Quels engagements de service (SLA) exiger d'un SOC managé ?

Un SLA de SOC managé porte utilement sur des délais et des moyens mesurables : heures de couverture, délai de qualification d’une alerte, délai pour prévenir le client, délai de mobilisation en cas d’incident, fréquence des rapports et conditions de sortie. Chaque délai se définit par niveau de gravité. Aucun texte ne fixe de valeur standard : c’est à vous de les négocier.

Cet article détaille un des critères de notre guide Comment choisir un prestataire SOC ?.

Pourquoi un SLA de SOC n’est pas un SLA d’infogérance classique

Un SLA d’infogérance mesure souvent la disponibilité d’un service ou le délai de résolution d’un ticket. Un SOC, lui, ne « résout » pas une attaque comme on remplace un disque. Son travail se découpe en étapes : détecter, qualifier, alerter, contenir, accompagner la remédiation. Chaque étape doit avoir son propre engagement, sinon un délai global masque l’essentiel : combien de temps s’écoule entre le premier signal et le moment où quelqu’un agit.

Les sept engagements à demander

Engagement	Ce qu’il mesure	Question à poser
Couverture horaire	Les heures où des analystes surveillent réellement	La nuit et le week-end, qui regarde les alertes ?
Délai de prise en compte	Temps entre l’alerte et le début de l’analyse humaine	Le délai est-il différent selon la gravité ?
Délai de qualification	Temps pour décider si l’alerte est un vrai incident	Comment la gravité est-elle définie ?
Délai d’alerte du client	Temps pour prévenir le bon contact, par le bon canal	Qui appelez-vous, et que se passe-t-il s’il ne répond pas ?
Actions de confinement	Ce que le SOC peut faire seul (isoler un poste, bloquer un compte)	Quelles actions sont pré-autorisées ?
Mobilisation de la réponse à incident	Temps pour engager une équipe d’intervention	Est-elle incluse, ou soumise à un devis ?
Rapports et revues	Fréquence et contenu des comptes rendus	Quels indicateurs voyez-vous chaque mois ?

Des délais par niveau de gravité

Un même délai pour toutes les alertes n’a pas de sens. Une alerte critique (compte administrateur compromis, chiffrement en cours) exige une réaction immédiate ; une alerte faible peut attendre la revue suivante. Demandez une grille écrite : trois ou quatre niveaux, une définition pour chacun, et un délai associé à chaque étape. Le référentiel PDIS de l’ANSSI, qui encadre la qualification des prestataires de détection en France, peut servir de grille pour structurer cette discussion. Voir Faut-il exiger un prestataire de détection qualifié PDIS ?.

Des actions pré-autorisées

Le délai d’alerte ne sert à rien si le SOC doit attendre un accord pour isoler un poste à 3 heures du matin. Le SLA, ou son annexe opérationnelle, liste en général ce que le SOC peut faire sans validation préalable, et ce qui demande l’accord du client ou de l’infogérant. Voir Comment construire une procédure d’escalade avec un SOC ?.

Ce que le SLA ne peut pas promettre

Aucune offre de SOC ne peut promettre qu’aucune attaque ne passera. Un SLA sérieux porte sur la vigilance, la réactivité et la qualité de l’analyse, pas sur le résultat. Méfiez-vous aussi des délais très courts annoncés sans définition : un délai de réponse exprimé en minutes peut désigner un accusé de réception automatique, pas une analyse humaine. Demandez toujours ce que mesure exactement le chiffre.

Les clauses autour du SLA

• Mesure et preuve : comment les délais sont-ils horodatés, et pouvez-vous les vérifier dans la console ou les rapports ?
• Revue périodique : un point régulier sur les indicateurs, les incidents et les règles de détection ajustées.
• Conservation des données : durée de conservation des journaux et lieu d’hébergement.
• Réversibilité : restitution des données et des configurations en fin de contrat.
• Démarrage : délai de mise en service et période de réglage des faux positifs.

Le lien avec les délais réglementaires

Pour une entité soumise à NIS2, l’article 23 de la directive prévoit une alerte précoce sous 24 heures après avoir pris connaissance d’un incident important, une notification sous 72 heures et un rapport final sous un mois. Le texte vise l’entité régulée, pas son prestataire SOC. Mais ils ne sont tenables que si le SOC détecte vite et fournit rapidement les faits. Vérifiez que le délai d’alerte du SLA laisse une marge réelle à votre client pour notifier. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Côté Cyna

Le SOC de Cyna est opéré 24/7 depuis la France par des équipes internes, avec un analyste humain à chaque alerte, et travaille avec le CERT de Cyna. Les niveaux de service et les modalités (périmètre, licences) sont précisés dans le contrat conclu avec l’infogérant partenaire. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les rapports mensuels d’activité et de vulnérabilités sont exportables en marque blanche, ce qui permet à l’infogérant de piloter ses propres engagements auprès de ses clients.

Faire le point avec un expert

Vous préparez un cahier des charges ou un contrat de SOC managé ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur pour construire les engagements adaptés. Sinon, contactez-nous.

Questions fréquentes

Existe-t-il un délai standard de réponse pour un SOC ?

Non. Aucun texte ne fixe de délai universel pour un SOC privé. Les délais se négocient selon la gravité des alertes et le contexte du client. Les seuls délais réglementaires connus portent sur la notification d'incidents par l'entité régulée, comme l'alerte précoce en 24 heures de NIS2.

Un SOC peut-il garantir qu'aucune attaque ne réussira ?

Non, et une offre qui le promet doit alerter. Un SLA de SOC porte sur des moyens et des délais : surveiller, qualifier, alerter, contenir. Voir Quels signaux d'alerte dans une offre de SOC managé ?.

Que faire si le prestataire ne tient pas ses engagements ?

Les contrats abordent généralement le mode de mesure, la revue périodique des indicateurs et les suites d'un écart : plan d'action, pénalités éventuelles, sortie du contrat avec restitution des données. La rédaction de ces clauses relève de votre conseil juridique.

Qui signe le SLA quand on passe par un infogérant ?

Dans un modèle de distribution par infogérant, c'est en général l'infogérant qui porte le contrat avec son client, en s'appuyant sur les conditions convenues avec son SOC partenaire.