Qu'est-ce que le SOC as a service ?
Le SOC as a service est un SOC consommé sur abonnement : analystes, plateforme et surveillance 24/7 fournis comme un service. Principe, avantages et limites.
Le SOC as a service (ou SOCaaS) désigne un centre opérationnel de sécurité consommé comme un service, sur abonnement. Au lieu de construire un SOC (outils, recrutement, organisation 24/7), l’entreprise ou son infogérant souscrit à un service qui fournit la plateforme, les analystes et la surveillance continue, et paie en fonction du périmètre couvert.
Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.
SOC as a service et SOC managé : une différence d’angle
Les deux expressions décrivent souvent la même réalité : un SOC opéré par un prestataire. La nuance est dans ce qu’elles mettent en avant :
- SOC managé insiste sur qui opère le SOC : un prestataire, pour votre compte. Voir Qu’est-ce qu’un SOC managé ?.
- SOC as a service insiste sur comment on le consomme : comme un service en ligne, sur abonnement, sans projet d’infrastructure.
En pratique, un SOC as a service est presque toujours un SOC managé, avec une plateforme hébergée par le prestataire.
Comment fonctionne le modèle
- Souscription : on définit le périmètre (nombre de postes, de serveurs, d’utilisateurs Microsoft 365, sources à raccorder).
- Raccordement : les sources de données sont connectées à la plateforme du prestataire, souvent par des connecteurs prêts à l’emploi.
- Exploitation : le prestataire surveille, qualifie les alertes et escalade les incidents.
- Évolution : le périmètre s’ajuste quand le parc évolue, sans nouveau projet.
Les avantages
- Pas d’investissement initial : ni plateforme à acheter, ni équipe à recruter avant d’être opérationnel.
- Une mise en route rapide : avec des connecteurs prêts à l’emploi, le raccordement peut être rapide ; l’ajustement des règles demande ensuite plusieurs semaines.
- Une couverture 24/7 : difficile à atteindre en interne pour une petite organisation.
- Une montée en charge simple : ajouter un client, un site ou un périmètre ne demande pas de refonte.
Pour un infogérant, ce modèle est particulièrement adapté : il peut proposer la surveillance à chaque client, avec un périmètre ajusté, sans engager de coûts fixes. Voir Qu’est-ce qu’un SOC multi-tenant pour MSP ?.
Les limites et points de vigilance
- « As a service » ne dit rien du contenu. Certaines offres sont surtout de l’alerte automatisée, avec peu d’analystes la nuit. Vérifiez qui regarde les alertes, et quand.
- La réponse à incident n’est pas toujours incluse. Détecter ne suffit pas : il faut savoir ce qui se passe ensuite. Voir Que comprend un SOC managé, et qu’est-ce qui n’en fait pas partie ?.
- Les données quittent votre environnement. Les journaux de sécurité sont traités sur la plateforme du prestataire : le lieu de traitement et la durée de conservation doivent être clairs.
- La dépendance au prestataire. Prévoyez les conditions de réversibilité.
Ce qu’il faut regarder dans une offre
| Question | Pourquoi c’est important |
|---|---|
| Des analystes surveillent-ils 24/7 ? | C’est ce qui fait la différence avec un outil |
| Quelles sources sont intégrées nativement ? | L’EDR et Microsoft 365 sont les plus utiles |
| La réponse à incident est-elle incluse ? | Elle conditionne la gestion d’une vraie attaque |
| Où sont traitées les données ? | Confidentialité, exigences clients et réglementaires |
| Quels rapports reçoit-on ? | Ils servent de preuve, notamment pour NIS2 |
Le cas des infogérants
Pour un infogérant, le SOC as a service permet de construire une offre de sécurité récurrente sans immobiliser de ressources. L’infogérant garde la relation client et intègre le service à ses contrats ; le prestataire fournit la surveillance. Avant de signer, il est utile de préciser par écrit qui fait quoi pendant un incident : qui isole une machine, qui prévient le client final, qui restaure les systèmes et qui rédige le rapport. Ce partage se décide plus sereinement à froid qu’en pleine attaque. Voir SOC managé et infogérant : qui fait quoi ?.
Faire le point avec un expert
Cyna propose un SOC 24/7 opéré depuis la France par des équipes internes, avec un CERT, sur une plateforme multi-clients conçue pour les infogérants. Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients ; les modalités (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire. L’astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
SOC as a service et SOCaaS, c'est la même chose ?
Oui. SOCaaS est simplement l'abréviation de SOC as a service.
Le SOC as a service est-il réservé au cloud ?
Non. Le service est délivré depuis une plateforme en ligne, mais il surveille aussi bien les postes et serveurs sur site que les environnements cloud comme Microsoft 365.
Peut-on arrêter un SOC as a service facilement ?
Les conditions de durée et de sortie dépendent du contrat. Vérifiez la récupération de vos données et de l'historique des incidents en fin de contrat, et le délai de préavis.
Le SOC as a service convient-il à une petite structure ?
Oui, c'est même souvent le seul moyen réaliste pour une petite organisation d'obtenir une surveillance 24/7. Elle y accède en général via son infogérant.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.