Qu'est-ce qu'un SOC managé ?

Un SOC managé est un centre opérationnel de sécurité (SOC) opéré par un prestataire externe pour le compte d’une organisation. Le prestataire fournit les analystes, les outils de détection et les procédures. Il surveille en continu, souvent 24 heures sur 24, les événements de sécurité du client, qualifie les alertes et aide à répondre aux incidents.

Cet article fait partie de notre série sur le SOC managé. Pour le modèle proposé à travers les infogérants, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.

La définition en trois éléments

Un SOC managé réunit trois choses :

1. Des personnes : des analystes qui examinent les alertes, enquêtent et décident. Sans analyste, il s’agit d’un outil, pas d’un SOC.
2. Une technologie : une plateforme qui collecte les événements (postes, serveurs, messagerie, pare-feux) et applique des règles de détection.
3. Des processus : ce qu’il faut faire quand une alerte tombe, qui prévenir, quelles mesures prendre, dans quels délais.

Dans un SOC managé, ces trois éléments sont fournis par le prestataire. Le client, ou son infogérant, garde la maîtrise de son système d’information et des décisions qui le concernent.

Pour la définition générale d’un SOC, qu’il soit interne ou externe, voir Qu’est-ce qu’un SOC ? Définition et fonctionnement.

Comment fonctionne un SOC managé au quotidien

1. Collecte : les événements de sécurité remontent en continu vers la plateforme du prestataire.
2. Détection : règles, analyse comportementale et renseignement sur les menaces font ressortir les activités suspectes.
3. Qualification : un analyste examine chaque alerte, écarte les faux positifs et confirme les incidents.
4. Réponse : premières mesures de confinement, escalade vers le client ou son infogérant, mobilisation d’une équipe de réponse si nécessaire.
5. Restitution : rapports réguliers, indicateurs, recommandations.

Ce que le SOC surveille concrètement est détaillé dans Que surveille un SOC managé ?.

SOC managé ou SOC interne

	SOC managé	SOC interne
Équipe	Celle du prestataire, mutualisée	La vôtre, à recruter et fidéliser
Couverture 24/7	Prévue par le service, selon le contrat	Suppose plusieurs analystes en rotation
Outils	Fournis et maintenus par le prestataire	À acheter, intégrer et maintenir
Connaissance du contexte	À construire avec le prestataire	Native
Délai de mise en place	Quelques semaines	Plusieurs mois

Nous avons comparé les deux modèles en détail pour les infogérants dans SOC managé vs SOC interne : quel choix pour un MSP ?.

Ce qu’un SOC managé n’est pas

• Ce n’est pas un antivirus ni un EDR. L’EDR est un outil installé sur les postes ; le SOC est l’équipe qui exploite ses alertes et celles d’autres sources.
• Ce n’est pas une supervision informatique classique. Un NOC surveille la disponibilité et la performance ; un SOC surveille les attaques. Voir SOC ou NOC : quelle différence ?.
• Ce n’est pas une garantie d’immunité. Un SOC vise à réduire le temps entre le début d’une attaque et sa détection, ce qui peut limiter les dégâts. Il ne remplace pas les mesures de prévention.

Pour qui ?

Le SOC managé s’adresse aux organisations qui ont besoin d’une surveillance continue sans pouvoir ou vouloir construire une équipe dédiée : PME et ETI, entités soumises à NIS2, et infogérants qui veulent proposer ce service à leurs clients.

Les infogérants ont un rôle particulier : ils administrent déjà le système d’information de leurs clients. Un SOC managé conçu pour eux leur permet de proposer la surveillance 24/7 sous leur propre offre. Voir SOC managé et infogérant : qui fait quoi ?.

Comment évaluer un SOC managé

Quelques repères pour comparer les offres :

• la couverture réelle : 24/7, avec des analystes, ou seulement des alertes automatiques la nuit ;
• les intégrations disponibles avec vos outils ;
• la capacité de réponse à incident ;
• le lieu d’opération et le traitement des données ;
• les engagements de délai et le contenu des rapports.

En France, le référentiel PDIS de l’ANSSI, qui encadre la qualification des prestataires de détection d’incidents, donne une grille utile des exigences attendues.

Faire le point avec un expert

Cyna est un SOC managé 24/7, avec une équipe CERT, opéré depuis la France par des équipes internes. Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients ; les modalités (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

SOC managé et SOC externalisé, est-ce la même chose ?

Oui, dans l'usage courant les deux expressions désignent un SOC opéré par un prestataire. « Externalisé » insiste sur le choix de ne pas l'opérer en interne, « managé » sur le fait qu'un tiers le gère pour vous.

Un SOC managé a-t-il accès à toutes mes données ?

Il accède aux journaux et événements de sécurité nécessaires à la détection, pas à l'ensemble de vos fichiers. Le périmètre de collecte, la durée de conservation et le lieu de traitement doivent être précisés dans le contrat.

Un SOC managé peut-il être hybride ?

Oui. Certaines organisations gardent une petite équipe interne qui traite une partie des alertes et confient la surveillance de nuit, du week-end ou de certains périmètres à un prestataire.

Faut-il changer d'outils pour passer à un SOC managé ?

Pas forcément, mais le SOC doit pouvoir s'intégrer à vos outils, à commencer par l'EDR. Voir Faut-il un EDR pour avoir un SOC managé ?.