Que comprend un SOC managé, et qu'est-ce qui n'en fait pas partie ?
Que comprend un SOC managé ? Surveillance 24/7, qualification, confinement, réponse à incident et rapports. Et ce qui n'en fait généralement pas partie.
Un SOC managé comprend en général la surveillance continue, la qualification des alertes par des analystes, les premières mesures de confinement, l’escalade vers l’infogérant ou le client et des rapports réguliers. La réponse à incident approfondie n’est incluse que dans certaines offres. L’administration du système d’information, les correctifs et la conformité restent hors du périmètre.
Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.
Ce qui est généralement inclus
| Élément | Ce que cela recouvre |
|---|---|
| Raccordement | Connexion des sources (EDR, Microsoft 365, pare-feux) à la plateforme du SOC |
| Surveillance 24/7 | Analystes présents jour et nuit, week-end compris |
| Détection | Règles, analyse comportementale, renseignement sur les menaces, ajustées dans le temps |
| Qualification | Examen humain de chaque alerte, élimination des faux positifs |
| Confinement | Actions de premier niveau convenues à l’avance (isolement d’un poste, blocage d’un compte) |
| Escalade | Alerte des bons contacts selon une procédure définie |
| Rapports | Synthèse régulière de l’activité, des incidents et des recommandations |
| Plateforme | Accès à une console pour suivre les alertes et les incidents |
Ce qui varie d’une offre à l’autre
La réponse à incident. C’est le point le plus important à vérifier. Certains SOC s’arrêtent à la détection et à l’alerte ; d’autres incluent une équipe de réponse à incident (CERT) qui enquête, contient une attaque étendue et accompagne la remise en état. Chez Cyna, la réponse à incident est assurée par son CERT, membre de l’InterCERT France, qui travaille avec les équipes du SOC et peut être mobilisé rapidement ; l’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.
Les actions à distance. Un SOC qui peut isoler un poste via l’EDR peut agir rapidement ; un SOC qui envoie un e-mail attend que quelqu’un réagisse. Voir Faut-il un EDR pour avoir un SOC managé ?.
Les sources couvertes. Toutes les offres ne surveillent pas Microsoft 365 ou les pare-feux. Voir Que surveille un SOC managé ?.
Les licences. Certaines offres incluent l’EDR, d’autres non. Cyna s’intègre nativement à SentinelOne et Microsoft Defender ; les modalités de licences sont précisées dans le contrat conclu avec votre infogérant partenaire.
Le format des rapports. Pour un infogérant, des rapports par client, exportables à ses couleurs, font une vraie différence. Sur la plateforme Cyna, les rapports mensuels sont exportables en marque blanche.
Ce qui n’en fait généralement pas partie
- L’administration du système d’information : mises à jour, correctifs, gestion des comptes. C’est le rôle de l’infogérant ou de l’équipe interne.
- La remédiation complète : reconstruire un serveur, restaurer des sauvegardes, durcir une configuration. Le SOC conseille, l’infogérant exécute. Voir SOC managé et infogérant : qui fait quoi ?.
- Les audits et tests d’intrusion : des prestations ponctuelles distinctes.
- La démarche de conformité : un SOC fournit des preuves utiles, mais ne remplace pas une démarche NIS2 ou ISO 27001. Voir Un SOC managé aide-t-il à respecter NIS2 ?.
- La sensibilisation des salariés : formations et campagnes d’hameçonnage simulé sont d’autres prestations.
Les questions à poser avant de signer
- Des analystes surveillent-ils réellement 24/7, ou la nuit est-elle couverte par des alertes automatiques ?
- Quelles actions le SOC peut-il faire lui-même, et en combien de temps ?
- La réponse à incident est-elle incluse, et jusqu’où ?
- Quelles sources sont intégrées nativement ?
- Où sont opérés le service et les données ?
- Que contiennent les rapports, et à quelle fréquence ?
En France, le référentiel PDIS de l’ANSSI, qui encadre la qualification des prestataires de détection d’incidents, peut servir de grille pour évaluer ces points.
Faire le point avec un expert
Cyna opère un SOC 24/7 depuis la France, aux côtés de son CERT, et travaille via ses infogérants partenaires ; les modalités du service sont précisées dans le contrat conclu avec l’infogérant. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Les licences EDR sont-elles comprises dans un SOC managé ?
Cela dépend des offres. Cyna s'intègre nativement à SentinelOne et Microsoft Defender ; les modalités (périmètre, licences) sont précisées dans le contrat conclu avec votre infogérant partenaire.
Un SOC managé fait-il des tests d'intrusion ?
Non, ce sont des prestations distinctes. Le test d'intrusion évalue la sécurité à un instant donné ; le SOC surveille en continu. Les deux sont complémentaires.
Le SOC s'occupe-t-il de la communication de crise ?
Il fournit les faits techniques (ce qui s'est passé, ce qui a été touché). La communication vers les clients, les partenaires ou les autorités reste de la responsabilité de l'entreprise, accompagnée par son infogérant.
Le SOC fait-il de la recherche proactive de menaces ?
Certaines offres incluent de la recherche proactive (threat hunting) : des analystes cherchent des traces d'attaque sans attendre une alerte. Demandez si elle est incluse et à quelle fréquence.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.