SOC interne ou externalisé : les critères qui décident vraiment

La question revient à chaque fois qu’une organisation décide de se doter d’une capacité de détection : construire en interne, acheter un service, ou combiner les deux. Elle est presque toujours posée comme une comparaison de coûts. C’est le plus mauvais angle : à périmètre équivalent, les écarts de prix sont moins déterminants que les écarts de résultat.

Ce que la surveillance externalisée fait bien

Un prestataire mutualise trois choses qu’une organisation isolée finance difficilement : la couverture horaire continue, la veille sur les modes opératoires, et l’expérience de volume.

La couverture continue est le point le plus tangible. Assurer une présence 24 heures sur 24 et 7 jours sur 7 demande six à huit personnes formées, en tenant compte des congés, de la rotation et du renouvellement. Peu de structures de moins de mille salariés peuvent le financer et, surtout, le maintenir : recruter est difficile, mais retenir des analystes en horaires décalés l’est davantage.

L’expérience de volume compte autant. Un analyste qui voit passer les incidents de trente clients reconnaît un enchaînement inhabituel plus vite qu’un analyste qui ne voit qu’un seul environnement. C’est un avantage structurel, difficile à compenser en interne.

Ce que la surveillance externalisée fait mal

Deux limites reviennent systématiquement, et aucune ne se corrige avec un meilleur contrat.

La connaissance du contexte. Un prestataire ne sait pas qu’une connexion depuis l’étranger un dimanche correspond à un directeur en déplacement, ni qu’un transfert massif vers un stockage externe est la sauvegarde d’un projet qui se termine. Il remonte l’alerte, quelqu’un chez vous l’écarte, et le cycle se répète. Au bout de quelques mois, ces alertes sont écartées par réflexe — y compris le jour où elles ont raison.

Cette connaissance ne se transfère pas dans un document d’accompagnement. Elle se construit par la présence, et elle se périme à chaque réorganisation.

La capacité d’action. C’est la limite décisive. La majorité des contrats s’arrêtent à la notification : le prestataire détecte, qualifie, et prévient. Ce qui se passe ensuite dépend entièrement de vous. Si personne n’est joignable à 3 heures du matin, ou si personne n’a l’autorité pour isoler un serveur de production sans validation, le délai de détection ne sert à rien.

Une organisation qui détecte en dix minutes et réagit en huit heures n’est pas mieux protégée qu’une organisation qui détecte en deux heures et réagit en trente minutes. C’est le délai total qui compte, et c’est presque toujours la deuxième moitié qui domine.

Les cinq questions à trancher avant de consulter

• Qui décide d’isoler une machine, et sous quel délai ? Si la réponse suppose une chaîne de validation en journée ouvrée, la surveillance continue est en grande partie décorative.
• Le prestataire peut-il agir, ou seulement alerter ? Une capacité d’action déléguée — isolement d’un poste, blocage d’un compte — change la nature du service, et son prix. Elle suppose un mandat écrit et des limites explicites.
• Qui possède les journaux ? À la fin du contrat, récupérez-vous l’historique dans un format exploitable, ou repartez-vous de zéro chez le suivant ? Ce point se négocie à la signature, jamais après.
• Qui écrit les règles de détection ? Un service qui n’applique que ses règles génériques détectera ce qui est générique. Les scénarios propres à votre métier — fraude interne, accès anormal à un référentiel spécifique — supposent des règles dédiées, et quelqu’un chez vous pour les spécifier.
• Que se passe-t-il pendant la période de montée en charge ? Les premiers mois produisent un volume d’alertes non pertinentes considérable. Cette phase est normale ; elle doit être budgétée en charge interne, pas subie.

Le modèle qui fonctionne le plus souvent

Pour la plupart des organisations de taille intermédiaire, la répartition efficace n’est ni l’un ni l’autre.

La surveillance de premier niveau — collecte, corrélation, tri, couverture nocturne — est externalisée : c’est ce qui coûte cher à internaliser et ce que la mutualisation améliore réellement.

La qualification et la décision restent en interne, avec une ou deux personnes qui connaissent l’environnement, arbitrent, et disposent d’un mandat clair pour agir sans attendre un comité. Ce n’est pas une équipe, c’est un rôle — souvent tenu à temps partiel par un profil déjà présent.

Ce partage évite les deux échecs classiques : l’internalisation qui s’épuise faute de moyens, et l’externalisation totale qui produit des rapports mensuels que personne n’exploite.

Un indicateur pour trancher

Avant de lancer une consultation, mesurez une chose : lors du dernier incident sérieux, combien de temps s’est écoulé entre le moment où quelqu’un a su et le moment où une action de confinement a été prise ?

Si ce délai se compte en heures, le problème n’est pas la détection. Acheter de la détection supplémentaire ne le corrigera pas — cela produira simplement une trace plus précise du temps perdu.

Sources

• ANSSI — référentiel d’exigences applicable aux prestataires de détection d’incidents de sécurité (PDIS)
• ANSSI / CERT-FR — Panorama de la cybermenace, sur les délais de détection et de réaction
• ISO/IEC 27035 — gestion des incidents de sécurité de l’information