Le coût d’un SOC pour une PME ne se résume pas à un tarif catalogue : il dépend de quatre variables, à savoir la couverture horaire, le périmètre surveillé, la profondeur de réponse et la part d’automatisation. Un SOC interne réellement ouvert jour et nuit impose une équipe de plusieurs équivalents temps plein avant même le premier outil, alors qu’un SOC externalisé transforme ce coût fixe en abonnement dont le prix suit ces mêmes variables.
Cet article ne donne volontairement aucune grille tarifaire inventée. Il vous donne la méthode pour lire un devis, construire votre propre estimation interne et comparer les offres à périmètre égal.
Pourquoi le coût d’un SOC ne tient pas dans un tarif unique
Un SOC (Security Operations Center) n’est pas un logiciel que l’on achète, c’est un service qui combine trois briques : des outils de collecte et de détection (EDR, SIEM, sondes), des personnes capables de qualifier les alertes et une procédure de réponse. Chaque brique suit sa propre logique de coût. Les outils coûtent au volume (nombre de postes, de serveurs, quantité de journaux), les personnes coûtent au temps de présence, et la réponse coûte à l’intensité de l’intervention.
C’est pour cela que deux devis pour « un SOC » peuvent sembler incomparables : l’un couvre les postes de travail en heures ouvrées avec une simple notification, l’autre surveille Microsoft 365, le pare-feu et le cloud en continu avec confinement à distance. Avant de parler de prix, il faut donc fixer précisément ce que l’on achète.
Variable 1 : la couverture horaire, le poste le plus lourd
Une année compte 8 760 heures (365 jours multipliés par 24 heures). En France, la durée légale annuelle de travail d’un salarié à temps plein est de 1 607 heures. Pour tenir un seul poste d’analyste en continu, il faut donc environ 5,5 équivalents temps plein, avant même de compter les congés, la formation, les absences et le recouvrement entre deux équipes.
Ce calcul explique l’essentiel de l’écart entre les offres :
- Heures ouvrées uniquement : le coût humain reste faible, mais une attaque lancée un vendredi soir n’est traitée que le lundi matin. Or les rançongiciels sont justement déclenchés en dehors des heures de bureau.
- Astreinte : une personne joignable la nuit, sans surveillance active. Le délai de réaction dépend alors de la capacité de l’outil à réveiller quelqu’un pour les bonnes raisons, et seulement pour elles.
- Surveillance 24/7 active : c’est la seule formule qui détecte et contient pendant la nuit, et c’est celle qu’une PME ne peut presque jamais financer en interne.
Variable 2 : le périmètre surveillé
Le deuxième facteur est le volume de ce que l’on surveille. Les offres se facturent le plus souvent au nombre d’actifs (postes, serveurs, utilisateurs) ou au volume de journaux ingérés. Avant toute consultation, listez précisément :
- les postes et serveurs équipés, ou à équiper, d’un EDR ;
- les services cloud : Microsoft 365, Google Workspace, comptes AWS ou Azure ;
- les équipements réseau : pare-feu, VPN, passerelles d’accès distant ;
- les applications métier critiques exposées sur Internet.
Un périmètre trop étroit fait baisser le devis mais crée des angles morts : les intrusions qui touchent les PME passent régulièrement par un VPN, une messagerie ou un outil d’administration à distance, pas uniquement par un poste de travail. À l’inverse, envoyer tous les journaux sans tri fait grimper la facture de stockage sans améliorer la détection.
Variable 3 : la profondeur de réponse
Détecter n’est pas répondre. Trois niveaux de service coexistent sur le marché, et leur coût n’a rien à voir :
- Notification : le prestataire vous alerte, votre équipe informatique agit.
- Confinement : le prestataire isole un poste, désactive un compte ou bloque une adresse à distance, selon des règles validées avec vous à l’avance.
- Investigation et remédiation : analyse de l’intrusion, recherche de persistance, accompagnement jusqu’au retour à la normale.
Pour une PME sans équipe sécurité dédiée, la notification seule revient souvent à recevoir une alerte en pleine nuit sans personne pour la traiter. Vérifiez aussi le cadre de confiance du prestataire : l’ANSSI publie un référentiel d’exigences pour les prestataires de détection des incidents de sécurité (PDIS), utile comme grille de questions même si vous ne visez pas un prestataire qualifié.
