Tous les SOC ne se valent pas : comment comprendre et sélectionner le bon centre des opérations de sécurité

Il y a dix ans, dire à quelqu'un que votre organisation disposait d'un centre des opérations de sécurité (Security Operations Centre, SOC) signifiait quelque chose de précis. Cela impliquait une équipe dédiée d'analystes surveillant des écrans en permanence, à la recherche de menaces dans l'ensemble de l'environnement informatique, avec les personnes, les processus et la technologie nécessaires pour détecter, contenir et répondre aux incidents à toute heure.

Aujourd'hui, le terme a été étiré jusqu'à presque se rompre. Un prestataire commercialise un « SOC » fonctionnant 24 heures sur 24 et 7 jours sur 7, avec plusieurs rôles, de la chasse aux menaces et de la réponse aux incidents. Un autre commercialise un « SOC » qui surveille les alertes des postes de travail pendant les heures de bureau et transmet par e-mail tout élément suspect. Les deux utilisent pourtant la même appellation.

Pour toute personne responsable de la cyber-résilience, qu'il s'agisse d'un CISO au sein d'une organisation de taille intermédiaire, d'un responsable informatique se préparant à NIS2, ou d'un membre de conseil d'administration évaluant les risques, cette distinction compte. Choisir le mauvais type de SOC signifie payer pour une capacité que vous n'obtenez pas, ou pire, croire que vous êtes protégé alors que ce n'est pas le cas.

Ce guide répond aux questions que se posent réellement les acheteurs, dans l'ordre où ils ont tendance à se les poser. Il explique ce qu'est véritablement un centre des opérations de sécurité, son lien avec le terme de plus en plus courant de Managed Detection and Response (MDR), les raisons pour lesquelles la définition s'est diluée, les principaux types de SOC que vous rencontrerez aujourd'hui sur le marché, et comment sélectionner celui qui correspond à votre risque, à votre secteur et à votre budget.

Une brève précision sur notre positionnement avant de commencer : Guardian360 n'exploite pas de SOC. Nous fournissons une visibilité continue sur la surface d'attaque ainsi qu'une gestion des vulnérabilités qui renforce le SOC, quel qu'il soit, avec lequel une organisation choisit de travailler. Tout au long de cet article, nous utilisons cinq de nos partenaires, à savoir NFIR, SLTN, Intermax, Beterbeschermd et Trustteam, comme exemples honnêtes de ce à quoi ressemblent différents modèles de SOC en pratique. L'objectif n'est pas d'en recommander un plutôt qu'un autre, mais de vous aider à identifier le modèle le mieux adapté à votre situation.

Qu'est-ce qu'un centre des opérations de sécurité, en réalité ?

Un centre des opérations de sécurité est, à la base, la fonction, interne ou externe à une organisation, chargée de la surveillance continue, de la détection, de l'analyse et de la réponse aux cybermenaces. Elle repose sur la combinaison de trois éléments : les personnes, les processus et la technologie. Retirez l'un de ces éléments et vous n'avez plus un SOC.

Le volet technologique comprend généralement une plateforme de Security Information and Event Management (SIEM) qui agrège les journaux de l'ensemble de l'environnement informatique, des outils d'Endpoint Detection and Response (EDR) ou d'Extended Detection and Response (XDR), une capacité de détection réseau et un système de gestion des dossiers. De plus en plus, les SOC modernes ajoutent des outils de Security Orchestration, Automation and Response (SOAR), des flux de renseignement sur les menaces et des solutions de User and Entity Behaviour Analytics (UEBA).

Le volet processus couvre les cas d'usage de détection, les playbooks, les chemins d'escalade, les procédures de réponse aux incidents, les rythmes de reporting et l'amélioration continue. Un SOC sans playbooks documentés est, en pratique, un groupe de personnes disposant de tableaux de bord.

C'est sur le volet humain que beaucoup de « SOC » pèchent discrètement. Un véritable SOC dispose d'analystes répartis sur plusieurs niveaux, généralement le tri de niveau L1, l'investigation de niveau L2, et la chasse aux menaces et la réponse aux incidents de niveau L3. Il dispose également d'ingénieurs qui ajustent les détections, d'un responsable de SOC, et idéalement d'un lien au niveau CISO avec l'organisation cliente. Il fonctionne en continu, car les attaquants ne travaillent pas de neuf heures à dix-sept heures.

