SOC 24/7 et infogérance d'infrastructure, sous engagements écrits

Une couverture 24/7 réellement tenue demande six à huit analystes en rotation, auxquels s’ajoutent la plateforme, les flux de renseignement et la rétention des journaux. En dessous d’un certain volume, le coût complet d’un SOC interne est difficile à justifier, et le risque de départ d’un analyste clé est structurel. L’arbitrage se fait sur trois points : le volume d’événements à traiter, l’existence d’une astreinte déjà en place, et la sensibilité réglementaire du secteur. Un modèle hybride est fréquent : détection et qualification externalisées, décision de confinement conservée en interne.

Dans l’ordre de rendement : l’annuaire (Active Directory ou Entra ID), parce que la compromission d’identité précède la plupart des mouvements latéraux ; l’EDR sur postes et serveurs ; la messagerie, principal point d’entrée ; puis les équipements de périmètre — pare-feu, proxy, concentrateur VPN. Les journaux applicatifs viennent ensuite, et seulement s’ils sont exploitables. Collecter davantage sans règles de détection associées augmente la facture de rétention sans améliorer la détection.

Par le délai moyen de détection et le délai moyen de réaction, mesurés par criticité et non en moyenne globale — une moyenne masque les incidents majeurs. S’y ajoutent le taux de faux positifs, qui conditionne la soutenabilité du dispositif, et la couverture des techniques du référentiel MITRE ATT&CK pertinentes pour votre secteur. Ces indicateurs figurent dans la revue périodique, avec les écarts constatés par rapport aux engagements.

L’EDR instrumente le poste et le serveur : il détecte et bloque localement. Le SIEM centralise et corrèle les journaux de toutes les sources pour faire ressortir ce qu’aucune source ne voit seule. Le XDR réunit ces fonctions et y ajoute le renseignement sur les menaces, en reliant postes, identités, réseau et messagerie dans une même chaîne d’analyse. Le SOAR exécute les réponses déterministes sans intervention humaine. Un SOC sans SOAR passe son temps sur des gestes répétitifs ; un SOAR sans analyste ne sait pas qualifier.

Par un réglage initial pendant la période d’observation, avant mise sous engagement : les comportements légitimes propres à votre environnement sont identifiés et les règles ajustées. Ensuite, chaque alerte qualifiée en faux positif alimente une revue périodique des règles. Le taux de faux positifs est suivi comme un indicateur de service : au-delà d’un certain seuil, ce sont les règles qu’il faut corriger, pas la vigilance des analystes.

Les délais sont contractualisés par niveau de criticité, pas annoncés globalement, et la matrice d’escalade nomme les interlocuteurs à chaque palier — du premier niveau jusqu’à l’ingénierie et à votre RSSI. Les horaires de couverture étendue et l’astreinte sont également écrits. Ce point se discute à la contractualisation, en fonction du RTO que vous retenez par application.

Par l’immuabilité : une copie que personne, y compris un compte d’administration compromis, ne peut modifier ni supprimer avant l’échéance de rétention. À quoi s’ajoutent l’isolation de la copie hors du domaine d’authentification principal, et des restaurations réellement rejouées à intervalle régulier. La règle 3-2-1 reste le socle, étendue à 3-2-1-1-0 : une copie immuable, et zéro erreur à la vérification.

Application par application, à partir du coût d’indisponibilité et de la tolérance à la perte de données. Un RTO de quatre heures et un RPO de quinze minutes n’impliquent pas la même architecture qu’un RTO de deux jours : réplication synchrone, sauvegarde incrémentale ou restauration complète relèvent de budgets différents. L’exercice consiste à classer les applications, pas à viser le meilleur RTO partout — ce qui coûterait cher sans servir.

Par un découpage explicite des niveaux. Le cas le plus fréquent : premier niveau et supervision hors heures ouvrées externalisés, deuxième et troisième niveaux partagés, décisions d’architecture conservées en interne. Le RACI est écrit au démarrage et les accès à privilèges passent par un bastion, avec sessions enregistrées : votre équipe garde la visibilité sur ce que fait le prestataire.

Elle élargit nettement le nombre d’entités concernées, y compris des entreprises de taille intermédiaire et certains sous-traitants d’entités essentielles, et renforce les obligations de gestion des risques, de traitement des incidents et de notification dans des délais courts. Concrètement, cela déplace la supervision, la journalisation et le plan de reprise du rang de bonne pratique à celui d’obligation documentable. Le périmètre exact dépend de votre secteur et de votre taille : c’est un point à qualifier avant de dimensionner le dispositif.