Variable 4 : l’automatisation et le tri des alertes
Un SOC reçoit bien plus d’alertes qu’une équipe humaine ne peut en lire. Le coût réel dépend donc de la part du tri qui est automatisée : chaque alerte qualifiée à la main représente du temps d’analyste, facturé directement ou indirectement. Le sujet est détaillé dans notre article sur le bruit des alertes dans un SOC saturé.
C’est aussi là que les modèles économiques divergent le plus. Chez ucyber.ai, le SOC MSSP 24/7 Agentique assure la surveillance continue et le tri par notre IA agentique, toujours inclus ; le SOC MSSP 24/7 Expert ajoute, en option, l’escalade vers nos analystes humains. Grâce à notre IA agentique, ucyber.ai délivre un SOC environ 10× moins cher qu’un SOC interne — un écart qu’un MDR traditionnel n’atteint pas. Quel que soit le prestataire consulté, demandez comment les alertes sont triées et qui décide de l’escalade.
Les coûts cachés que les devis oublient
- Le déploiement : installation des agents, raccordement des sources, réglage des règles de détection. Prévoyez du temps de votre équipe informatique, même avec un prestataire.
- Les licences d’outils : l’EDR ou le SIEM sont-ils inclus, ou refacturés à part ?
- La conservation des journaux : la durée de rétention a un coût de stockage direct, et elle conditionne votre capacité d’enquête après un incident.
- Les obligations de notification : une violation de données personnelles doit être notifiée à la CNIL dans un délai de 72 heures si possible, et les entités concernées par la directive NIS2 ont leurs propres délais de signalement. Sans détection, ces délais sont intenables.
- La rotation du personnel : en interne, le départ d’un analyste formé coûte des mois de recrutement et de montée en compétence.
- La sortie du contrat : récupérez-vous vos journaux et vos règles de détection si vous changez de prestataire ?
Comparer un SOC interne et un SOC externalisé à périmètre égal
La seule comparaison honnête se fait à périmètre, couverture et profondeur de réponse identiques. Construisez une grille simple avec, pour chaque option :
- le coût humain : nombre d’équivalents temps plein nécessaires pour la couverture visée, salaires chargés, formation, remplacement ;
- le coût outils : licences EDR et SIEM, stockage, intégrations ;
- le coût de pilotage : temps de votre DSI pour encadrer l’équipe ou le prestataire ;
- le niveau de service réel : délai de prise en charge contractuel, actions de confinement autorisées, rapports fournis.
Pour la plupart des PME et ETI, l’exercice montre vite que l’enjeu n’est pas seulement budgétaire : trouver et garder les compétences est souvent plus difficile que de les payer, comme nous l’expliquions dans SOC et IA en 2026, un défi humain avant d’être technique. Le NIST Cybersecurity Framework aide à formuler les attentes à inscrire au contrat : détecter, répondre, rétablir.
Que faire maintenant
- Inventoriez vos actifs à surveiller : postes, serveurs, Microsoft 365 ou Google Workspace, pare-feu, VPN et comptes cloud.
- Décidez de la couverture horaire nécessaire, en partant d’une question simple : qui agit si une alerte tombe un samedi à minuit ?
- Exigez des devis détaillés par variable : périmètre, couverture, niveau de réponse, licences et rétention des journaux.
- Comparez ces devis avec le coût complet d’une équipe interne à couverture égale, recrutement et remplacement compris.
Une surveillance continue sans recruter une équipe complète, c’est le principe de notre SOC managé 24/7 pour PME et ETI. Pour mesurer l’écart sur votre propre périmètre, notre pilote de 60 jours permet de tester le service en conditions réelles.
Ce qu’il faut retenir
- Le coût d’un SOC dépend de quatre variables : couverture horaire, périmètre, profondeur de réponse, automatisation.
- Tenir un seul poste en 24/7 demande environ 5,5 équivalents temps plein en France.
- Un devis sans licences, rétention des journaux ni conditions de sortie n’est pas comparable.
- Comparez toujours interne et externe à périmètre et niveau de service égaux.