Si un prestataire vous propose ce qu'il appelle un SOC, le test le plus simple consiste à demander : qui surveille à trois heures du matin un dimanche, que fait cette personne concrètement, et de quelle autorité dispose-t-elle pour agir ?

Quelle est la différence entre un SOC et le Managed Detection and Response ?

Les termes « SOC » et « MDR » sont utilisés de manière si interchangeable sur le marché qu'il vaut la peine de les démêler.

Un SOC est la fonction opérationnelle : les personnes, les processus et la technologie qui surveillent, détectent, analysent et répondent. Le terme décrit une capacité, pas une offre commerciale particulière. Une organisation peut exploiter son propre SOC, faire appel au SOC d'un prestataire, ou adopter un modèle hybride.

Le Managed Detection and Response est l'enveloppe commerciale la plus couramment utilisée pour packager la capacité SOC destinée au marché intermédiaire. Dans un service MDR, le prestataire prend en charge l'outillage de surveillance, souvent EDR ou XDR, applique ses propres analystes et playbooks à votre environnement, et rapporte au client les constats et les actions menées. En pratique, presque tous les services de SOC externalisés proposés aujourd'hui aux organisations du marché intermédiaire sont vendus sous le label MDR ou une variante proche.

Pour les acheteurs, la conséquence est simple. Le label « MDR » vous renseigne sur le modèle commercial, mais pas sur la profondeur des analystes, les horaires de couverture, le périmètre de détection ou l'autorité de réponse incluse. Un MDR spécialisé fonctionnant 24 heures sur 24 et 7 jours sur 7 avec une réponse aux incidents complète peut être très différent d'un MDR 5×8 limité aux postes de travail ; les deux sont pourtant vendus sous le même sigle. Les questions présentées plus loin dans cet article sont conçues pour faire ressortir cette différence.

Pourquoi le terme « SOC » s'est-il dilué ?

Trois forces ont contribué à démanteler cette définition.

La première est l'inflation marketing. À mesure que les cybermenaces ont gagné en priorité, « SOC » est devenu un label qui aidait à vendre des services. La surveillance des postes de travail assortie d'un suivi 5×8 a été rebaptisée SOC. Les tableaux de bord de gestion des vulnérabilités ont été rebaptisés composants de SOC. Là où un label se vend, il se répand.

La deuxième est la diversité des prestataires qui entrent sur ce marché. Les entreprises qui proposent aujourd'hui des services de type SOC partent de points de départ très différents. Certaines sont des sociétés spécialisées exclusivement en cybersécurité, qui ont bâti leur SOC autour de la réponse aux incidents. D'autres sont des hébergeurs gérés qui ont ajouté un Cyber Defence Centre pour protéger leur propre plateforme, avant de le proposer à leurs clients. D'autres encore sont de larges intégrateurs informatiques pour qui la sécurité n'est qu'un domaine d'expertise parmi d'autres. D'autres enfin sont des prestataires de services gérés régionaux qui ont constaté que leurs clients PME avaient besoin de bien plus qu'un antivirus et un pare-feu. Chacun de ces modèles a ses mérites, mais il ne s'agit pas du même produit.

La troisième est l'absence d'une norme unique et contraignante. De bons référentiels existent, notamment MITRE ATT&CK, le modèle de fonctions SOC du SANS et le NIST CSF, mais aucune certification qu'un acheteur puisse exiger et utiliser comme comparateur fiable et équivalent. ISO 27001 et SOC 2 renseignent sur la manière dont une organisation gère la sécurité de l'information, mais ne certifient pas la profondeur opérationnelle d'un SOC.

Le résultat est un marché où le même mot recouvre des services très différents à des prix très différents. C'est à l'acheteur de faire le tri.

Quels sont les principaux types de SOC sur le marché néerlandais aujourd'hui ?

En observant les prestataires avec lesquels nous travaillons, quatre grands modèles couvrent l'essentiel de ce que vous rencontrerez. Chacun présente des atouts clairs, des compromis clairs et un profil de client idéal clair.

