Combien de temps faut-il pour déployer un SOC managé ?

Le déploiement d’un SOC managé se fait en deux temps. Le raccordement technique est rapide : chez Cyna, connecter un environnement standard (EDR, Microsoft 365 ou Google Workspace, pare-feu) est une affaire de configuration, et la surveillance démarre une fois les sources raccordées. Vient ensuite une phase de calibrage, de quelques semaines, pendant laquelle le SOC apprend l’environnement et affine les alertes.

Cet article fait partie de notre série Comment mettre en place un SOC managé ?. Il détaille le calendrier et les facteurs qui l’accélèrent ou le ralentissent.

Le calendrier type, étape par étape

Phase	Ce qui se passe	Durée indicative	Ce qui la conditionne
Préparation	Contacts, inventaire, accès, procédure d’escalade	Quelques jours	Disponibilité du client et de l’infogérant
Déploiement de l’EDR	Installation de l’agent sur postes et serveurs	Variable	Nombre de postes, outil de déploiement, EDR déjà en place ou non
Raccordement des sources	Connexion de l’EDR, du cloud et du pare-feu à la plateforme	Rapide pour un environnement standard	Accès administrateur prêts, audit Microsoft 365 activé
Surveillance active	Le SOC reçoit les événements et traite les alertes	Dès le raccordement	Aucune
Calibrage	Documentation des usages légitimes, ajustement des règles	Plusieurs semaines	Réactivité de l’infogérant aux questions du SOC

Les durées « quelques jours » et « plusieurs semaines » sont des ordres de grandeur : elles dépendent surtout de l’organisation, pas de la technique.

Ce qui va vite : la technique

Quand l’environnement utilise des outils standard, le raccordement est une affaire de configuration. Chez Cyna, l’intégration est native avec SentinelOne et Microsoft Defender, et des connecteurs prêts existent pour Microsoft 365, Google Workspace, Stormshield et Fortinet.

Si le client n’a pas d’EDR, il faut déployer l’agent (les modalités, licences comprises, sont précisées dans le contrat conclu avec l’infogérant partenaire), ce que l’infogérant fait en général avec ses outils de gestion habituels. Voir Faut-il un EDR pour un SOC managé ?.

Ce qui peut ralentir : les détails oubliés

L’audit Microsoft 365 désactivé

Selon Microsoft, l’audit n’est pas activé par défaut pour les licences Business Basic, Business Standard et Business Premium. Il faut l’activer, ce qui peut prendre jusqu’à 60 minutes, et les événements peuvent mettre plusieurs heures avant d’être consultables. À vérifier avant le jour du raccordement. Voir SOC managé et Microsoft 365.

Des accès introuvables

Le compte administrateur du pare-feu détenu par un ancien prestataire, la console de l’EDR dont personne n’a le mot de passe : ces situations sont fréquentes et bloquent le raccordement. Un inventaire des accès en amont évite de perdre des jours. Voir Quelles informations fournir au SOC au démarrage ?.

Une procédure d’escalade pas prête

Techniquement, le SOC peut surveiller sans procédure. Mais s’il détecte une attaque sans savoir qui appeler ni quelles actions il peut appliquer, il perd un temps précieux. La procédure doit être validée avant ou au moment du raccordement. Voir Comment construire une procédure d’escalade avec un SOC ?.

Des horloges désynchronisées

L’ANSSI recommande de synchroniser les horloges des équipements qui produisent des journaux. Sinon, reconstituer la chronologie d’un incident devient laborieux. C’est un réglage rapide, mais qu’on oublie souvent.

Pourquoi le calibrage prend du temps

Les premières semaines, certaines activités légitimes ressemblent à des attaques : un outil de prise en main à distance, une tâche planifiée qui lance PowerShell, un collaborateur qui se connecte depuis l’étranger. Le SOC pose des questions à l’infogérant, documente les réponses et ajuste ses règles.

Ce travail ne doit pas être précipité. Supprimer une règle trop vite pour réduire le bruit, c’est risquer de masquer une vraie attaque. Voir Comment gérer les faux positifs au démarrage d’un SOC ?.

Comment raccourcir le délai

• Préparer la liste des contacts et l’inventaire des accès avant la réunion de lancement.
• Vérifier l’activation de l’audit Microsoft 365.
• Désigner un référent chez l’infogérant qui répond vite aux questions du SOC pendant le calibrage.
• Éviter les erreurs classiques décrites dans Quelles erreurs éviter lors de la mise en place d’un SOC managé ?.

Comparé à la construction d’un SOC interne, qui suppose de recruter et d’organiser une équipe en rotation, le délai d’un SOC managé reste court. Voir SOC managé ou SOC interne : que choisir pour un MSP ?.

Faire le point avec un expert

Vous voulez estimer le calendrier de déploiement pour votre environnement ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Est-on protégé dès le premier jour ?

La surveillance commence dès que les sources sont raccordées : le SOC reçoit les événements et peut traiter les alertes. Aucun dispositif ne supprime tout risque, et la qualité des alertes progresse ensuite à mesure que le SOC connaît l'environnement.

Faut-il prévoir une interruption de service ?

En général non. Le déploiement d'un EDR et l'activation des connecteurs cloud se font sans arrêt de production. Le redémarrage éventuel de postes pour l'EDR se planifie avec l'infogérant.

Combien de temps pour déployer un SOC chez plusieurs clients ?

Chaque client se raccorde indépendamment. Une fois la méthode rodée sur un premier client, l'infogérant enchaîne les suivants plus vite, avec une procédure d'escalade type qu'il adapte. Voir Comment construire une procédure d'escalade avec un SOC ?.

Et si le client utilise un EDR non pris en charge ?

Chez Cyna, l'intégration native porte sur SentinelOne et Microsoft Defender. Avec un autre EDR, une migration vers l'un des deux est à prévoir : elle s'ajoute au calendrier et se planifie poste par poste.