SOC managé pour PME : comprendre ce que l’offre couvre vraiment avant de signer
Un SOC managé pour PME se facture généralement entre 690 € et plus de 3 000 € HT par mois selon les prestataires, mais ce chiffre seul ne dit rien sur ce que votre entreprise surveille réellement, pendant quels horaires et avec quel niveau de réponse garanti. Les variables qui font l’essentiel de la différence entre deux offres de prix comparable sont les sources de logs incluses, les horaires de couverture et les engagements contractuels formalisés. Cet article les détaille, avec une grille de questions à poser avant de signer.
Ce qu’un SOC managé fait concrètement
Un Security Operations Center managé est un service externalisé de surveillance continue de votre environnement informatique. Des analystes qualifiés, appuyés sur des outils de détection (SIEM, XDR), collectent vos journaux d’événements, identifient les comportements anormaux, qualifient les alertes et déclenchent une réponse selon le niveau de service contractualisé. Ce niveau de service varie considérablement d’une offre à l’autre. Dans les formules d’entrée de gamme, le prestataire surveille, génère des alertes et produit des rapports. La décision d’action reste entièrement de votre côté. Dans les formules intermédiaires à complètes, le prestataire trie les alertes, peut bloquer une menace ou isoler un poste compromis, et vous accompagne dans la remédiation. La distinction entre surveillance passive et réponse active est le premier point à vérifier dans tout contrat. Un SOC managé ne remplace pas un firewall, un antivirus ou une politique de sauvegarde. Il se superpose à une infrastructure existante pour en surveiller les signaux et accélérer la détection des compromissions. S’il identifie des lacunes de configuration, il les remontera sans les corriger automatiquement.8/5 ou 24/7 : un choix qui engage votre niveau de risque réel
La couverture horaire est l’un des écarts les plus structurants entre les offres, et souvent l’un des moins bien expliqués dans les plaquettes commerciales. Une couverture 8/5 signifie que votre environnement n’est pas surveillé les nuits, les week-ends et les jours fériés. Pour une PME à activité strictement diurne, sans accès externe en dehors des heures de bureau, ce modèle peut suffire. Si votre entreprise utilise des accès distants, des applications cloud accessibles en permanence, ou si elle travaille avec des partenaires sur d’autres fuseaux horaires, les attaques surviennent précisément pendant les plages non couvertes. Une couverture 24/7 implique des équipes d’analystes en rotation permanente. Elle est systématiquement plus coûteuse, mais elle seule garantit qu’une alerte critique détectée à 3h du matin sera qualifiée et traitée avant l’ouverture de vos bureaux. La couverture horaire et le délai de qualification d’alerte sont deux informations à lire ensemble. Un prestataire qui affiche 24/7 mais dont le SLA prévoit un délai de qualification de 4 heures offre une garantie très différente d’un prestataire s’engageant à qualifier sous 30 minutes. La couverture horaire sans le délai de réponse formalisé ne suffit pas à comparer deux offres.Sources de logs : ce que le SOC surveille réellement
Le nombre et la nature des sources de logs incluses dans un SOC conditionnent directement la valeur du service. Une offre qui ne surveille que les postes de travail Windows ne détectera pas une attaque menée via une application web, un équipement réseau ou un compte cloud compromis. Les sources de logs d’une PME standard couvrent plusieurs catégories. Les endpoints (postes de travail, serveurs), les équipements réseau (firewall, switch, VPN), les applications métier, les environnements cloud (Microsoft 365, Google Workspace, AWS, Azure) et les accès distants en constituent les principaux. Toutes ne sont pas incluses par défaut dans les offres d’entrée de gamme, et chaque catégorie supplémentaire peut entraîner un surcoût. La rétention des logs désigne la durée pendant laquelle les événements sont conservés et restent consultables pour investigation. Une rétention de 30 jours limite sévèrement les possibilités d’analyse rétrospective après un incident. Une durée de 90 jours minimum est généralement recommandée pour permettre une investigation forensique utile. Le volume de logs ingéré influe aussi directement sur le tarif. Les offres les moins chères plafonnent souvent la volumétrie incluse. Si votre environnement génère un volume supérieur au seuil prévu, soit le service est dégradé, soit des frais variables s’appliquent. Ce point figure rarement dans la plaquette commerciale, mais systématiquement dans le contrat.Les critères contractuels qui révèlent la qualité réelle du service
