Quelles informations fournir au SOC au démarrage ?

Au démarrage, le SOC a besoin de cinq familles d’informations : les contacts à prévenir et leur ordre d’appel, la liste des actifs critiques, les usages normaux qui pourraient sembler suspects, les accès techniques aux sources à raccorder, et les contraintes métier (horaires, obligations réglementaires). Sans elles, le SOC voit des événements ; avec elles, il comprend ce qui compte et sait qui appeler.

Cet article fait partie de notre série Comment mettre en place un SOC managé ?. Il correspond à l’étape de préparation, juste avant le raccordement.

La checklist de démarrage

Famille	Exemples	Pourquoi le SOC en a besoin
Contacts	Référents infogérant et client, numéros de nuit, suppléants, ordre d’appel	Joindre la bonne personne vite, même à 3 heures du matin
Actifs critiques	Serveurs métier, comptes à privilèges, dirigeants, comptes de service	Prioriser les alertes qui touchent ce qui compte
Usages normaux	Outils d’administration à distance, scripts planifiés, déplacements, prestataires	Éviter les fausses alertes sans masquer les vraies
Accès techniques	Console EDR, tenant Microsoft 365 ou Google Workspace, pare-feu	Raccorder les sources et, si prévu, agir sur l’EDR
Contraintes métier	Horaires de production, périodes sensibles, réglementation applicable	Choisir les bonnes mesures de confinement au bon moment

1. Les contacts et l’ordre d’appel

C’est l’information la plus importante et la plus souvent périmée. Pour chaque client, il faut :

• un référent technique chez l’infogérant, avec un suppléant ;
• un contact de nuit et de week-end ;
• un contact décisionnaire chez le client, capable d’autoriser une mesure lourde ;
• l’ordre d’appel selon la gravité.

Ces contacts alimentent la procédure d’escalade. Voir Comment construire une procédure d’escalade avec un SOC ?.

2. Les actifs critiques

Toutes les machines ne se valent pas. Une alerte sur le serveur de paie ou sur le compte du directeur financier n’a pas le même poids qu’une alerte sur un poste de test. Indiquez au SOC :

• les serveurs et applications dont l’arrêt bloque l’activité ;
• les comptes à privilèges (administrateurs, comptes de service) ;
• les personnes exposées : dirigeants, comptabilité, ressources humaines.

3. Les usages normaux

C’est la clé pour limiter les faux positifs. Un outil de prise en main à distance utilisé par l’infogérant ressemble beaucoup à celui d’un attaquant. Listez :

• les outils d’administration et de télémaintenance utilisés ;
• les tâches planifiées et scripts réguliers (sauvegardes, déploiements) ;
• les prestataires qui se connectent, et depuis où ;
• les collaborateurs qui voyagent ou travaillent depuis l’étranger.

Voir Comment gérer les faux positifs au démarrage d’un SOC ?.

4. Les accès techniques

Chez Cyna, l’intégration est native avec SentinelOne et Microsoft Defender, et des connecteurs prêts couvrent Microsoft 365, Google Workspace, Stormshield et Fortinet. Il faut donc des droits d’administration sur ces consoles le jour du raccordement.

Deux vérifications préalables évitent des retards : l’activation de l’audit Microsoft 365, qui n’est pas activé par défaut sur certaines licences Business selon Microsoft, et la synchronisation des horloges des équipements, recommandée par l’ANSSI pour reconstituer une chronologie fiable. Voir Combien de temps faut-il pour déployer un SOC managé ?.

Il est recommandé de créer des accès dédiés au SOC, avec les droits strictement nécessaires, et de ne pas les transmettre en clair par messagerie.

5. Les contraintes métier et réglementaires

Isoler un poste est anodin ; couper un serveur de production en pleine clôture comptable ne l’est pas. Le SOC doit connaître :

• les horaires et périodes critiques de l’activité ;
• les systèmes qu’on ne coupe jamais sans accord ;
• la réglementation applicable. Pour les entités concernées par NIS2, l’article 23 prévoit une alerte précoce dans les 24 heures après la prise de connaissance d’un incident important : il est utile que le SOC sache à qui remettre les éléments. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Garder ces informations à jour

Les informations de démarrage vieillissent vite : un référent quitte l’entreprise, un nouveau serveur arrive, un prestataire change. Prévoyez une revue à chaque changement notable et au moins lors des revues périodiques avec le client. Désignez un responsable de cette mise à jour chez l’infogérant, faute de quoi personne ne s’en charge.

Une mise à jour oubliée fait partie des erreurs les plus fréquentes : voir Quelles erreurs éviter lors de la mise en place d’un SOC managé ?. Pour la répartition des rôles, voir SOC managé et infogérant : qui fait quoi ?.

Faire le point avec un expert

Vous préparez le démarrage d’un SOC managé ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Faut-il transmettre des mots de passe au SOC ?

Non, les accès passent par des connecteurs ou des comptes dédiés, créés pour l'occasion et nominatifs ou de service, avec les droits strictement nécessaires. Les mots de passe ne doivent jamais circuler par messagerie.

Le SOC a-t-il accès aux données personnelles des salariés ?

Il traite des journaux qui en contiennent (identifiants, adresses IP). Ces traitements relèvent du RGPD, dont l'article 28 encadre le recours à un prestataire qui traite des données pour le compte d'une organisation. La manière dont ce cadre s'applique à votre situation et à vos contrats se vérifie avec votre DPO ou votre conseil juridique.

Qui fournit ces informations, l'infogérant ou le client ?

L'infogérant en rassemble l'essentiel, car il administre le système d'information. Le client apporte ce que lui seul connaît : actifs métier critiques, contraintes d'activité, personnes à prévenir côté direction.

Que faire si l'inventaire n'est pas complet ?

Démarrer quand même avec ce qui est connu, puis compléter. La surveillance des postes et du cloud révèle souvent des actifs oubliés. Pour un état des lieux plus poussé, voir Faut-il un audit avant de mettre en place un SOC managé ?.