SOC 24/7 ou surveillance en heures ouvrées : que choisir ?
Les heures ouvrées laissent plus des deux tiers de la semaine sans regard humain. Comparatif SOC 24/7, heures ouvrées, astreinte, et critères de choix.
Pour la plupart des entreprises, un SOC 24/7 est le choix le plus sûr : une surveillance en heures ouvrées couvre environ 50 heures sur les 168 d’une semaine, et laisse les nuits, les week-ends et les jours fériés sans analyse humaine. Une formule en heures ouvrées peut convenir à un périmètre peu exposé, si vous savez précisément ce qui se passe en dehors.
Cet article détaille un des critères de notre guide Comment choisir un prestataire SOC ?.
Le calcul de base
Une semaine compte 168 heures. Des heures ouvrées de 8 h à 18 h, du lundi au vendredi, en couvrent 50, soit moins d’un tiers. Les deux tiers restants ne sont pas des heures creuses pour un attaquant : rien ne l’oblige à agir pendant vos heures de bureau, et une période où personne ne regarde les alertes lui laisse le temps de progresser.
La question n’est donc pas seulement « combien d’alertes arrivent la nuit ? », mais « combien de temps une attaque lancée vendredi soir peut-elle progresser avant que quelqu’un ne s’en aperçoive ? ».
Les trois formules possibles
| Formule | Qui regarde hors heures ouvrées | Délai de réaction la nuit | Pour qui |
|---|---|---|---|
| SOC 24/7 | Des analystes en poste | Comparable au jour | La plupart des entreprises, notamment celles soumises à NIS2 |
| Heures ouvrées + astreinte | Une personne réveillée sur alerte critique | Dépend du seuil et de la disponibilité | Périmètres moyens, avec une bonne règle d’escalade |
| Heures ouvrées seules | Personne, seulement des blocages automatiques | Report au jour ouvré suivant | Périmètres très peu exposés |
SOC 24/7
Des analystes surveillent en continu. Une alerte de nuit est traitée comme une alerte de jour : qualifiée, puis suivie d’un confinement si nécessaire. C’est la seule formule où le délai de réaction ne dépend pas de l’heure.
Heures ouvrées avec astreinte
Hors heures ouvrées, seules les alertes au-dessus d’un certain seuil réveillent une personne d’astreinte. Tout repose sur ce seuil : trop haut, des signaux faibles passent ; trop bas, l’astreinte s’épuise. Les signaux faibles, justement, sont souvent ceux qui annoncent une attaque. Voir Les 3 signaux faibles qu’un EDR ne voit pas sans SOC.
Heures ouvrées seules
Hors heures ouvrées, seuls les outils réagissent, avec leurs blocages automatiques. Les alertes qui demandent une décision humaine attendent le lundi matin. Ce choix peut se défendre quand les systèmes surveillés contiennent peu de données sensibles, n’offrent pas d’accès distant et peuvent être reconstruits rapidement. Même dans ce cas, documentez ce choix et revoyez-le dès que l’environnement change, par exemple à l’ouverture d’accès distants ou de nouveaux services cloud.
Les critères pour choisir
- L’exposition : accès distants, messagerie Microsoft 365, serveurs exposés sur internet, activité hors des heures de bureau.
- L’impact d’un arrêt : combien coûte une journée d’interruption, et combien de temps faudrait-il pour redémarrer ?
- Le cadre réglementaire : pour les entités soumises à NIS2, l’article 23 de la directive prévoit une alerte précoce dans les 24 heures après avoir pris connaissance d’un incident important. Une détection tardive retarde cette prise de connaissance, et donc toute la gestion de l’incident.
- Les moyens internes : votre infogérant ou votre équipe peut-il tenir une astreinte crédible, toute l’année, congés compris ?
Le cas des infogérants
Un infogérant travaille généralement en heures ouvrées, parfois avec une astreinte. S’appuyer sur un SOC 24/7 partenaire lui permet de couvrir les nuits et les week-ends sans recruter d’équipe de nuit. Le SOC surveille et contient ; l’infogérant garde la relation client et intervient sur la remédiation. Voir Une PME a-t-elle besoin d’un SOC ?.
Côté Cyna
Le SOC de Cyna fonctionne 24/7, opéré depuis la France par des équipes internes, avec des analystes humains à chaque alerte. Le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les modalités du service SOC (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire.
Faire le point avec un expert
Vous hésitez sur le niveau de couverture adapté à votre entreprise ou à vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Un EDR suffit-il à couvrir les nuits et les week-ends ?
Un EDR bloque automatiquement une partie des menaces, à toute heure. Mais il ne qualifie pas les signaux ambigus et ne décide pas d'isoler un serveur critique. Voir Faut-il un EDR pour un SOC managé ?.
Un SOC 24/7 coûte-t-il forcément beaucoup plus cher ?
Pour une entreprise qui monte son propre SOC, couvrir toutes les heures demande plusieurs équipes en rotation. Avec un SOC managé, ce coût est mutualisé entre de nombreux clients, ce qui rend le 24/7 accessible à des structures plus petites. Le prix dépend surtout du périmètre surveillé.
Comment vérifier qu'un SOC est vraiment 24/7 ?
Demandez qui analyse une alerte critique à 3 heures du matin un dimanche : un analyste en poste, une personne d'astreinte, ou un simple automate. Demandez aussi les délais par gravité, la nuit comme le jour. Voir Quels engagements de service (SLA) exiger d'un SOC managé ?.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.