Comment mettre en place un SOC managé ?

Pour mettre en place un SOC managé, on suit six étapes : cadrer le périmètre à surveiller, choisir le partenaire SOC, préparer les informations de démarrage, raccorder les sources (EDR, Microsoft 365, pare-feux), écrire la procédure d’escalade, puis calibrer les alertes pendant les premières semaines. Pour un infogérant, s’y ajoute un volet commercial : construire l’offre et la présenter à ses clients.

Cet article est la porte d’entrée de notre série sur la mise en œuvre d’un SOC managé. Chaque étape renvoie vers un article dédié. Pour le principe général, voir Qu’est-ce qu’un SOC managé ? et SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.

Les six étapes en un coup d’œil

Étape	Objectif	Qui porte	Article dédié
1. Cadrer	Savoir ce qu’on surveille et pourquoi	Infogérant et client	Audit préalable
2. Choisir le partenaire	Un SOC adapté au modèle infogérant	Infogérant	Choix du prestataire
3. Préparer	Réunir contacts, inventaire, accès	Infogérant	Informations de démarrage
4. Raccorder	Faire remonter les événements au SOC	Infogérant, avec le SOC	Délai de déploiement
5. Fixer l’escalade	Savoir qui fait quoi, et quand	Infogérant, client, SOC	Procédure d’escalade
6. Calibrer	Réduire le bruit, garder les vraies alertes	SOC, avec l’infogérant	Faux positifs

Étape 1 : cadrer le périmètre

Avant de raccorder quoi que ce soit, il faut répondre à trois questions : quels systèmes surveiller, quelles menaces craindre en priorité, et qui décide en cas d’incident. Pour une PME typique, le périmètre de départ couvre les postes et serveurs (via l’EDR), la messagerie et les identités cloud (Microsoft 365 ou Google Workspace) et le pare-feu.

Faut-il un audit complet avant de commencer ? Pas toujours. Un état des lieux léger suffit souvent pour démarrer, l’audit approfondi pouvant venir ensuite. Nous détaillons ce choix dans Faut-il un audit avant de mettre en place un SOC managé ?. Pour savoir ce qu’un SOC peut observer, voir Que surveille un SOC managé ?.

Si le client est concerné par NIS2, le cadrage peut aussi tenir compte de ce que prévoit la directive : des mesures de gestion des incidents (article 21) et des notifications (l’article 23 prévoit une alerte précoce en 24 heures, une notification en 72 heures et un rapport final sous un mois).

Étape 2 : choisir le partenaire SOC

Un infogérant qui veut proposer un SOC ne cherche pas le même prestataire qu’une grande entreprise. Il a besoin d’un SOC qui respecte sa relation client, qui gère plusieurs clients dans une seule console et qui fournit des rapports qu’il peut transmettre sous sa marque. Les critères de choix sont détaillés dans Comment choisir un prestataire SOC ?, et la question de la marque dans SOC marque blanche : comment un MSP peut-il le revendre ?.

En France, le référentiel PDIS de l’ANSSI décrit ce qu’on attend d’un prestataire de détection. Même quand la qualification n’est pas exigée, c’est une bonne grille de lecture. Côté Cyna, les certifications et documents de sécurité sont consultables sur son Trust Center.

Étape 3 : préparer les informations de démarrage

Un SOC qui ne connaît pas l’environnement qu’il surveille produit des alertes peu utiles. Au démarrage, l’infogérant lui transmet notamment :

• la liste des contacts et leur ordre d’appel, de jour comme de nuit ;
• l’inventaire des actifs critiques (serveurs métier, comptes à privilèges, VIP) ;
• les usages normaux qui pourraient passer pour suspects (outils d’administration à distance, scripts planifiés, connexions depuis l’étranger) ;
• les accès nécessaires aux consoles à raccorder.

La liste complète est dans Quelles informations fournir au SOC au démarrage ?.

Étape 4 : raccorder les sources

C’est l’étape la plus courte quand les outils sont standard. Chez Cyna, l’intégration est native avec deux EDR, SentinelOne et Microsoft Defender, et des connecteurs prêts existent pour Microsoft 365, Google Workspace et les pare-feux Stormshield et Fortinet. Le raccordement d’un environnement est rapide quand les outils sont standard.

Deux points de vigilance :

• Microsoft 365 : selon Microsoft, l’audit n’est pas activé par défaut sur les licences Business Basic, Business Standard et Business Premium. Il faut l’activer, et l’activation peut prendre jusqu’à 60 minutes. Voir SOC managé et Microsoft 365.
• Horloges et journaux : l’ANSSI recommande de synchroniser les horloges des équipements et de vérifier que les journaux utiles sont bien produits. Sans cela, la chronologie d’un incident devient difficile à établir.

Pour le calendrier global, de la signature à la surveillance stabilisée, voir Combien de temps faut-il pour déployer un SOC managé ?.