Type 1 : le SOC spécialisé exclusivement en cybersécurité

Il s'agit du modèle le plus proche de la définition originelle. L'ensemble de l'activité du prestataire est la cybersécurité. Le SOC en est le cœur, entouré de capacités connexes telles que les tests d'intrusion, la réponse aux incidents, l'investigation numérique (forensic) et la sensibilisation à la sécurité. Les analystes sont des spécialistes pointus, et l'entreprise détient généralement des accréditations propres au domaine de la sécurité plutôt qu'aux services informatiques en général.

NFIR est un exemple clair de cet archétype. L'entreprise exploite un service de Managed Detection and Response fonctionnant 24 heures sur 24, 7 jours sur 7 et 365 jours par an depuis son propre SOC, aux côtés d'un Computer Emergency Response Team qui gère la réponse aux incidents, d'une activité de tests d'intrusion certifiée CCV et d'un pôle d'investigation numérique. Son personnel fait l'objet d'un contrôle formel via la police nationale (Chief of Police) et l'entreprise détient des accréditations ISO et BSI centrées sur le domaine de la sécurité. La proposition est simple : lorsqu'un événement sérieux survient, la même entreprise qui surveille votre environnement peut aussi enquêter, contenir et rendre compte de l'incident, y compris avec le niveau de détail forensique pouvant être requis par les assureurs, les régulateurs ou les autorités judiciaires.

La force de ce modèle réside dans sa profondeur. Le compromis est qu'il suppose un client disposant d'un environnement informatique relativement mature. Le SOC détecte et répond, mais ne gère pas votre informatique au sens large.

Idéal pour : les organisations qui disposent déjà d'une fonction informatique compétente, qui souhaitent un partenaire spécialisé en sécurité, et qui accordent de la valeur à une forte capacité de réponse aux incidents et d'investigation numérique. Cela convient généralement aux grandes organisations du marché intermédiaire et aux grandes entreprises, aux administrations publiques, à l'enseignement et à tout secteur présentant un risque d'incident élevé.

Type 2 : le SOC intégré chez un large intégrateur informatique

Dans ce modèle, la sécurité et le SOC côtoient d'autres services informatiques (poste de travail, cloud, réseau, applications, données, hébergement) au sein d'un même portefeuille. La force de ce modèle réside dans l'intégration : le partenaire qui surveille votre sécurité comprend aussi votre paysage informatique plus large, car il en a probablement construit certaines parties. Beaucoup de ces intégrateurs exploitent également eux-mêmes des capacités d'hébergement et de cloud privé, ce qui leur permet d'héberger, d'intégrer et de surveiller sous un même toit.

SLTN en est un bon exemple. L'entreprise se présente comme un partenaire pour une « informatique pérenne » (Future-proof IT) et propose une expertise couvrant les services professionnels métier et informatique, le poste de travail numérique, le datacentre, le cloud, l'hébergement, le réseau, les services d'IA, les services de données, les services applicatifs et la cybersécurité. Élément déterminant, SLTN exploite son propre datacentre et sa propre capacité de cloud privé, ce qui permet à un client de confier la sécurité, le poste de travail et l'infrastructure hébergée au même partenaire. Leur proposition en cybersécurité est de nature consultative : guides de survie, conseils adaptés à l'organisation, et une approche englobant l'ensemble de la protection des systèmes tout en permettant au personnel d'accomplir son travail.

Ce qui distingue également SLTN, c'est l'étendue des secteurs qu'elle sert. Là où certains partenaires évoqués dans cet article se concentrent étroitement sur un ou deux domaines (Intermax dans le secteur de la santé, par exemple), la clientèle de SLTN couvre la santé, le commerce de détail, les administrations publiques locales et centrales, la finance, l'industrie, la logistique et les services professionnels. Pour les organisations du marché intermédiaire dont les besoins informatiques et de sécurité relèvent d'un secteur moins évident, ou pour les groupes actifs dans plusieurs secteurs, cette étendue signifie que SLTN est rarement dépaysée par le contexte réglementaire, les applications propres au secteur ou le rythme opérationnel de l'activité du client.

