SOC pour MSP : qu'est-ce que c'est et comment ça fonctionne ?

Un SOC pour MSP est un centre opérationnel de sécurité qui surveille, 24 heures sur 24, les environnements informatiques des clients d’un infogérant. Il est opéré par un prestataire spécialisé, mais proposé par l’infogérant à ses propres clients. L’infogérant enrichit son offre de détection et de réponse aux incidents sans recruter d’analystes ni construire de SOC interne.

Cette page est le point d’entrée de notre série sur le SOC managé. Elle explique le principe, le fonctionnement et le modèle de partenariat, puis renvoie vers un article dédié pour chaque question.

Pourquoi un SOC « pour MSP » ?

Un infogérant gère déjà les postes, les serveurs, Microsoft 365 et le réseau de ses clients. Il est donc le premier interlocuteur quand un incident survient. Mais surveiller les signaux d’attaque en continu, la nuit et le week-end, demande un métier à part : des analystes formés, des outils de détection, des procédures, et une équipe assez nombreuse pour tourner sur 24 heures.

Pour la plupart des infogérants, construire cette équipe n’a pas de sens économique. Le SOC pour MSP résout ce problème : un spécialiste opère la surveillance pour plusieurs infogérants, et chacun la propose à ses clients sous sa propre offre.

Deux évolutions rendent ce modèle de plus en plus attendu :

• les clients des infogérants sont de plus en plus souvent soumis à des exigences de sécurité, notamment avec NIS2, qui prévoit la gestion des incidents et une alerte précoce sous 24 heures pour les incidents importants ;
• les infogérants eux-mêmes peuvent être concernés : l’annexe I de la directive NIS2 mentionne les fournisseurs de services gérés, l’applicabilité dépendant ensuite de la taille et de la situation de chacun.

Comment fonctionne un SOC pour MSP

1. Le raccordement

Le SOC se connecte aux sources de données des clients : l’EDR installé sur les postes et serveurs, Microsoft 365, les pare-feux, parfois Google Workspace. Chez Cyna, l’intégration native se fait avec les EDR SentinelOne et Microsoft Defender, et le raccordement d’un environnement standard est rapide.

2. La surveillance et la détection

Les événements remontent en continu vers la plateforme du SOC. Des règles de détection et l’analyse comportementale font ressortir les activités suspectes : connexion inhabituelle, création de règle de transfert de messagerie, exécution d’un outil d’attaque, mouvement latéral. Voir Que surveille un SOC managé ?.

3. La qualification par un analyste

Chaque alerte est examinée par un analyste, qui écarte les faux positifs et confirme les vrais incidents. C’est ce qui distingue un SOC d’un simple outil de supervision. Voir SOC ou NOC : quelle différence ?.

4. L’escalade et la réponse

Quand une attaque est confirmée, le SOC prend les premières mesures prévues (par exemple isoler un poste via l’EDR), prévient l’infogérant selon la procédure convenue, et mobilise si besoin une équipe de réponse à incident. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

5. Le reporting

L’infogérant reçoit des rapports par client, qu’il peut transmettre à ses clients. Chez Cyna, ces rapports mensuels sont exportables en marque blanche.

Qui fait quoi entre le SOC et l’infogérant ?

La répartition des rôles est le cœur du modèle :

Rôle	Infogérant (MSP)	SOC
Relation client, contrat, facturation	Oui	Non
Administration du système d’information	Oui	Non
Surveillance 24/7 et détection	Non	Oui
Qualification des alertes	Non	Oui
Premières mesures de confinement	Selon procédure	Oui
Remédiation et remise en service	Oui, avec l’appui du SOC ou du CERT	Appui

Le détail est dans SOC managé et infogérant : qui fait quoi ?.

Ce qu’un SOC pour MSP doit offrir

Toutes les offres ne se valent pas. Quatre points méritent une attention particulière :

1. Une plateforme multi-clients, avec un cloisonnement strict entre les clients et une vue consolidée pour l’infogérant. Voir Qu’est-ce qu’un SOC multi-tenant pour MSP ?.
2. Des intégrations natives avec les outils réellement utilisés par les clients, en particulier l’EDR. Voir Faut-il un EDR pour avoir un SOC managé ?.
3. Une capacité de réponse à incident, pas seulement de détection. Voir Que comprend un SOC managé ?.
4. Le respect de la relation client : un modèle où le prestataire passe par l’infogérant, qui garde la relation avec ses clients.

SOC pour MSP, SOC managé, SOC as a service : quelles différences ?

Les trois expressions désignent des réalités proches :

• SOC managé : un SOC opéré par un prestataire pour le compte d’une organisation. Voir Qu’est-ce qu’un SOC managé ?.
• SOC as a service : la même idée, vue sous l’angle du modèle de consommation, sur abonnement. Voir Qu’est-ce que le SOC as a service ?.
• SOC pour MSP : un SOC managé conçu pour être revendu et opéré à travers des infogérants, avec les fonctions multi-clients et le modèle commercial qui vont avec.

