Faut-il externaliser son SOC ? Ce qu'apporte un SOC externalisé

Pour la grande majorité des PME, ETI et infogérants, oui : un SOC externalisé apporte une surveillance 24/7, des analystes expérimentés et une capacité de réponse à incident sans avoir à recruter, former et faire tourner une équipe jour et nuit. Un SOC interne se justifie surtout pour de grandes organisations aux contraintes fortes, qui ont les moyens de le maintenir.

Cet article fait partie de notre série sur le choix d’un SOC managé. Une fois la décision prise, voir Comment choisir un prestataire SOC ?.

Ce que demande un SOC interne

Un SOC n’est pas un logiciel : c’est une équipe, des outils et des procédures. Le monter en interne suppose :

• Des analystes disponibles en permanence. Une semaine compte 168 heures. Avec une durée légale du travail de 35 heures par semaine en France (Code du travail, article L3121-27), tenir un seul poste d’analyste jour et nuit demande déjà près de cinq personnes, avant les congés, la formation et les absences.
• Des compétences rares : analyse d’alertes, investigation, réponse à incident, connaissance des menaces récentes.
• Des outils : EDR, collecte et corrélation des journaux, plateforme de gestion des incidents, renseignement sur les menaces.
• Des procédures : escalade, astreinte, communication de crise, amélioration continue des règles de détection.

Pour la plupart des organisations, c’est un projet lourd et durable, dont la difficulté principale est de recruter et de garder les bonnes personnes.

Ce qu’apporte un SOC externalisé

• Une couverture 24/7 immédiate, assurée par une équipe déjà constituée.
• Une vision mutualisée : le prestataire voit des attaques chez de nombreux clients et en tire des règles de détection pour tous.
• Une capacité de réponse à incident, si elle est incluse, mobilisable sans chercher un prestataire en pleine crise.
• Des coûts plus prévisibles qu’une équipe interne, dont le prix varie selon le périmètre surveillé et les services inclus.
• Un démarrage rapide, surtout si le prestataire s’intègre nativement à vos outils.

Voir aussi Qu’est-ce que le SOC as a Service ? et Que comprend un SOC managé ?.

Interne, externalisé ou hybride : comparaison

Critère	SOC interne	SOC externalisé	Modèle hybride
Couverture 24/7	Difficile à tenir	Incluse	Partagée
Délai de mise en place	Long (recrutement, outils)	Court	Moyen
Connaissance du contexte métier	Très forte	À construire avec le client	Forte
Dépendance aux recrutements	Forte	Faible	Moyenne
Vision des menaces	Limitée à l’organisation	Mutualisée sur de nombreux clients	Mutualisée
Pertinent pour	Grandes organisations	PME, ETI, infogérants	Organisations avec une équipe sécurité existante

Pour une comparaison détaillée du point de vue d’un infogérant, voir SOC managé ou SOC interne : que choisir pour un MSP ?.

Quand garder un SOC interne

Un SOC interne, ou au moins une équipe sécurité interne forte, reste pertinent quand :

• l’organisation est grande et dispose déjà d’une équipe sécurité ;
• des contraintes réglementaires ou de confidentialité imposent que certaines données ne quittent pas l’organisation ;
• le contexte métier est très spécifique (systèmes industriels, environnements isolés).

Même dans ces cas, un modèle hybride est fréquent : l’équipe interne garde la main sur le contexte et les décisions, le SOC externalisé assure les nuits, les week-ends ou l’analyse de premier niveau.

Ce qui ne s’externalise pas

Externaliser la surveillance ne transfère pas la responsabilité. Restent chez le client (ou son infogérant) :

• la gouvernance : NIS2 confie à la direction l’approbation des mesures de gestion des risques (article 20) ;
• les décisions en cas d’incident : arrêt d’un service, communication, notification ;
• les actions correctives sur le système d’information : correctifs, droits, configuration ;
• le suivi du prestataire : lecture des rapports, revue des engagements de service.

Voir SOC managé et infogérant : qui fait quoi ?.

Le cas des infogérants

Pour un infogérant, la question se pose autrement : construire son propre SOC pour tous ses clients, ou s’appuyer sur un SOC partenaire. Le partenariat lui permet de proposer une offre de détection et de réponse 24/7 sans porter le recrutement d’une équipe dédiée, tout en gardant la relation client.

C’est le modèle de Cyna : un SOC managé 24/7 opéré depuis la France par des équipes internes, avec un CERT, proposé via des infogérants partenaires qui portent la relation avec leurs clients (contrat, facturation, rapports en marque blanche). Les modalités (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire, et l’astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Faire le point avec un expert

Vous hésitez entre SOC interne et SOC externalisé ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Peut-on externaliser seulement la surveillance de nuit ?

Certains modèles hybrides le permettent : l'équipe interne couvre la journée, le SOC externalisé les nuits et week-ends. Il faut alors des procédures de passage de relais très claires.

Un SOC externalisé a-t-il accès à toutes nos données ?

Il accède aux journaux et télémétries nécessaires à la détection, pas à l'ensemble de vos fichiers. Vérifiez au contrat les données collectées, leur lieu de stockage, leur durée de conservation et les droits d'accès des analystes.

Externaliser son SOC aide-t-il pour NIS2 ?

Oui, sur la gestion des incidents et la notification rapide. Mais l'entité reste responsable de sa conformité. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Combien de temps pour passer à un SOC externalisé ?

Cela dépend du périmètre et des outils en place. Avec des intégrations prêtes, le raccordement technique peut être rapide ; le réglage des alertes demande ensuite plusieurs semaines.