Comment intégrer un SOC dans un contrat d'infogérance ?
Périmètre, rôles, escalade, délais, données personnelles, réversibilité : les sujets qu'aborde en général un contrat d'infogérance qui intègre un SOC.
Pour intégrer un SOC dans un contrat d’infogérance, une solution courante consiste à ajouter une annexe de service. Ce type d’annexe aborde en général le périmètre surveillé, la répartition des rôles, la procédure d’escalade, les niveaux de service et les rapports, ainsi que les données personnelles et la réversibilité. Le client garde un seul contrat et un seul interlocuteur : son infogérant. Cet article liste les sujets que ces contrats abordent habituellement ; il ne propose pas de rédaction, qui relève d’un conseil juridique.
Cet article fait partie de notre série sur la mise en œuvre d’un SOC managé. Pour la démarche complète, voir Comment mettre en place un SOC managé ?.
Une architecture contractuelle à deux étages
Dans un modèle MSP, deux contrats coexistent en général :
- le contrat d’infogérance, entre l’infogérant et son client, complété par une annexe SOC ;
- le contrat de partenariat, entre l’infogérant et son SOC partenaire.
C’est le modèle de Cyna : Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients, le contrat, la facturation et les rapports. Il est donc cohérent que l’annexe conclue avec le client reflète ce que le contrat de partenariat prévoit réellement, en particulier sur les délais et les actions autorisées.
Les sujets d’une annexe SOC
| Sujet | Ce qui y est en général abordé |
|---|---|
| Objet et périmètre | Sources surveillées : postes et serveurs via l’EDR, messagerie, pare-feu ; ce qui est exclu |
| Rôles | Ce que fait l’infogérant, ce que fait le SOC, ce que fait le client |
| Escalade | Niveaux de gravité, contacts, canaux, actions autorisées sans accord préalable |
| Niveaux de service | Couverture horaire, délais de prise en charge et de notification |
| Réponse à incident | Son périmètre, et ce qui relève d’une prestation complémentaire |
| Rapports | Contenu, fréquence, format, réunion de suivi |
| Données personnelles | Cadre RGPD applicable, recours à d’autres prestataires, information en cas de violation |
| Durée et réversibilité | Préavis, restitution ou suppression des données, désinstallation des agents |
Le périmètre : écrire ce qui est surveillé
Le périmètre est souvent le sujet le plus sensible. Les contrats listent en général les sources raccordées (nombre de postes et serveurs, locataires Microsoft 365 ou Google Workspace, pare-feux) et indiquent ce qui ne l’est pas. Ils prévoient aussi la façon d’ajouter une source en cours de contrat. Un client qui croit tout son parc surveillé alors qu’une partie ne l’est pas est la source de malentendu la plus fréquente.
Les rôles et l’escalade
L’annexe reprend en général la répartition des rôles : l’infogérant administre et remédie, le SOC surveille, qualifie et applique les premières mesures prévues, le client décide des actions lourdes. Elle renvoie souvent à une procédure d’escalade décrite en détail et tenue à jour hors du contrat, pour éviter un avenant à chaque changement de contact. Voir Comment construire une procédure d’escalade avec un SOC ? et SOC managé et infogérant : qui fait quoi ?.
La réponse à incident
Les contrats abordent en général ce qui se passe quand une alerte devient un incident grave : qui intervient, dans quel périmètre, et ce qui relève d’une prestation complémentaire. Il est utile d’y préciser aussi ce que l’infogérant prend en charge de son côté (reconstruction, restauration). Chez Cyna, le CERT travaille avec les équipes du SOC et peut être mobilisé rapidement ; l’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Voir Que comprend un SOC managé, et qu’est-ce qui n’en fait pas partie ?.
Les données personnelles
Un SOC traite des journaux qui contiennent des données personnelles : identifiants, adresses IP, noms de fichiers. Ces traitements relèvent du RGPD. Son article 28 porte sur les relations entre une organisation et les prestataires qui traitent des données pour son compte, et prévoit notamment :
- un contrat qui encadre le traitement (objet, durée, mesures de sécurité, sort des données en fin de contrat) ;
- une autorisation écrite préalable avant le recours à un autre prestataire ;
- la répercussion des mêmes obligations sur cet autre prestataire.
L’article 33 prévoit en outre que le prestataire informe, dans les meilleurs délais, l’organisation pour le compte de laquelle il traite les données de toute violation dont il a connaissance, et que la notification à l’autorité de contrôle intervienne dans les 72 heures. Les contrats organisent donc en général ce circuit d’information. La qualification du rôle de chacun au sens du RGPD dépend de chaque situation : elle relève de l’analyse d’un conseil juridique ou d’un DPO.
Les clients concernés par NIS2
L’article 21 de NIS2 prévoit que les entités concernées traitent la sécurité de leur chaîne d’approvisionnement. Un client concerné peut donc demander à son infogérant des clauses de sécurité, des délais d’information en cas d’incident et des éléments de preuve. L’annexe SOC peut répondre à une partie de ces attentes ; elle ne rend pas le client conforme à elle seule. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center.
La réversibilité
En fin de contrat, les annexes abordent en général la restitution ou la suppression des données, la désinstallation ou la désactivation des agents et la remise des derniers rapports. Une réversibilité claire rassure le client au moment de signer.
Faire le point avec un expert
Vous préparez l’annexe SOC de vos contrats d’infogérance ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Vous êtes infogérant, ou vous n’avez pas encore de partenaire ? Contactez-nous. Ces éléments ne remplacent pas l’avis d’un juriste pour la rédaction des clauses.
Questions fréquentes
Faut-il un contrat séparé pour le SOC ?
Pas nécessairement. Une annexe au contrat d'infogérance existant est une solution courante, qui garde la relation simple pour le client. L'infogérant a de son côté un contrat avec son SOC partenaire. Le choix de la forme relève de l'infogérant et de son conseil juridique.
Le SOC partenaire doit-il être cité dans le contrat ?
L'article 28 du RGPD encadre le cas où un prestataire fait appel à un autre prestataire pour traiter des données personnelles, et prévoit dans ce cas une autorisation écrite préalable. La façon dont ce cadre s'applique à une situation donnée, et donc la manière de mentionner le SOC partenaire, se vérifie avec un conseil juridique.
Un SOC peut-il promettre au client qu'il n'y aura pas d'incident ?
Non. Aucun SOC ne peut écarter tout incident. Les contrats décrivent en général des moyens et des modalités de traitement, pas l'absence d'incident.
Quels niveaux de service les contrats abordent-ils ?
Ils portent en général sur la couverture horaire, les délais de prise en charge et de notification selon la gravité, et la fréquence des rapports. Voir Quels engagements de service (SLA) exiger d'un SOC managé ?.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.