SOC managé pour PME : quelle protection choisir pour 20 à 200 postes ?

Pour une PME, choisir un SOC managé commence par une question très concrète : qui intervient lorsqu’une alerte tombe et que personne n’est disponible dans l’entreprise ? Le nombre de postes aide à chiffrer le service, mais il ne dit pas quelles données protéger, quelles actions déléguer ni combien de temps une interruption peut durer.

Ce guide s’adresse aux dirigeants, responsables informatiques et petites DSI qui doivent protéger environ 20 à 200 postes. Les trois cas présentés sont fictifs : ils servent à préparer une consultation, pas à imposer un produit ou à annoncer un tarif de marché. Pour la méthode d’achat générale, consultez choisir un SOC managé.

Commencez par une page d’inventaire : postes et serveurs, messagerie, comptes administrateurs, applications métier et accès distants. Indiquez ensuite ce qui se passerait si chaque service devenait indisponible. Une petite équipe qui dépend d’un logiciel de production peut avoir un besoin de continuité plus exigeant qu’une organisation plus grande.

Le SOC ne remplace pas les mises à jour, les sauvegardes ni la maîtrise des accès. Cybermalveillance.gouv.fr recommande de recenser les systèmes critiques et de vérifier les protections élémentaires avant de prioriser les investissements. La surveillance doit compléter ce socle, pas absorber tout le budget au détriment de la restauration.

Notre proposition : demander au candidat de reformuler vos deux scénarios d’incident prioritaires et d’indiquer ce qu’il détecterait, ce qu’il ferait et ce qui resterait à votre charge. Une réponse précise à ce petit exercice est plus utile qu’une longue liste de fonctionnalités.

Sources : Cybermalveillance.gouv.fr — Cybersécurité des TPE/PME

1. 01À préparer — Un inventaire daté, deux interlocuteurs joignables, les outils déjà payés et les horaires auxquels l’équipe peut réellement agir.
2. 02À éviter — Assimiler 50 salariés à 50 actifs : serveurs, postes partagés et identités peuvent être comptés séparément dans le devis.

Un outil EDR et une prestation de surveillance ne sont pas interchangeables. Le premier fournit des capacités techniques ; le contrat de service détermine notamment qui suit les alertes, les qualifie et intervient. Demandez toujours une description des actions, au-delà des étiquettes « SOC », « MDR » ou « protection complète ».

Si vous n’avez personne pour intervenir la nuit, une offre qui se limite à envoyer un courriel vous laisse une responsabilité opérationnelle importante. Une réponse active n’est pas non plus un blanc-seing : isoler un poste nomade et arrêter un serveur métier n’ont pas le même impact. Précisez les autorisations pour chaque catégorie d’actif.

Ces exemples ne sont ni des offres commerciales ni des recommandations automatiques. Ils montrent comment la taille, les outils et les ressources internes peuvent conduire à des consultations différentes. Le bon périmètre dépend aussi des serveurs, des sites et des comptes sensibles.

1. 01Même méthode pour les trois cas — Décrire un incident représentatif, la personne qui décide et le résultat attendu. Ajouter des outils n’est pas une fin en soi.

Avant de changer d’EDR, demandez si le prestataire accepte votre produit, sa version et votre mode d’hébergement. Faites distinguer ce qu’il sait observer de ce sur quoi il peut agir. Une intégration de collecte ne prouve pas à elle seule une capacité de confinement.

La consultation doit préciser qui détient les licences, qui administre les règles, qui supporte l’agent et qui paie une éventuelle migration. Demandez aussi ce que vous récupérez à la fin du contrat. Un service apparemment simple peut devenir coûteux s’il impose de racheter des licences ou de déployer deux agents pendant la transition.

Pour un projet reposant sur des technologies françaises, comprendre la complémentarité HarfangLab–Sekoia explique comment distinguer protection des postes, corrélation des événements et exploitation humaine. Pour d’autres environnements, partez des pages comparer les plateformes techniques puis des offres documentées, sans présumer qu’un partenaire couvre tous les usages.

Demandez deux totaux : la première année, avec la mise en service, puis les années suivantes. Le récurrent peut comporter des licences, l’exploitation du SOC et des options. Ajoutez les frais ponctuels, les volumes dépassés et les hypothèses d’évolution du parc.

