Comment choisir un prestataire SOC ?

Pour choisir un prestataire SOC, vérifiez cinq points : une surveillance réellement assurée 24/7 par ses propres équipes, un périmètre couvert adapté à votre système d’information, une capacité à traiter les incidents et pas seulement à les signaler, des engagements de service écrits, et des preuves concrètes (certifications, rapports, période pilote). Le prix vient ensuite, à périmètre comparable.

Cet article est le point d’entrée de notre série sur le choix d’un SOC managé. Chaque critère renvoie vers un article qui l’approfondit. Si vous découvrez le sujet, commencez par Qu’est-ce qu’un SOC managé ?.

Avant de comparer : définir son besoin

On compare mal des offres quand on ne sait pas ce qu’on attend. Trois questions préalables :

1. Faut-il vraiment externaliser ? Construire un SOC interne suppose de recruter, former et faire tourner une équipe jour et nuit. Pour la plupart des organisations, l’externalisation est plus réaliste. Voir Faut-il externaliser son SOC ?.
2. Quelle taille, quels risques ? Une PME n’a pas les mêmes besoins qu’un groupe, mais elle subit les mêmes attaques. Voir Une PME a-t-elle besoin d’un SOC ? et, plus largement, Comment protéger une PME contre les cyberattaques ?.
3. Quelles obligations ? Si NIS2 vous concerne, la gestion des incidents et la notification rapide (alerte précoce en 24 heures, article 23) deviennent des exigences. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Si vous cherchez plus largement un partenaire de sécurité, et pas seulement un SOC, voir Comment choisir son prestataire cybersécurité ?.

Les huit critères pour choisir un prestataire SOC

1. Une couverture 24/7 réelle

Les attaques ne respectent pas les horaires de bureau : beaucoup se déclenchent la nuit, le week-end ou pendant les congés. Un « 24/7 » peut cacher une simple astreinte téléphonique la nuit, ou une détection automatique sans analyste derrière. Demandez qui regarde les alertes à 3 heures du matin, et ce qu’il est autorisé à faire. Voir SOC 24/7 ou surveillance en heures ouvrées : que choisir ?.

2. Des équipes identifiées et une localisation claire

Qui sont les analystes ? Sont-ils salariés du prestataire ou d’un sous-traitant ? Où sont-ils basés, et où sont stockées les données collectées ? Ces questions touchent à la qualité du service, à la confidentialité et à la souveraineté. Voir Pourquoi choisir un SOC opéré en France ?.

3. Un périmètre surveillé adapté

Un SOC n’est utile que sur ce qu’il voit. Vérifiez les sources couvertes : postes et serveurs (via un EDR), messagerie et identités (Microsoft 365, Google Workspace), pare-feux, cloud. Demandez quels outils sont intégrés nativement, ce que coûte et prend le raccordement d’une nouvelle source, et ce qui reste hors périmètre. Voir Que surveille un SOC managé ? et Faut-il un EDR pour un SOC managé ?.

4. Une vraie capacité de réponse à incident

C’est le critère le plus souvent sous-estimé. Certains prestataires détectent et envoient un courriel, puis laissent le client seul. D’autres isolent la machine, bloquent le compte et mobilisent une équipe d’investigation. Demandez ce qui est inclus, dans quel délai, et si la réponse à incident fait l’objet d’un devis séparé en pleine crise. Voir Comment évaluer la capacité de réponse à incident d’un prestataire SOC ?.

5. Des engagements de service écrits

Les délais de prise en charge, de qualification et de notification d’une alerte critique doivent figurer au contrat, avec la manière de les mesurer. Un engagement vague (« au plus vite ») ne protège personne. Voir Quels engagements de service (SLA) exiger d’un SOC managé ?.

6. Des certifications et qualifications pertinentes

La certification ISO 27001 montre que le prestataire gère sa propre sécurité de façon structurée. En France, l’ANSSI qualifie les prestataires de détection d’incidents de sécurité (PDIS) ; cette qualification est exigée dans certains contextes, notamment pour les systèmes d’importance vitale des opérateurs d’importance vitale, et NIS2 ne l’impose pas. Voir Faut-il exiger un prestataire de détection qualifié PDIS ?.

7. Des rapports utiles

Un bon rapport mensuel dit ce qui a été détecté, traité, et ce qu’il reste à corriger. Il doit être lisible par une direction, pas seulement par un technicien. Demandez des exemples anonymisés. Les rapports servent aussi de preuve en cas d’audit ou de contrôle.

8. Un modèle de relation adapté

Qui signe le contrat, qui facture, qui appelle le client en cas d’incident ? Pour une entreprise qui travaille déjà avec un infogérant, il est souvent plus simple que le SOC passe par lui. Voir SOC managé et infogérant : qui fait quoi ?.