Étape 5 : écrire la procédure d’escalade

C’est l’étape qui demande le plus de réflexion, et celle qu’on regrette le plus d’avoir bâclée. Elle répond à des questions simples :

• quelles actions le SOC applique sans attendre (isoler un poste via l’EDR, désactiver un compte compromis) ;
• quelles actions demandent l’accord de l’infogérant ou du client (couper un serveur de production) ;
• qui appeler, dans quel ordre, selon la gravité et l’heure.

La méthode est détaillée dans Comment construire une procédure d’escalade avec un SOC ?. La répartition des rôles est décrite dans SOC managé et infogérant : qui fait quoi ?.

Étape 6 : calibrer pendant les premières semaines

Les premiers jours, le SOC découvre l’environnement. Certaines activités légitimes déclenchent des alertes : un outil de prise en main à distance, une sauvegarde nocturne, un script d’administration. Le calibrage consiste à documenter ces cas, à ajuster les règles et à vérifier qu’aucune vraie menace n’est masquée au passage. Voir Comment gérer les faux positifs au démarrage d’un SOC ?.

C’est aussi le moment de former les équipes de l’infogérant à lire les alertes et à appliquer les recommandations du SOC : Comment former ses équipes à travailler avec un SOC managé ?.

Le volet commercial pour l’infogérant

Pour un infogérant, mettre en place un SOC managé, c’est aussi lancer une nouvelle offre. Quatre chantiers vont de pair avec le projet technique :

1. Construire l’offre de sécurité : quels services proposer, dans quel ordre, à quels clients. Voir Cybersécurité infogérant : comment proposer de la sécurité à ses clients ?.
2. Choisir le modèle de marque : rapports à son nom, SOC identifié comme partenaire. Voir SOC marque blanche : comment un MSP peut-il le revendre ?.
3. Contractualiser : les contrats abordent généralement le périmètre, les niveaux de service, les responsabilités et le traitement des données. Voir Comment intégrer un SOC dans un contrat d’infogérance ?.
4. Présenter l’offre : parler risques métier et continuité plutôt que technologie. Voir Comment présenter une offre SOC à ses clients quand on est MSP ?.

Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients (contrat, facturation, rapports). Le programme partenaire Cyna Ignite accompagne ces chantiers : formation à la plateforme, formation commerciale, kits marketing et présence d’un expert Cyna en rendez-vous client. Voir le programme partenaire.

Les erreurs qui font dérailler un projet

Les mêmes écueils reviennent souvent :

• raccorder l’EDR mais oublier les identités cloud, alors que de nombreuses attaques passent par la messagerie ;
• signer sans procédure d’escalade, et découvrir à 3 heures du matin que personne n’est joignable ;
• couper des règles de détection trop vite pour réduire le bruit ;
• ne pas prévoir qui lit les rapports mensuels et qui agit sur les vulnérabilités remontées.

Nous les détaillons, avec les moyens de les éviter, dans Quelles erreurs éviter lors de la mise en place d’un SOC managé ?.

Et après la mise en place ?

Une fois la surveillance stabilisée, le SOC fonctionne en continu. L’infogérant reçoit les alertes qualifiées et les recommandations, applique la remédiation sur les systèmes qu’il administre, et transmet chaque mois au client un rapport d’activité et de vulnérabilités. Chez Cyna, ces rapports sont exportables en CSV ou PDF, en marque blanche.

En cas d’incident grave, le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Pour savoir ce qui se passe concrètement lors d’une attaque, voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

La procédure d’escalade et l’inventaire des actifs sont à revoir régulièrement, au moins à chaque changement de contact, d’outil ou d’organisation chez le client.

Faire le point avec un expert

Vous préparez la mise en place d’un SOC managé pour votre entreprise ou pour vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Faut-il changer d'outils pour mettre en place un SOC managé ?

Pas forcément. Chez Cyna, l'intégration native porte sur deux EDR, SentinelOne et Microsoft Defender. Si le client n'en a pas, les modalités (périmètre, licences) sont précisées dans le contrat conclu avec l'infogérant partenaire ; s'il utilise un autre EDR, la question d'une migration se pose et s'étudie au cas par cas. Voir Faut-il un EDR pour un SOC managé ?.

Qui pilote le projet de mise en place ?

Dans le modèle infogérant, c'est l'infogérant : il connaît le système d'information du client, détient les accès d'administration et porte la relation. Le SOC fournit la méthode, les connecteurs et l'appui technique.

Peut-on démarrer par un seul client ?

Oui, et c'est souvent la meilleure approche pour un infogérant. Un premier client pilote permet de roder la procédure d'escalade et le discours commercial avant de généraliser. Voir Comment présenter une offre SOC à ses clients quand on est MSP ?.

La mise en place d'un SOC managé suffit-elle pour NIS2 ?

Non. Un SOC aide à tenir la gestion des incidents et les délais de notification de l'article 23, mais la directive demande aussi analyse de risques, politiques, formation et gouvernance. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Que doit faire le client pendant la mise en place ?

Peu de choses, mais elles comptent : désigner un décisionnaire capable d'autoriser une mesure lourde, confirmer les systèmes critiques et valider les contacts de nuit. L'infogérant se charge du reste. Voir Quelles informations fournir au SOC au démarrage ?.