Cette étendue sectorielle constitue une force différente de la profondeur sectorielle. Un spécialiste concentré sur un seul secteur vertical offre une compréhension approfondie d'un ensemble de référentiels de conformité et de nuances opérationnelles. Un intégrateur multisectoriel comme SLTN, en revanche, apporte la capacité de reconnaître des schémas à travers les secteurs et d'appliquer les enseignements de l'un à l'autre, ce qui est particulièrement utile pour les organisations dont l'environnement informatique couvre plusieurs contextes opérationnels. Les deux types de force ont leur valeur, et le bon choix dépend de la question de savoir si vous avez besoin de profondeur dans un secteur ou de familiarité à travers plusieurs.

Trustteam constitue un second exemple, de forme différente. Ayant son siège au Benelux et des bureaux aux Pays-Bas, en Belgique, en France et au Luxembourg, Trustteam organise explicitement sa pratique de sécurité (« Next Gen Security ») autour du NIST Cybersecurity Framework : Identify and Protect, Detect and Respond, Recover. Au sein du pilier Detect and Respond, l'entreprise propose le Managed Detection and Response, le Network Detection and Response et l'Endpoint Detection and Response comme produits nommés et packagés, aux côtés de la surveillance continue, de l'analyse et de l'atténuation, de la planification de la réponse, de la sensibilisation et de la sécurité de l'infrastructure. L'intégrateur intervient sur le cloud privé, le cloud public (Azure) et l'infrastructure sur site, avec une approche structurée par référentiel qui convient aux acheteurs souhaitant faire correspondre leurs contrôles à un modèle reconnu. Pour les organisations présentes au Benelux, la dimension transfrontalière de l'entreprise constitue un avantage pratique significatif.

La force de ce modèle réside dans sa cohérence. Vous n'ajoutez pas la sécurité à un environnement informatique qui vous est étranger ; le même partenaire peut aligner l'identité, le poste de travail, le cloud, l'hébergement et la sécurité au sein d'un seul programme. Le compromis est que le SOC peut ne pas avoir la même profondeur que celui d'un spécialiste, et cette étendue signifie que l'organisation dans son ensemble répartit son attention sur de nombreux domaines de pratique.

Idéal pour : les organisations qui souhaitent confier à un seul partenaire la responsabilité conjointe de l'informatique et de la sécurité, en particulier lorsque l'environnement informatique lui-même est en cours de modernisation. Fréquent chez les organisations du marché intermédiaire en pleine transformation de leur poste de travail, de leur cloud ou de leur réseau, ainsi que chez les organisations du Benelux qui valorisent une présence transfrontalière.

Type 3 : le SOC intégré à une plateforme d'hébergement géré ou de cloud

Ici, le SOC fait partie d'un service d'hébergement géré ou de cloud-sourcing, et cette capacité d'hébergement constitue le centre de gravité de l'entreprise. L'activité principale du prestataire est l'exploitation de l'infrastructure du client, souvent dans ses propres datacentres ou sous forme de cloud géré, la surveillance de sécurité étant directement tissée dans la plateforme qu'il exploite. La différence avec le Type 2 est une question de focalisation et de profondeur : l'hébergement constitue l'identité même de l'entreprise plutôt qu'une pratique parmi d'autres, et la capacité de sécurité est construite autour de l'environnement hébergé.

Intermax en est un exemple solide. Il s'agit d'une entreprise de cloud-sourcing basée à Rotterdam, disposant d'un large portefeuille de certifications incluant ISO 27001, ISO 20000, ISO 9001, NEN 7510, ISAE 3402 type II et SOC 2. L'entreprise est Microsoft Cloud Service Provider, VMware Service Provider et Fortinet Managed Security Service Provider, et exploite un Cyber Defence Centre qui utilise des outils de détection modernes, dont Elastic Security avec découverte d'attaques pilotée par IA. Sa profondeur dans le secteur de la santé mérite un paragraphe à part entière.

Pour les organisations du secteur de la santé, Intermax constitue à bien des égards un choix exceptionnel. La combinaison de NEN 7510 (la norme néerlandaise de sécurité de l'information pour le secteur de la santé), d'ISO 27001 et de SOC 2, avec une base de clients existante comprenant des hôpitaux, des institutions de santé mentale et d'autres zorginstellingen, signifie qu'Intermax comprend déjà la charge réglementaire et la réalité quotidienne de l'hébergement des dossiers patients électroniques (EPD) et d'autres applications cliniques. Leur offre HiX gérée en est un exemple de cette profondeur. Pour une organisation de santé néerlandaise, choisir entre un partenaire d'hébergement ayant occasionnellement travaillé avec des systèmes cliniques et un partenaire dont l'activité est construite autour de ceux-ci est rarement un choix difficile. Intermax appartient fermement à ce second groupe, ce qui en fait un partenaire SOC particulièrement solide pour toute organisation du secteur de la santé néerlandais.

