : avec les connecteurs prêts (Microsoft 365, Google Workspace, Stormshield, Fortinet), le raccordement d’un environnement est rapide et ne demande pas de projet lourd. Voir Combien de temps faut-il pour déployer un SOC managé ?.

Le SOC comme premier diagnostic

Les premières semaines de surveillance font souvent office de diagnostic. Le SOC voit passer des comptes inactifs encore utilisés, des connexions depuis des pays inattendus, des postes sans EDR, des règles de transfert de messagerie suspectes. Sur la plateforme Cyna, le tableau de bord des vulnérabilités et le rapport mensuel exportable donnent à l’infogérant une liste concrète de points à traiter.

Ces remontées servent de base à un audit plus approfondi si le client en a besoin, par exemple pour préparer une démarche NIS2 ou ISO 27001. L’audit devient alors ciblé et mieux justifié. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Quand un audit préalable reste pertinent

Un audit en amont garde du sens dans quelques situations :

1. Après un incident récent : il faut d’abord s’assurer que l’attaquant n’est plus présent. C’est le rôle d’une réponse à incident, pas d’un audit classique. Voir Comment sait-on que l’attaquant est parti ?.
2. Lors d’une reprise de parc : quand un infogérant récupère un client sans documentation, un inventaire plus poussé s’impose.
3. Pour une exigence contractuelle ou réglementaire : certains clients doivent fournir un rapport d’audit à un donneur d’ordre ou à un assureur.

Dans tous les autres cas, l’ordre le plus efficace est : état des lieux, raccordement, surveillance, puis audit ciblé si les remontées le justifient. Les bonnes pratiques de base, comme celles du guide d’hygiène informatique de l’ANSSI, peuvent être déployées en parallèle.

Faire le point avec un expert

Vous préparez la mise sous SOC d’un client et vous vous demandez par où commencer ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un test d'intrusion est-il utile avant de raccorder un SOC ?

Il n'est pas nécessaire au démarrage. Il devient intéressant une fois le SOC en place : il permet de vérifier que les techniques simulées sont bien détectées et remontées.

Qui réalise l'état des lieux : l'infogérant ou le SOC ?

L'infogérant, qui connaît le parc de son client, le prépare. Le SOC précise les informations dont il a besoin et complète la vision avec ses propres remontées, par exemple le tableau de bord des vulnérabilités.

Et si le client a déjà été audité récemment ?

C'est un bon point de départ. Le rapport d'audit et son plan d'action aident à prioriser les règles de détection et les sources de journaux à raccorder en premier.

Faut-il attendre d'avoir corrigé toutes les failles avant de démarrer ?

Non. Il vaut mieux être surveillé pendant les corrections que de rester sans détection. Voir Quelles erreurs éviter lors de la mise en place d'un SOC managé ?.