Tableau récapitulatif

Critère	Question à poser	Réponse qui doit alerter
Couverture	Qui traite une alerte critique la nuit ou le week-end ?	« Elle sera vue le lendemain matin »
Équipes	Vos analystes sont-ils vos salariés ? Où sont-ils ?	Réponse floue ou sous-traitance non déclarée
Périmètre	Quelles sources intégrez-vous nativement ?	« Tout est compatible », sans liste précise
Réponse à incident	Que faites-vous après la détection ?	« Nous vous envoyons une alerte »
SLA	Quels délais sont écrits au contrat ?	Aucun délai chiffré
Certifications	Quelles certifications, sur quel périmètre ?	Certification sans périmètre précisé
Rapports	Pouvez-vous montrer un exemple ?	Refus ou rapport purement technique
Sortie	Comment récupère-t-on journaux et rapports en fin de contrat ?	Aucune clause de réversibilité

Pour une liste complète, voir Quelles questions poser à un prestataire SOC avant de signer ? et Quels signaux d’alerte dans une offre de SOC managé ?.

Les critères spécifiques aux infogérants

Un infogérant qui choisit un prestataire SOC pour ses clients a des besoins supplémentaires :

• Une console multi-clients : une seule interface pour tous les clients, avec un cloisonnement strict entre eux et des droits par intervenant. Voir Pourquoi un MSP a-t-il besoin d’un SOC multi-tenant ?.
• Des rapports en marque blanche : l’infogérant les remet à ses clients sous sa propre identité.
• Un raccordement rapide : chaque nouveau client doit pouvoir être connecté sans projet lourd.
• Le respect de la relation client : vérifiez comment le prestataire organise la relation avec les clients de l’infogérant, et qui la porte.
• Un accompagnement : formation technique et commerciale, appui en rendez-vous client.

Voir aussi SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ? et Qu’est-ce qu’un MSSP et comment le choisir ?.

Ce qui fait varier le prix

Comparer des prix sans comparer des périmètres n’a pas de sens. Les principaux facteurs :

• le nombre de postes, serveurs et utilisateurs surveillés ;
• les sources raccordées (EDR, messagerie, pare-feux, cloud) ;
• l’inclusion ou non des licences EDR ;
• la couverture horaire ;
• l’inclusion de la réponse à incident, ou sa facturation au temps passé ;
• le niveau de rapport et d’accompagnement.

Une offre peu chère qui exclut la réponse à incident peut coûter très cher le jour d’une attaque.

Une démarche de sélection en cinq étapes

1. Formaliser le besoin : périmètre, contraintes réglementaires, ressources internes.
2. Présélectionner deux ou trois prestataires sur les critères ci-dessus.
3. Poser les mêmes questions à chacun, par écrit, pour comparer à l’identique.
4. Lancer une période pilote sur un périmètre réduit : qualité des alertes, réactivité, clarté des échanges.
5. Relire le contrat : SLA, réponse à incident, réversibilité, localisation des données.

Les erreurs fréquentes

• Choisir sur le seul prix par poste, sans vérifier ce que ce prix couvre réellement.
• Confondre un outil et un service : une console EDR que personne ne regarde la nuit n’est pas un SOC.
• Négliger les premières semaines : un SOC doit être réglé pour réduire les faux positifs, et le prestataire doit expliquer comment il gère cette phase.
• Oublier la sortie : sans clause de réversibilité, changer de prestataire devient pénible.

Ce que propose Cyna

Cyna est un SOC managé 24/7 opéré depuis la France par des équipes internes, et certifié ISO 27001. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Son CERT, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Des analystes humains examinent chaque alerte.

Cyna s’intègre nativement à deux EDR, SentinelOne et Microsoft Defender. Des connecteurs sont prêts pour Microsoft 365, Google Workspace et les pare-feux Stormshield et Fortinet, et le raccordement d’un environnement est rapide. La plateforme multi-clients produit des rapports exportables en marque blanche. Les modalités (périmètre, licences) sont précisées dans le contrat conclu avec votre infogérant partenaire.

Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients : contrat, facturation, rapports. Le programme partenaire Cyna Ignite les accompagne notamment par de la formation, des kits marketing et un appui en rendez-vous client.

Faire le point avec un expert

Vous comparez des prestataires SOC ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Vous êtes infogérant et cherchez un SOC pour vos clients ? Contactez-nous.

Questions fréquentes

Quelle différence entre un prestataire SOC et un MSSP ?

Un MSSP propose un ensemble de services de sécurité managés, dont souvent un SOC. Un prestataire SOC est spécialisé dans la détection et la réponse. Voir Qu'est-ce qu'un MSSP et comment le choisir ?.

Faut-il faire un test avant de signer ?

C'est recommandé. Une période pilote sur un périmètre réduit montre la qualité des alertes, la réactivité et la clarté des rapports mieux qu'une présentation commerciale.

Un prestataire SOC peut-il travailler avec mon EDR actuel ?

Cela dépend des intégrations qu'il maîtrise. Demandez la liste précise des outils intégrés nativement, et ce qui se passe si le vôtre n'en fait pas partie (migration, licences, délai).

Combien de temps engage-t-on un prestataire SOC ?

Les durées varient selon les offres. Vérifiez surtout les conditions de sortie : restitution des journaux et des rapports, délai de préavis, accompagnement de la transition.