La force de ce modèle est que la sécurité y est « intégrée nativement ». La plateforme d'hébergement et le SOC partagent la même équipe d'ingénierie, la même télémétrie et les mêmes preuves de conformité. Le compromis est que vous vous engagez à la fois dans un modèle d'hébergement et dans un SOC ; si vous souhaitez exploiter votre informatique de manière indépendante et ne contracter que pour la surveillance, ce n'est pas la forme adaptée.

Idéal pour : les secteurs réglementés tels que la santé, la finance et les administrations publiques, ainsi que les organisations qui souhaitent externaliser leur hébergement et leur sécurité auprès d'un seul prestataire hautement certifié. Particulièrement adapté au secteur de la santé néerlandais, compte tenu de la profondeur des preuves NEN 7510 et de l'expérience des applications cliniques.

Type 4 : le SOC de niveau MSP, y compris les services de SOC destinés à d'autres MSP

Le quatrième modèle a connu une croissance rapide ces dernières années. Des prestataires de services gérés régionaux, qui assurent déjà l'informatique quotidienne de clients PME et du marché intermédiaire, ont développé ou noué des partenariats pour proposer des services de SOC accessibles à des organisations qui ne pourraient jamais justifier un contrat de niveau grande entreprise. Une sous-tendance significative se dessine désormais : un certain nombre de ces entreprises positionnent délibérément leur capacité de SOC comme un service que d'autres MSP peuvent utiliser, et non plus réservé à leurs seuls clients.

Beterbeschermd en est un exemple clair. L'entreprise est née au sein du MSP BEEREPOOT, basé en Noord-Holland, où elle sert la base de clients MSP existante, mais elle est délibérément positionnée comme une marque et une entité distinctes, capables d'offrir leur capacité de SOC à d'autres MSP et à leurs clients finaux. L'équipe combine des opérateurs de SOC avec un rôle de Cybersecurity Officer chargé de l'analyse des risques, des audits, de la sensibilisation, de l'accompagnement NIS2 et ISO 27001, et du soutien à la conformité. Pour un MSP qui n'a pas l'échelle nécessaire pour bâtir son propre SOC, s'associer à un MSP homologue qui en a déjà construit un s'avère souvent plus praticable, tant sur le plan commercial que culturel, qu'un partenariat avec un grand spécialiste destiné aux entreprises.

La force de ce modèle est son accessibilité et son adéquation culturelle. Les petites organisations bénéficient de la surveillance, de la sensibilisation et de l'accompagnement à la conformité au sein d'une seule relation, à un prix adapté à leur taille, et les MSP qui n'ont pas leur propre SOC peuvent en proposer un à leurs clients sans investissement de plusieurs millions d'euros. Le compromis est que la profondeur des capacités d'investigation numérique et de chasse aux menaces peut ne pas égaler celle d'un pur spécialiste, et l'empreinte géographique du partenaire importe d'une manière qui ne se pose pas pour un spécialiste national.

Idéal pour : les PME et les organisations du bas du marché intermédiaire dont l'informatique transite par une relation MSP, ainsi que les MSP eux-mêmes qui souhaitent proposer une capacité de SOC à leurs clients sans devoir la construire de zéro.

Alors, de quel type de SOC avez-vous besoin ?

La réponse honnête est que cela dépend de cinq facteurs, à peu près dans cet ordre.

Profil de risque. Quel est le pire scénario réaliste ? Une organisation traitant des données de patients, des données de paiement ou des infrastructures critiques a un pire scénario différent d'une entreprise de services B2B. Plus votre pire scénario est grave, plus vous avez besoin de profondeur dans la capacité de détection et de réponse.

Pression réglementaire. NIS2, le RGPD, les règles sectorielles telles que NEN 7510 ou DigiD, et les obligations contractuelles imposées par les clients, font tous monter le niveau d'exigence. Certains des types de SOC décrits ci-dessus apportent des preuves de conformité difficiles à constituer autrement.

