Quels signaux d'alerte dans une offre de SOC managé ?

Les principaux signaux d’alerte dans une offre de SOC managé sont : une promesse de sécurité totale, une couverture « 24/7 » sans analyste identifié la nuit, des délais annoncés sans définition, une réponse à incident exclue ou facturée sur devis en pleine crise, un opérateur ou un lieu d’hébergement flou, et l’absence de réversibilité. Chacun se vérifie par une question simple.

Cet article complète notre guide Comment choisir un prestataire SOC ?, en prenant le problème à l’envers : ce qui doit vous faire ralentir.

Les dix signaux d’alerte

Signal	Pourquoi c’est un problème	Question à poser
« Aucune attaque ne passera »	Aucun SOC ne peut le garantir	Sur quoi vous engagez-vous exactement ?
« Zéro faux positif »	Un démarrage sans réglage est irréaliste	Comment se passe la phase de réglage ?
24/7 sans détail	La nuit peut n’être couverte que par des automates	Qui analyse une alerte critique un dimanche à 3 heures ?
Délais sans définition	Un accusé de réception automatique n’est pas une analyse	Que mesure ce délai, et par niveau de gravité ?
Réponse à incident sur devis	La négociation commence en pleine crise	Qui intervient, sous quel délai, à quel coût prévu ?
Opérateur inconnu	Sous-traitance possible, à des endroits non connus	Qui opère le SOC, depuis où, avec quels salariés ?
Hébergement des journaux flou	Vos données de sécurité sont sensibles	Où sont stockés les journaux, et combien de temps ?
Périmètre implicite	Le SOC ne voit peut-être que l’EDR	Quelles sources sont surveillées, et lesquelles ne le sont pas ?
Rapports génériques	Impossible de vérifier le travail fait	Pouvez-vous me montrer un exemple de rapport ?
Pas de réversibilité	Vous restez captif de l’outil	Que récupère-t-on en fin de contrat ?

Les promesses trop belles

Un SOC s’engage sur des moyens et des délais : surveiller, qualifier, alerter, contenir. Une offre qui promet le résultat (« vous ne serez jamais attaqué ») ou l’absence totale de faux positifs décrit un service qui n’existe pas. Le démarrage d’un SOC passe toujours par une période de réglage.

Méfiez-vous aussi d’un discours fondé sur la peur, avec des scénarios catastrophes mais peu de détails sur le service. Une bonne offre explique ce qu’elle fait, pas seulement ce qui pourrait vous arriver.

Le flou sur la couverture et les délais

« 24/7 » peut recouvrir des réalités très différentes : analystes en poste, astreinte réveillée au-delà d’un seuil, ou simple règle automatique. Voir SOC 24/7 ou surveillance en heures ouvrées : que choisir ?. De même, un délai n’a de valeur que s’il est défini et mesuré. Voir Quels engagements de service (SLA) exiger d’un SOC managé ?.

La réponse à incident mise de côté

Certaines offres s’arrêtent à la détection : le SOC vous prévient, puis vous laisse trouver une équipe d’intervention. Si la réponse à incident est en option ou sur devis, demandez qui intervient, sous quel délai et à quelles conditions, avant de signer. Voir Comment évaluer la capacité de réponse à incident d’un prestataire SOC ?.

L’opacité sur l’opérateur et les données

Il est légitime de savoir qui opère le service, depuis quel pays, avec quels salariés ou sous-traitants, et où sont stockés vos journaux. Les référentiels de qualification de l’ANSSI portent d’ailleurs sur le prestataire et son personnel autant que sur la prestation.

Pour un infogérant : les signaux propres au modèle partenaire

• Le prestataire peut contacter vos clients en direct ou leur proposer un contrat sans vous.
• Les rapports portent sa marque, sans possibilité de les présenter sous la vôtre.
• La console ne permet pas de cloisonner vos clients ni de gérer les droits par intervenant.

Côté Cyna

Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients. Le SOC est opéré 24/7 depuis la France par des équipes internes, avec des analystes humains à chaque alerte, et les rapports mensuels sont exportables en marque blanche, en CSV ou PDF. Les modalités (périmètre, licences) sont précisées dans le contrat conclu avec votre infogérant partenaire. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center.

Faire le point avec un expert

Vous comparez plusieurs offres de SOC managé ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un prix très bas est-il un signal d'alerte ?

Pas forcément, mais il faut comprendre ce qu'il couvre : périmètre surveillé, heures réellement couvertes, réponse à incident incluse ou non. Comparez des offres à périmètre égal plutôt que des prix seuls.

Faut-il se méfier d'un SOC qui s'appuie beaucoup sur l'automatisation ?

Non, l'automatisation est utile pour trier et réagir vite. Le signal d'alerte, c'est l'absence d'analyste humain pour les décisions qui comptent, ou le flou sur le moment où un humain intervient.

Une offre sans certification est-elle à écarter ?

Pas automatiquement, mais demandez quelles preuves le prestataire peut apporter : certification ISO 27001, qualification éventuelle, références, exemple de rapport.

Que faire si plusieurs signaux d'alerte apparaissent ?

Posez vos questions par écrit et demandez que les réponses figurent au contrat. Des réponses écrites permettent de comparer les offres sur une base claire. Voir Quelles questions poser à un prestataire SOC avant de signer ?.