Un prix par poste ne suffit pas à comparer si une offre ajoute un minimum mensuel, facture les serveurs autrement ou exclut les identités. Demandez le montant pour votre inventaire exact, puis pour un scénario de croissance convenu. Faites préciser les conditions de baisse du nombre de postes autant que celles de hausse.

Utilisez estimer le budget MDR pour tester des hypothèses, avec les raccourcis 25, 50 ou 200 postes. Les résultats sont pédagogiques et ne constituent ni un prix fournisseur ni une étude tarifaire. La liste anticiper les frais complémentaires aide à préparer les questions sur les compléments. Le modèle de préparer un cahier des charges SOC / MDR permet ensuite de demander le même chiffrage à chaque candidat.

1. 01Le forfait minimum — Quel montant sera facturé si tous les postes ne sont pas encore déployés ? À quelle date commence la facturation ?
2. 02L’incident majeur — Quelles investigations sont incluses, avec quelle limite ? Qui chiffre la restauration et les interventions supplémentaires ?
3. 03La sortie — Quels frais, délais et formats sont prévus pour restituer les données et transférer les accès ?

Faites décrire le traitement d’une alerte hors horaires : canal de notification, interlocuteurs, tentatives de contact, actions autorisées et escalade. Évitez de vous satisfaire d’un simple « 24/7 ». Ce terme doit être décliné pour la surveillance, l’investigation et chaque action de réponse.

Pour un poste utilisateur, vous pouvez demander une procédure de mise à l’écart assortie d’un retour à la normale. Pour un serveur critique, faites arbitrer les conséquences métier avant de définir les autorisations. Le prestataire doit savoir qui peut lever un confinement et comment conserver une trace des décisions.

Notre recommandation éditoriale est d’annexer un tableau des responsabilités partagé avec l’infogérant. Il doit couvrir le prestataire SOC, le responsable informatique et un décideur de secours. La démarche de maîtrise de l’externalisation publiée par l’ANSSI fournit un cadre général de réflexion ; elle ne remplace pas la description précise de votre service.

Sources : ANSSI — Maîtriser les risques de l’externalisation

Le déploiement d’un agent n’est qu’une étape. Prévoyez une réception du service : inventaire rapproché des actifs réellement couverts, collecte des sources attendues, interlocuteurs vérifiés et procédure d’escalade comprise.

Organisez avec le prestataire un test bénin et expressément autorisé, sur des actifs de test désignés. Observez la remontée de l’événement, sa qualification et la notification au bon interlocuteur. Ne lancez pas d’attaque ou d’exercice perturbant la production pour « tester le SOC » sans cadre approuvé.

Après le démarrage, un point de suivi devrait permettre de traiter les actifs silencieux, les alertes récurrentes et les changements de périmètre. Un volume d’alertes élevé n’est pas à lui seul une preuve d’efficacité. Demandez quelles décisions et quelles améliorations concrètes le prestataire propose.

La priorité est de choisir un fonctionnement que votre organisation peut réellement tenir, pas de reproduire le dispositif d’un grand groupe.

Peut-on souscrire sans responsable sécurité ?

C’est un cas à discuter avec les candidats. Il faut néanmoins un interlocuteur interne capable de valider le périmètre et les décisions métier, avec un remplaçant identifié.

Faut-il obligatoirement une couverture permanente ?

La décision dépend des activités à protéger et de la capacité à agir hors horaires. Faites chiffrer les variantes sur un périmètre identique et explicitez le risque résiduel.

Un SOC remet-il automatiquement l’entreprise en état après une attaque ?

Ne le supposez pas. Faites distinguer détection, confinement, investigation, reconstruction et restauration des sauvegardes dans les prestations.

Pour une PME, un SOC managé utile est d’abord un partage de responsabilités compréhensible. Commencez par les actifs critiques, les absences de votre équipe et les actions à déléguer ; comparez ensuite les offres sur ce même besoin.

Passez à préparer un cahier des charges SOC / MDR pour formaliser votre consultation, à estimer le budget MDR pour préparer une enveloppe indicative et à comparer les fournisseurs de SOC managé pour identifier des candidats à interroger.