Maturité informatique interne. Un SOC spécialisé suppose que vous pouvez agir sur ses constats. Si votre fonction informatique interne est réduite ou sous tension, un modèle intégré (avec un intégrateur informatique ou un MSP) sera plus praticable qu'une relation avec un spécialiste qui vous transmet un flux d'alertes que vous ne pouvez pas traiter faute de ressources.

Relations informatiques existantes. Si vous faites déjà confiance à un MSP ou à un intégrateur pour votre informatique, confier votre SOC à la même relation réduit les frictions. Si vous disposez d'une fonction informatique interne solide et souhaitez un contrepoint spécialisé, un SOC exclusivement spécialisé vous offrira la plus grande profondeur.

Budget. Un SOC spécialisé fonctionnant 24 heures sur 24 et 7 jours sur 7 n'a pas le même prix qu'un complément de surveillance 5×8. Soyez clair sur ce que vous êtes prêt à dépenser, et soyez honnête avec les prestataires lorsque vous leur demandez des propositions.

Quelles questions poser à un prestataire de SOC ?

Voici une checklist courte et utile pour évaluer les prestataires, qu'ils relèvent de l'un des quatre modèles ci-dessus ou d'un modèle totalement différent.

Horaires. La surveillance est-elle assurée 24 heures sur 24, 7 jours sur 7 et 365 jours par an, en 5×8 avec astreinte, ou autrement ? Qui est éveillé à trois heures du matin un dimanche, et qu'est-il autorisé à faire sans votre intervention ?

Périmètre. Que surveille-t-on exactement ? Uniquement les postes de travail ? Postes de travail, identité et messagerie ? Les charges de travail cloud ? La technologie opérationnelle ? Les serveurs et le réseau sur site ? Plus le périmètre est étendu, plus le SOC a de sens.

Détection. Quel outillage se trouve derrière le service ? SIEM et EDR constituent la base ; renseignez-vous sur XDR, NDR, la détection des menaces liées à l'identité, la surveillance de la posture cloud et les flux de renseignement sur les menaces. Demandez comment les règles de détection sont ajustées et à quelle fréquence elles sont révisées.

Personnes. Combien d'analystes, à quels niveaux, et où sont-ils basés ? L'équipe de nuit est-elle interne ou externalisée ? Quelle est la rotation, et comment la fatigue est-elle gérée ? Qui est votre contact senior nommément désigné ?

Réponse. Lorsqu'un incident survient, que fait réellement le SOC ? Se contente-t-il de vous alerter ? Confine-t-il un hôte ? Intervient-il directement dans votre environnement pour agir ? De quelle autorité dispose le SOC, et comment cette autorisation est-elle testée ?

Contrat de réponse aux incidents (retainer). Existe-t-il un délai de réponse garanti pour les incidents graves ? La capacité forensique fait-elle partie de l'accord, ou est-elle contractée séparément ? Le SOC peut-il produire des rapports utilisables par les assureurs, les régulateurs et, le cas échéant, les autorités judiciaires ?

Conformité. À quelles normes le SOC lui-même se conforme-t-il ? Le prestataire peut-il produire des preuves utiles à vos propres audits, notamment pour ISO 27001, NEN 7510, la préparation à NIS2, SOC 2 ou ISAE 3402 ?

Reporting et transparence. Que recevez-vous chaque semaine, chaque mois, chaque trimestre ? Pouvez-vous consulter les détections et actions sous-jacentes, ou seulement des synthèses ? Existe-t-il un portail ? Les exercices de simulation (tabletop) et les constats de chasse aux menaces sont-ils inclus ?

Adéquation et réversibilité. Comment le SOC s'intègre-t-il à vos outils existants, tels que votre système de tickets, votre fournisseur d'identité et vos comptes cloud ? Si vous souhaitez un jour changer de prestataire, quel est le degré de portabilité de votre contenu de détection et de votre historique ?

Quels sont les pièges les plus courants lors du choix d'un SOC ?

Une poignée d'erreurs se répètent sur l'ensemble du marché.

La première consiste à acheter uniquement sur le prix. Un « SOC » qui coûte un quart du tarif habituel effectue presque certainement un quart du travail. Le travail non effectué a tendance à être précisément celui dont vous avez le plus besoin lorsque les choses tournent mal.

