Cahier des charges SOC / MDR : modèle pour obtenir des devis comparables

Un cahier des charges SOC / MDR utile permet à chaque candidat de répondre au même besoin et de rendre visibles ses exclusions. Il n’a pas besoin d’accumuler les exigences techniques : il doit décrire les actifs à protéger, les décisions à déléguer et le résultat attendu du service.

Vous trouverez ici un modèle vierge et un dossier fictif rempli pour une PME de 50 postes, avec trois propositions commerciales inventées. Aucun montant n’est un tarif fournisseur ou une moyenne de marché. Ces documents sont des supports de consultation, pas des contrats prêts à signer ; les clauses sensibles doivent être validées par les personnes compétentes.

Présentez l’activité, les sites, les interlocuteurs et deux incidents dont vous voulez limiter l’impact. Listez les catégories d’actifs : un nombre de salariés ne remplace pas l’inventaire des postes, serveurs, identités et services cloud. Signalez les contraintes qui sont certaines et celles qui restent à confirmer.

Indiquez les outils déjà déployés, les licences disponibles et les dates de renouvellement. Ne partagez pas de secrets, de mots de passe ou de détails d’architecture sensibles dans un document diffusé largement. Les informations techniques nécessaires à une étude approfondie peuvent être communiquées dans un cadre d’accès adapté.

Le guide général de l’ANSSI sur l’externalisation propose de partir des risques et des exigences propres à l’organisation. Notre modèle applique ce principe à une consultation SOC : il vous aide à poser les questions, sans prescrire une architecture unique.

Sources : ANSSI — Maîtriser les risques de l’externalisation

Demandez à chaque candidat de reprendre le même tableau, ligne par ligne. Pour chaque service, la réponse doit identifier le périmètre, les limites et la pièce qui l’atteste. Une case vide signifie « non documenté », pas « inclus ».

Pour une fonctionnalité annoncée comme disponible, demandez si elle est activée dans l’offre chiffrée, avec quels prérequis et à quel coût. Un connecteur au catalogue n’est pas la preuve de son installation ni de son exploitation dans votre environnement.

Un délai ne se compare que si son point de départ et son résultat sont définis. Faites distinguer la réception d’un événement, sa qualification, la notification au client et l’exécution d’une action. Demandez les plages horaires, les exceptions et la manière de produire une preuve de respect de l’engagement.

Il n’existe pas dans ce modèle de délai universel que tous les acheteurs devraient exiger. Définissez vos besoins selon l’impact métier et demandez aux candidats ce qu’ils peuvent réellement engager. Une médiane observée dans une présentation commerciale n’est pas un délai maximal contractuel.

Complétez les responsabilités avec l’infogérant et les équipes internes : qui décide d’isoler un actif, qui exécute, qui est informé et qui autorise le retour en service ? Ajoutez une procédure de secours lorsqu’un interlocuteur ne répond pas. Faites préciser les prestations prévues si l’incident dépasse le périmètre du SOC.

Fixez une durée de comparaison et un inventaire communs. Séparez le mensuel récurrent de la mise en service, puis identifiez les prestations variables. Demandez une variante à périmètre constant pour éviter de confondre réduction de prix et suppression de couverture.

Pour la première année, additionnez douze mois d’abonnement, la mise en service et les frais identifiés. Sur trois ans, utilisez trente-six mensualités seulement si l’hypothèse de prix constant est explicitement retenue ; sinon, appliquez les modalités d’évolution du devis. Les options nécessaires pour satisfaire le besoin doivent entrer dans le total comparable.

Ne traitez pas un prix manquant comme zéro. Faites préciser les unités facturées, les minimums, l’indexation, les changements de volume et les frais de sortie. Les coûts d’incident non prévisibles doivent rester visibles en tant que risques ou scénarios, sans être artificiellement ramenés à un forfait.

1. 01À joindre — Votre inventaire et une hypothèse de croissance, avec le prix demandé pour chaque scénario.
2. 02À consulter — estimer le budget MDR pour les simulations pédagogiques et anticiper les frais complémentaires pour les postes complémentaires à faire chiffrer.