Le SLA de qualification d’alerte
Désigne le délai maximal entre la détection d’un événement et sa qualification par un analyste humain. Ce délai varie de quelques minutes à plusieurs heures selon les offres. Plus il est court, plus le service est exigeant.La procédure d’escalade
Décrit qui vous contacte quand une alerte est confirmée comme incident, par quel canal, dans quel délai et avec quel niveau de détail. Un prestataire sérieux formalise cette procédure dans le contrat.Les livrables réguliers
Structurent la visibilité que vous avez sur votre sécurité. Un rapport mensuel doit indiquer le nombre d’alertes déclenchées, leur qualification, les actions entreprises et les recommandations d’amélioration. Sans ce livrable, vous payez un service sans moyen d’en évaluer la valeur dans le temps.La réponse à incident
Désigne la capacité du prestataire à intervenir activement. Elle est incluse dans l’abonnement pour certaines offres, facturée à l’acte pour d’autres. Les termes exacts doivent figurer dans la description de service, pas dans un avenant ultérieur.La réversibilité
Précise comment vous récupérez vos logs et configurations si vous changez de prestataire. Cette clause est souvent absente des contrats de durée courte, et sa négociation devient difficile une fois le contrat signé.Les variables qui expliquent les écarts de prix
Le prix d’un SOC managé varie selon au moins cinq paramètres cumulatifs que les prestataires n’affichent pas toujours en détail dans leurs offres. Plusieurs sources francophones publient des estimations qui illustrent l’étendue des fourchettes. Selon cyber-diagnostic.fr, une PME de moins de 50 postes peut s’attendre à une facturation mensuelle entre 800 € et 1 500 € HT. Entre 50 et 200 postes, la fourchette monte à 1 500 € et 3 000 € HT par mois. Une autre estimation, publiée par formind.fr, situe le coût annuel du SOC externalisé entre 150 000 € et 220 000 € selon le niveau de service et la volumétrie. Certaines offres commerciales affichent des entrées de gamme à partir de 690 € par mois pour un niveau essentiel, et jusqu’à 1 490 € par mois pour un niveau complet (selon jouclacyberdefense.fr). Ces écarts s’expliquent par la combinaison du nombre d’endpoints surveillés, du volume de logs ingéré, des horaires de couverture, de l’inclusion ou non de la réponse active, et du niveau de personnalisation des règles de détection. Comparer une offre à 690 € et une offre à 3 000 € sans avoir identifié ces variables revient à évaluer des services aux périmètres incomparables. Pour une PME en Côte d’Ivoire, s’ajoutent des considérations de connectivité, de localisation des données et de capacité de réponse locale. Un prestataire dont l’escalade opère uniquement depuis l’Europe n’offre pas le même niveau de réactivité qu’un partenaire capable d’intervenir sur le fuseau horaire d’Abidjan ou de se déplacer physiquement si l’incident l’exige.Avant de signer : sept questions pour qualifier une offre
Questions fréquentes sur le SOC managé pour PME
Un SOC peut être interne (géré en propre par l’entreprise, exigeant une équipe dédiée et des outils coûteux à maintenir), externalisé (délégué à un prestataire spécialisé, accessible aux PME sans équipe sécurité en place) ou hybride (supervision partagée entre une équipe interne et un partenaire externe). Pour la grande majorité des PME, le SOC externalisé ou le service MDR représente l’option la plus réaliste en termes de rapport couverture/investissement.
Le MDR (Managed Detection and Response) intègre nativement la réponse active dans son périmètre. Là où un SOC classique peut se limiter à détecter et alerter, le MDR inclut la capacité d’isoler un endpoint ou de bloquer une activité malveillante sans intervention humaine de votre côté. Les deux termes sont parfois utilisés de façon interchangeable par les prestataires. Vérifiez la description fonctionnelle plutôt que l’étiquette commerciale.
Oui, à condition de choisir un prestataire dont l’offre intègre un interlocuteur technique dédié, capable d’expliquer les alertes en langage opérationnel, de prioriser les actions et d’accompagner la remédiation. Ce niveau de prise en charge doit être spécifié dans le contrat, pas simplement promis à l’oral.
Un prix est cohérent quand vous savez combien d’endpoints il couvre, quelles sources de logs sont incluses, quels horaires il garantit, quel délai SLA il formalise et si la réponse active est comprise dans l’abonnement. Une offre sans détail sur ces variables crée un risque contractuel. Une offre plus élevée mais documentée est plus facile à comparer et à défendre en interne.
