SOC managé et infogérant : qui fait quoi ?
SOC managé et infogérant : l'infogérant administre et porte la relation client, le SOC surveille, qualifie et aide à répondre. La répartition des rôles.
Dans un modèle SOC managé proposé par un infogérant, l’infogérant administre le système d’information du client, porte le contrat et reste son interlocuteur. Le SOC surveille en continu, qualifie les alertes, applique les premières mesures de confinement et appuie la remédiation. La frontière entre les deux se fixe dès le démarrage, dans une procédure d’escalade.
Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.
La répartition des rôles
| Activité | Infogérant | SOC managé |
|---|---|---|
| Relation commerciale, contrat, facturation | Responsable | Non concerné |
| Administration des postes, serveurs, Microsoft 365 | Responsable | Non concerné |
| Déploiement de l’EDR et des connecteurs | Responsable, avec l’appui du SOC | Appui |
| Surveillance 24/7 | Non concerné | Responsable |
| Qualification des alertes | Fournit le contexte | Responsable |
| Premières mesures de confinement | Valide si prévu | Applique les actions autorisées |
| Remédiation (correctifs, reconstruction) | Responsable | Conseille, avec le CERT si besoin |
| Communication au client final | Responsable | Fournit les éléments |
| Rapports | Transmet et commente | Produit |
Ce que l’infogérant garde
L’infogérant reste le maître du système d’information de son client : c’est lui qui a les accès d’administration, connaît l’historique et applique les changements. Il reste aussi le seul interlocuteur commercial. C’est le modèle de Cyna : Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients.
Ce que le SOC apporte
Le SOC apporte ce qu’il est difficile de construire chez un infogérant :
- une présence 24/7, avec des analystes en rotation ;
- des compétences de détection et la connaissance des modes opératoires des attaquants ;
- une plateforme qui centralise les événements de tous les clients, avec un cloisonnement strict ;
- une capacité de réponse à incident, avec un CERT pour les cas graves.
Voir Que comprend un SOC managé, et qu’est-ce qui n’en fait pas partie ?.
La zone partagée : le confinement
C’est le point qui mérite le plus d’attention. Quand une attaque est confirmée, il faut agir vite, parfois à 3 heures du matin. Il faut donc décider à l’avance :
- quelles actions le SOC applique sans attendre (isoler un poste, désactiver un compte compromis) ;
- quelles actions demandent l’accord de l’infogérant (couper un serveur de production, bloquer un flux métier) ;
- qui joindre, dans quel ordre, selon la gravité.
Ces règles forment la procédure d’escalade. Elle se teste et se met à jour à chaque changement de contact ou d’organisation. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.
Bien démarrer : la checklist
- Lister les sources à raccorder pour chaque client.
- Définir les actions autorisées et les seuils d’escalade.
- Renseigner les contacts d’astreinte de l’infogérant et du client.
- Prévoir le circuit de communication avec le client en cas d’incident.
- Planifier une revue après quelques semaines pour ajuster les règles.
Et pour NIS2 ?
L’annexe I de NIS2 cite la gestion des services TIC parmi les secteurs visés, avec des seuils de taille fixés par l’article 2 : un infogérant peut donc entrer dans le périmètre, ce qui se vérifie au cas par cas, avec son conseil juridique. L’article 21 prévoit par ailleurs que les entités concernées traitent la sécurité de leur chaîne d’approvisionnement, fournisseurs compris. Une répartition des rôles claire et documentée aide les deux côtés. Voir Un SOC managé aide-t-il à respecter NIS2 ?.
Faire le point avec un expert
Vous êtes infogérant et vous voulez voir comment s’organise la collaboration au quotidien ? Consultez la page Programme partenaire ou contactez-nous.
Questions fréquentes
Qui est responsable si une attaque n'est pas détectée ?
Cela relève des contrats : celui entre le client et l'infogérant, et celui entre l'infogérant et le SOC. Ces contrats abordent généralement le périmètre surveillé, les niveaux de service et les limites de chacun. Pour une question de responsabilité précise, le conseil juridique est le bon interlocuteur.
Le client final voit-il le SOC ?
Cela dépend du modèle. Chez Cyna, le client a l'infogérant comme seul interlocuteur ; Cyna est identifié dans l'offre comme le SOC de l'infogérant et les rapports mensuels peuvent être produits en marque blanche.
L'infogérant doit-il avoir des compétences en sécurité ?
Il doit savoir appliquer les recommandations du SOC et mener la remédiation sur les systèmes qu'il administre. Les compétences d'analyse et d'investigation sont, elles, apportées par le SOC et le CERT.
Le SOC peut-il intervenir sur les systèmes sans passer par l'infogérant ?
Uniquement pour les actions prévues dans la procédure, comme isoler un poste via l'EDR ou désactiver un compte. Les autres interventions passent par l'infogérant, qui garde la maîtrise du système d'information.
Que se passe-t-il si l'infogérant n'est pas joignable la nuit ?
La procédure prévoit des contacts de secours. Pour les incidents graves, le SOC peut appliquer les mesures de confinement autorisées à l'avance dans la procédure, puis informe les contacts prévus.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.