Imaginons une entreprise de services avec 50 postes de travail, 50 identités et un environnement de messagerie cloud. Il n’y a pas de serveur local dans ce cas de travail. Un responsable informatique est disponible en journée, sans astreinte nocturne ; un décideur de secours est nommé.

Le besoin commun demandé aux trois candidats comprend la surveillance permanente des sources convenues, la qualification des alertes et des actions de confinement définies sur les postes et les identités. La restauration du système, l’investigation approfondie hors périmètre et les autres interventions exceptionnelles doivent être chiffrées séparément.

Pour rendre l’exercice calculable, on suppose un périmètre stable, des prix HT constants, aucune consommation excédentaire et aucun frais de sortie sur la période comparée. Ce sont des hypothèses fictives, pas des caractéristiques usuelles du marché. Le document rempli détaille ces hypothèses et les décisions restant à valider.

Les offres A, B et C ci-dessous sont entièrement inventées. Elles ne représentent aucun fournisseur référencé sur le site. L’offre A affiche 600 € HT par mois, mais demande 100 € de plus pour le périmètre identité et 200 € pour les actions de réponse nécessaires à cet exercice. À besoin égal, son abonnement comparable atteint donc 900 €.

Les offres B et C sont supposées couvrir le même besoin dans leur forfait. Les différences de prix ne démontrent ni une différence de qualité ni une disponibilité réelle. Cet exemple est distinct des coefficients du calculateur : il montre une méthode de lecture de devis, pas une estimation commerciale.

1. 01Ce que l’exemple montre — L’offre A n’est pas la moins chère à besoin égal. C est moins coûteuse la première année, tandis que B a le total le plus bas sur trois ans, dans ces seules hypothèses.
2. 02Ce qu’il ne montre pas — Le meilleur fournisseur. Les preuves de service, les limites, la réception et les conditions contractuelles doivent encore être examinées.

Le cahier des charges doit préciser ce qui permettra de constater que le service est prêt. Proposez une réception fondée sur les actifs couverts, les sources reçues, les contacts joignables et un scénario de notification validé ensemble.

Un exercice technique doit être bénin, expressément autorisé et circonscrit à des actifs désignés. Demandez un compte rendu qui relie l’événement à la collecte, à la qualification et à l’escalade. La procédure doit aussi prévoir quoi faire lorsque l’un de ces critères n’est pas satisfait.

Faites préciser le lien entre déploiement, réception et début de facturation. Définissez enfin les points de suivi : changements d’inventaire, collecte interrompue, qualité des escalades et amélioration des règles. Le modèle propose ces rubriques à compléter ; il ne remplace pas votre recette technique.

Commencez par les exigences indispensables : capacité à couvrir les actifs retenus, responsabilités acceptables et contraintes internes validées. Ne compensez pas une exigence indispensable non satisfaite par un bon prix. Une information absente appelle une clarification écrite.

Pour les candidats restant en lice, utilisez des critères décidés avant de recevoir les réponses : adéquation au besoin, preuves de fonctionnement, simplicité d’exploitation, coût complet et réversibilité. Si vous utilisez une notation, gardez visibles les justificatifs et les incertitudes plutôt que de produire un classement automatique trompeur.

Archivez la version du besoin, les réponses, les annexes et les réserves levées. Faites valider les clauses de responsabilité, de données et de sortie par les personnes compétentes. Pour un achat relevant de procédures réglementées, ce modèle éditorial ne remplace pas les documents ni les validations exigés par votre organisation.

Le bon cahier des charges rend les offres comparables sans prétendre supprimer toutes les incertitudes. Il distingue le besoin, la preuve et le prix, puis rend visibles les décisions encore à prendre.

Commencez avec le modèle vierge, utilisez le cas de 50 postes comme exemple et adaptez-le à votre inventaire réel. Poursuivez avec choisir un SOC managé pour la méthode générale, choisir un SOC managé pour une PME pour les petites équipes ou comparer les fournisseurs de SOC managé pour identifier les candidats à consulter.