La deuxième est de confondre l'outillage avec un service. Un SIEM n'est pas un SOC. Un EDR n'est pas un SOC. Un tableau de bord avec des alertes n'est pas un SOC. Sans les analystes et les playbooks, l'outillage ne produit que du bruit.

La troisième est de ne pas tester la réponse. De nombreuses organisations signent un contrat de SOC et ne réalisent jamais d'exercice de simulation pour voir ce qui se passe réellement lorsqu'un incident est signalé. La première mise à l'épreuve de la relation ne devrait pas être le jour où un incident réel survient.

La quatrième est le chevauchement des responsabilités et une escalade mal définie. Si le SOC, le MSP, l'équipe informatique interne et le fournisseur cloud pensent tous que quelqu'un d'autre surveille un système donné, alors personne ne le surveille. Cartographiez la responsabilité de chacun avant de signer.

La cinquième est de signer un contrat de longue durée sans plan de sortie. Demandez, dès le premier jour, ce qu'il advient de votre contenu de détection, de votre historique d'alertes et de vos données de dossiers si vous souhaitez un jour partir.

Un cadre synthétique pour sélectionner votre SOC

En rassemblant ce qui précède, voici une séquence pratique pour choisir un SOC.

Commencez par définir ce que vous protégez et contre qui. Cartographiez vos actifs les plus critiques, vos scénarios du pire et les régimes réglementaires applicables. Soyez précis.

Décidez ce que vous souhaitez conserver en interne et ce que vous souhaitez externaliser. Les deux extrêmes (SOC entièrement interne contre entièrement externalisé) sont rarement la bonne réponse pour les organisations du marché intermédiaire. Un modèle hybride, où le SOC gère la détection continue et où votre équipe conserve la politique, le risque et la relation stratégique, est généralement le plus praticable.

Fixez un budget réaliste. Les références du secteur pour les services de SOC externalisés sur le marché néerlandais couvrent une fourchette large selon le périmètre et les horaires. N'attendez pas une surveillance 24 heures sur 24 de niveau grande entreprise à des prix de PME, et ne payez pas des prix de grande entreprise pour une couverture de niveau PME.

Établissez votre présélection par type de SOC, pas par nom. Décidez si vous avez besoin d'un spécialiste, d'un intégrateur, d'une plateforme centrée sur l'hébergement ou d'un service porté par un MSP, puis recherchez le prestataire le plus solide de cette catégorie.

Posez les questions ci-dessus, par écrit, et comparez les réponses. Si deux prestataires proposent le « même » service à des prix très différents, les réponses à ces questions expliquent généralement pourquoi.

Enfin, prenez des références. Demandez aux clients actuels ce qui s'est passé lors de leur dernier incident réel, et non lors de leur dernière détection réussie. L'écart entre les deux réponses est instructif.

La place de Guardian360

Nous n'exploitons pas de SOC. Nous sommes délibérément restés en dehors de ce marché, car nous pensons qu'un écosystème de SOC sain profite davantage au client qu'un unique prestataire dominant. Notre rôle se situe une étape plus en amont dans la chaîne.

Un SOC est le plus efficace lorsque l'environnement qu'il surveille est bien compris et que les expositions de base ont déjà été refermées. Guardian360 fournit une visibilité continue sur votre surface d'attaque et vos vulnérabilités, afin que le SOC, quel que soit le modèle choisi, consacre son temps aux menaces réelles plutôt qu'à traquer le bruit provoqué par des erreurs de configuration et des systèmes non corrigés.

Si vous êtes en train de peser une décision concernant un SOC et souhaitez un échange objectif sur celui des quatre modèles ci-dessus qui convient à votre organisation, nous serons heureux d'en discuter avec vous. Nous pouvons également vous mettre en relation avec le partenaire pertinent (NFIR, SLTN, Intermax, Beterbeschermd, Trustteam ou d'autres au sein de notre réseau), selon vos besoins réels.

Le bon SOC est celui qui correspond à votre risque, à votre maturité informatique, à votre secteur et à votre budget. Ce n'est pas nécessairement le plus grand, le moins cher, ou celui qui a répondu le premier à votre demande. Grâce au cadre présenté ci-dessus, votre choix sera au moins pleinement informé.