Quelles questions poser à un prestataire SOC avant de signer ?

Avant de signer avec un prestataire SOC, posez des questions sur sept points : le périmètre surveillé, les équipes et leurs horaires, la réponse à incident, les intégrations avec vos outils, les rapports, le traitement des données et la sortie du contrat. Exigez des réponses précises et vérifiables, et faites-les reprendre dans le contrat.

Ces questions mettent en pratique les critères de notre guide Comment choisir un prestataire SOC ?. Vous pouvez les envoyer telles quelles à chaque prestataire consulté, pour comparer les réponses point par point.

1. Le périmètre

• Qu’est-ce qui est surveillé exactement ? Postes, serveurs, messagerie (Microsoft 365, Google Workspace), pare-feux, applications cloud. Demandez aussi ce qui n’est pas couvert.
• Quelles sources de journaux sont collectées, et combien de temps sont-elles conservées ? La durée de conservation conditionne la capacité à remonter le fil d’une attaque.
• Que faut-il fournir au démarrage, et combien de temps prend le raccordement ? Voir Quelles informations fournir au SOC au démarrage ?.

2. Les équipes

• Des analystes sont-ils réellement en poste la nuit et le week-end ? Un « 24/7 » peut cacher une simple astreinte téléphonique.
• Les analystes sont-ils salariés du prestataire, et où travaillent-ils ? La sous-traitance multiplie les accès à vos données. Voir Pourquoi choisir un SOC français, opéré en France ?.
• Qui est votre interlocuteur au quotidien, et qui appeler en urgence ?

3. La réponse à incident

C’est la partie la plus souvent sous-estimée. Une alerte détectée ne protège de rien si personne n’agit.

• Que fait le SOC quand une attaque est confirmée ? Simple notification, ou action directe : isolement d’un poste, blocage d’un compte ?
• Qui intervient pour l’investigation et la remédiation, et en combien de temps ? Un CERT interne, un partenaire, ou personne ?
• La réponse à incident est-elle incluse, ou facturée sur devis au moment de la crise ? Un devis à valider en pleine attaque fait perdre un temps précieux.
• Le SOC fournit-il les éléments nécessaires aux notifications réglementaires ? NIS2 (article 23) prévoit une alerte précoce en 24 heures et une notification en 72 heures pour les incidents importants ; l’article 33 du RGPD prévoit une notification à la CNIL dans les 72 heures en cas de violation de données personnelles.

Pour approfondir, voir Comment évaluer la capacité de réponse à incident d’un prestataire SOC ?.

4. Les intégrations

• Quels EDR et outils sont intégrés nativement ? Et que se passe-t-il si vous utilisez un autre outil : connecteur sur mesure, migration, ou refus ?
• Faut-il remplacer des outils existants, et qui en porte le coût ?

5. Les rapports et la relation

• Que contient le rapport mensuel, et peut-on en voir un exemple ? Activité, incidents traités, vulnérabilités, recommandations.
• Quels indicateurs sont suivis ? Délai de détection, délai de prise en charge, nombre d’alertes qualifiées.
• Pour un infogérant : les rapports peuvent-ils être à votre marque, et le prestataire s’engage-t-il à ne pas démarcher vos clients ? Voir SOC managé et infogérant : qui fait quoi ?.

6. Les données et la conformité

• Où sont hébergées les données collectées ?
• Le contrat encadre-t-il le traitement des données personnelles ? L’article 28 du RGPD prévoit qu’un traitement réalisé pour le compte d’un autre organisme soit encadré par un contrat. La qualification de chaque partie dans votre situation relève de votre conseil juridique.
• Quelles certifications ou qualifications le prestataire détient-il ? ISO 27001, qualification PDIS de l’ANSSI, par exemple. Demandez à consulter les certificats et documents correspondants.

Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center.

7. Le contrat et la sortie

• Quels engagements de service figurent au contrat, avec quelles pénalités ?
• Quelle est la durée d’engagement, et comment sortir ?
• Que récupérez-vous à la fin : journaux, configurations, historique des incidents ?

Comment lire les réponses

Une bonne réponse est précise (un délai, un nom d’outil, un lieu), vérifiable (démonstration, exemple de rapport, certificat) et reprise dans le contrat. Méfiez-vous des réponses vagues, des promesses de « sécurité totale » et des sujets renvoyés à plus tard. Voir Quels signaux d’alerte dans une offre de SOC managé ?.

Faire le point avec un expert

Vous voulez confronter ces questions à une offre concrète ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Faut-il demander une démonstration avant de signer ?

Oui. Demandez à voir la console, un exemple de rapport et le déroulé d'une alerte réelle anonymisée. C'est le meilleur moyen de vérifier ce que le prestataire annonce.

Combien de prestataires SOC comparer ?

Deux ou trois suffisent en général, à condition de leur poser exactement les mêmes questions pour pouvoir comparer les réponses.

Quels délais de service exiger ?

Ils dépendent de la gravité de l'alerte et doivent figurer au contrat. Voir Quels engagements de service (SLA) exiger d'un SOC managé ?.

Faut-il exiger la qualification PDIS ?

Elle n'est obligatoire que dans certains contextes, mais c'est une bonne grille d'évaluation. Voir Faut-il exiger un prestataire de détection qualifié PDIS ?.