Pour la définition générale d’un SOC, voir Qu’est-ce qu’un SOC ? Définition et fonctionnement.

Les environnements couverts

Un SOC pour MSP couvre en priorité ce que les infogérants gèrent au quotidien : les postes et serveurs (via l’EDR), les identités et la messagerie Microsoft 365, et le réseau via les pare-feux. La surveillance de Microsoft 365 est devenue centrale, car une grande partie des attaques commence par un compte de messagerie compromis. Voir Un SOC managé surveille-t-il Microsoft 365 ?.

Comment l’ANSSI encadre les prestataires de détection

En France, l’ANSSI a défini un référentiel de qualification pour les prestataires de détection d’incidents de sécurité (PDIS). La qualification n’est pas obligatoire pour la plupart des entreprises, mais le référentiel décrit les exigences attendues d’un prestataire de détection : compétences, organisation, protection des données collectées. C’est une bonne grille de lecture pour évaluer une offre.

Le cas de NIS2

Le texte de NIS2 ne mentionne pas d’obligation d’avoir un SOC. Il prévoit en revanche la gestion des incidents (article 21) et une alerte précoce sous 24 heures pour les incidents importants (article 23). Sans surveillance continue, tenir ce délai est difficile. Un SOC pour MSP permet à l’infogérant d’aider ses clients régulés, et de s’organiser pour ses propres exigences s’il est lui-même concerné. Voir Un SOC managé aide-t-il à respecter NIS2 ? et notre série NIS2 : qui est concerné ?.

Le modèle Cyna

Cyna est un SOC managé conçu pour les infogérants. Concrètement :

• un SOC 24/7 opéré depuis la France par des équipes internes, avec des analystes humains à chaque alerte ;
• un CERT pour la réponse à incident, membre de l’InterCERT France, dont l’astreinte est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident ;
• une plateforme multi-clients, avec rapports mensuels exportables en marque blanche ;
• un modèle indirect : Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients.

Cyna est certifiée ISO 27001 ; ses certifications et documents de sécurité sont consultables sur son Trust Center.

Le détail du partenariat est présenté sur la page Programme partenaire.

Les erreurs fréquentes au démarrage

Raccorder trop peu de sources. Un SOC qui ne voit que l’EDR passe à côté des attaques sur la messagerie ; un SOC qui ne voit que Microsoft 365 est aveugle sur les postes. L’EDR et Microsoft 365 sont le socle minimal.

Ne pas définir les actions autorisées. Si le SOC doit demander l’accord de l’infogérant pour isoler un poste à 3 heures du matin, l’attaquant garde de l’avance. Les actions de confinement se décident au démarrage.

Laisser vieillir la procédure d’escalade. Un numéro d’astreinte qui ne répond plus, un contact parti : la procédure se teste et se met à jour régulièrement.

Vendre une surveillance sans en expliquer les limites. Un SOC réduit fortement le temps de détection, il ne rend pas invulnérable. Une offre claire sur ce qui est couvert, et sur le rôle de chacun, évite les malentendus avec le client.

Oublier les rapports. Ce sont eux qui rendent la valeur du service visible pour le client final. Les présenter et les commenter régulièrement fait partie de l’offre de l’infogérant.

Faire le point avec un expert

Vous êtes infogérant et vous voulez proposer une surveillance 24/7 à vos clients ? Contactez-nous pour voir la plateforme et en discuter. Vous êtes une entreprise ? Parlez-en à votre infogérant : s’il est partenaire Cyna, il pourra vous la proposer, sinon nous pourrons vous orienter vers un partenaire.

Questions fréquentes

Un SOC pour MSP est-il réservé aux grands infogérants ?

Non. Le modèle est conçu pour qu'un infogérant de quelques personnes puisse proposer une surveillance 24/7 sans équipe dédiée. L'effort porte surtout sur l'organisation de l'escalade et sur l'offre commerciale.

Le SOC parle-t-il directement aux clients de l'infogérant ?

Cela dépend du prestataire. Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients. Voir SOC managé et infogérant : qui fait quoi ?.

Combien de temps faut-il pour démarrer ?

Quand les intégrations sont prêtes, le raccordement technique est rapide. Il faut ensuite quelques semaines pour affiner les règles de détection et les procédures d'escalade.

Un SOC pour MSP couvre-t-il aussi la conformité ?

Il fournit une capacité de détection, de traitement des incidents et des preuves (journaux, rapports) utiles pour NIS2 ou ISO 27001. Il ne remplace pas la démarche de conformité elle-même. Voir Un SOC managé aide-t-il à respecter NIS2 ?.