Comment évaluer la capacité de réponse à incident d'un prestataire SOC ?

Pour évaluer la capacité de réponse à incident d’un prestataire SOC, vérifiez six points : la réponse est-elle incluse au contrat, sous quel délai l’équipe se mobilise, qui intervient et avec quelles compétences, quelles actions sont possibles à distance, quelle méthode est suivie, et quels livrables sont remis, notamment pour les notifications réglementaires. Demandez des réponses écrites, pas des promesses orales.

Cet article détaille un des critères de notre guide Comment choisir un prestataire SOC ?.

Pourquoi c’est un critère à part

Un SOC peut très bien détecter et très mal répondre. Quand un incident est confirmé, il faut confiner, enquêter, éradiquer, puis accompagner le redémarrage. Si cette suite n’est pas organisée avant, la première heure de crise est perdue à chercher une équipe, négocier un devis et lui transmettre le contexte.

Les six critères

Critère	Ce qu’il faut vérifier	Question à poser
Contrat	Réponse incluse, retainer, ou devis le jour J	Que se passe-t-il, contractuellement, quand l’incident est confirmé ?
Mobilisation	Délai d’intervention, astreinte, canal d’urgence	Combien de temps entre mon appel et un intervenant au travail ?
Équipe	Interne ou partenaire, compétences, taille	Qui intervient, et a-t-il accès au contexte du SOC ?
Actions à distance	Isolement de postes, blocage de comptes	Que pouvez-vous faire sans vous déplacer, et avec quelle autorisation ?
Méthode	Cadre suivi, préservation des preuves	Sur quel cadre s’appuie votre méthode ?
Livrables	Chronologie, rapport, éléments de notification	Que me remettez-vous, et quand ?

Le contrat : inclus, retainer ou devis

Trois modèles existent : réponse incluse dans le service SOC, contrat de réponse à incident souscrit à l’avance (retainer), ou intervention sur devis au moment de l’incident. Le troisième est le plus risqué, car la négociation commence en pleine crise. Voir Qu’est-ce qu’un contrat de réponse à incident (retainer) ?.

La mobilisation

Demandez un délai écrit, valable la nuit et le week-end, et un canal d’urgence connu à l’avance : numéro d’astreinte, page dédiée. Vérifiez aussi ce que couvre ce délai : un premier appel, ou le début effectif de l’investigation ?

L’équipe et ses compétences

Le référentiel PRIS de l’ANSSI, dans sa version 3.2, liste les activités qu’un prestataire de réponse aux incidents peut faire qualifier : recherche d’indicateurs de compromission, investigation numérique, analyse de codes malveillants, pilotage et coordination des investigations, gestion de crise d’origine cyber. C’est une bonne liste pour vérifier que l’équipe couvre l’ensemble du besoin.

Un point souvent négligé : la continuité entre détection et réponse. Une équipe qui a accès aux journaux, aux alertes et à l’historique du SOC démarre plus vite qu’une équipe extérieure qui découvre l’environnement.

La méthode

Demandez sur quel cadre s’appuie la méthode. Le NIST a publié en avril 2025 la révision 3 de son guide SP 800-61, qui rattache la réponse à incident à la gestion globale du risque cyber. La façon dont les preuves sont préservées pendant le confinement est un bon test de maturité.

Les livrables

Le prestataire fournit en général une chronologie, un rapport d’incident et des recommandations. Pour une entité soumise à NIS2, ces éléments nourrissent l’alerte précoce sous 24 heures, la notification sous 72 heures et le rapport final sous un mois (article 23). En cas de violation de données personnelles, le RGPD impose de notifier l’autorité de contrôle dans les 72 heures après en avoir pris connaissance (article 33). La notification reste à la charge de l’entité concernée, mais elle dépend de la qualité des faits fournis. Voir Que contient un rapport d’incident ?.

Les preuves à demander

• Un exemple anonymisé de rapport d’incident.
• La procédure d’escalade écrite, avec les contacts et les actions pré-autorisées.
• Un retour d’expérience publié ou présenté oralement.
• La possibilité d’un exercice sur table avant ou après la signature.

Côté Cyna

Le CERT de Cyna, membre de l’InterCERT France, travaille avec le SOC managé et a accès à son contexte. Le CERT peut être mobilisé rapidement, et l’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les modalités du service SOC (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Pour un exemple de ce que voit l’équipe, voir Retour d’expérience des cyberattaques traitées par le SOC et CERT Cyna en 2025.

Faire le point avec un expert

Vous voulez vérifier la capacité de réponse à incident de votre SOC actuel ou d’une offre à l’étude ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un SOC doit-il forcément faire lui-même la réponse à incident ?

Non, il peut s'appuyer sur un partenaire. Mais il faut alors connaître ce partenaire, son délai d'intervention et la façon dont les informations circulent entre les deux équipes. Un passage de relais mal préparé fait perdre du temps au pire moment.

Faut-il un prestataire qualifié PRIS ?

Aucune obligation générale ne l'impose aux PME et ETI. La qualification PRIS de l'ANSSI reste une référence utile pour évaluer les compétences attendues. Voir Qu'est-ce qu'un prestataire de réponse aux incidents qualifié (PRIS) ?.

Peut-on tester la réponse à incident d'un prestataire avant un vrai incident ?

Oui, par un exercice sur table : un scénario d'attaque déroulé avec le prestataire, l'infogérant et le client. Il montre qui appelle qui, qui décide, et ce qui manque dans la procédure.

La réponse à incident inclut-elle la restauration des systèmes ?

Pas toujours. Le périmètre varie selon les prestataires et doit être écrit.