SOC externalisé : les postes de coûts que les devis oublient

Un devis de SOC externalisé tient souvent sur une page. Un prix par mois, un nombre de sources, une promesse de surveillance. Ce que la page ne dit pas, c'est ce qui se passe à 3 h du matin un dimanche, combien de temps vos journaux restent lisibles, ou ce que vous récupérez le jour où vous changez de prestataire.

Ce texte ne contient aucun prix : un chiffre moyen n'aurait pas de sens. Il contient la liste des lignes à exiger dans le devis, pour que la comparaison entre deux offres porte sur la même chose.

Le périmètre : ce que « surveillé » veut dire

Première question, la plus négligée : qu'est-ce qui est réellement branché ? Un SOC ne détecte que ce qu'il voit. Postes, serveurs, annuaire, messagerie, pare-feu, cloud, applications métier : chaque source ajoutée est un travail d'intégration, de normalisation, de règles de détection. Certains prestataires facturent à la source, d'autres au volume de logs, d'autres à l'utilisateur. Ces modèles se comportent très différemment quand une application devient bavarde.

Demandez la liste nominative des sources incluses au départ. Puis demandez le coût d'ajout d'une source, et celui d'une source qui change de format après une mise à jour. Une application qui modifie la structure de ses journaux peut rendre aveugle une règle de détection sans que personne ne le remarque, sauf si le contrat prévoit une vérification de santé des sources.

Reste ce que vous n'avez pas encore : le SaaS adopté sans passer par la DSI, la filiale rachetée en cours d'année. Si le périmètre est figé, tout ce qui arrive ensuite est hors surveillance ou hors forfait.

La rétention des logs : deux durées, pas une

On parle de rétention comme d'un chiffre unique. Il y en a au moins deux. La durée pendant laquelle les journaux sont consultables en recherche rapide, celle qui sert à investiguer. Et la durée pendant laquelle ils sont archivés, plus lentement accessibles, parfois à un autre tarif.

La CNIL recommande de conserver les événements de journalisation sur une période glissante comprise entre six mois et un an, sauf obligation légale ou besoin particulier comme l'analyse post-incident. Elle précise aussi que les journaux ne doivent pas être gardés indéfiniment. Cette fourchette donne un point d'appui pour la discussion, mais elle ne règle pas la question du coût : stocker longtemps, c'est payer. Le devis doit donc dire quelle part est incluse, et à quel prix chaque palier supplémentaire.

Trois questions à poser :

• Où sont stockés les journaux, et sous quelle juridiction ?
• Les journaux restent-ils à vous, exportables dans un format documenté, ou seulement lisibles dans la console du prestataire ?
• Que devient l'historique à la fin du contrat ?

La troisième est celle qui coûte le plus cher quand elle est ignorée. Un incident découvert six mois après le départ du prestataire, sur des journaux que vous ne pouvez plus lire : c'est un scénario plausible.

L'astreinte : surveiller n'est pas intervenir

Beaucoup d'offres s'arrêtent à l'alerte. Le SOC détecte, qualifie, vous prévient. Ensuite, c'est à vous. Or une alerte à 2 h du matin sur un compte administrateur compromis exige qu'une personne de chez vous, joignable, ait l'autorité de couper un accès ou d'isoler une machine.

Il faut faire écrire, noir sur blanc, trois choses. Les plages de couverture réelles (24 h sur 24, ou heures ouvrées avec astreinte, ce n'est pas le même produit). Le délai de qualification d'une alerte critique, engagé contractuellement avec des pénalités, pas « visé ». Et le périmètre des actions que le prestataire peut entreprendre seul : isoler un poste, désactiver un compte, bloquer une adresse. Chaque action autonome suppose une délégation écrite de votre part, et donc une responsabilité que votre direction doit assumer en connaissance de cause.

Sans personne à joindre la nuit, le meilleur SOC ne vous protège qu'à moitié. Ce coût n'est pas dans le devis du prestataire. Il est dans le vôtre.

La réponse à incident : le poste le plus souvent absent

Détection et réponse sont deux métiers. Un contrat de SOC couvre généralement la première. La seconde, c'est l'investigation approfondie, la contention, l'éradication, la reconstruction, la communication de crise. Elle est parfois proposée en option, avec un nombre d'heures prépayé, parfois pas du tout.

Interrogez le prestataire sans détour :

• Les heures de réponse à incident sont-elles incluses, et combien ?
• Au-delà du forfait, quel taux, et avec quel délai de mobilisation ?
• Le même prestataire peut-il intervenir sur votre périmètre sans avoir à le redécouvrir ?
• Qui coordonne si votre assureur cyber impose son propre intervenant ?

Ce dernier point mérite une vérification avant l'incident, pas pendant. Certaines polices d'assurance désignent des prestataires. Si votre SOC n'en fait pas partie, vous aurez deux équipes qui se découvrent au pire moment.

La sortie du contrat : le coût de la réversibilité

Le SOC est une dépendance particulière. Il connaît vos règles de détection, vos exceptions, vos faux positifs écartés au fil des mois. Ce savoir accumulé est un actif, et dans la plupart des contrats il reste chez le prestataire.

À faire chiffrer ou à faire écrire : la restitution des règles de détection et des paramétrages spécifiques à votre environnement, la restitution des journaux selon un format et un délai précisés, la durée du préavis, la période de recouvrement avec le successeur, et la suppression attestée des données chez l'ancien prestataire. Si les règles de détection sont propriétaires et non exportables, dites-vous que vous louez une compétence, pas que vous la construisez. Ce n'est pas forcément un mauvais choix, mais c'est un choix à faire en le sachant.

Regardez aussi la durée d'engagement et la résiliation anticipée.

Avant de signer

Demander à chaque candidat le même gabarit de réponse : sources incluses, rétention rapide et archivée, plages de couverture, délais engagés, heures de réponse à incident, conditions de sortie. Mettre les réponses côte à côte. L'offre la moins chère sur la page de garde est rarement la moins chère une fois les lignes manquantes ajoutées.

Puis tester. Un exercice de simulation sur un scénario simple (compte compromis, poste infecté) montre qui appelle, en combien de temps, avec quelle information, et ce que le prestataire attend de vous.

Le SOC externalisé peut être un bon achat pour une PME qui n'a pas les moyens de tenir une veille permanente. À condition de savoir ce qu'on achète, et surtout ce qu'on n'achète pas.