Pour une PME ou une ETI, le choix entre SOC managé, MDR et MSSP dépend d’une seule question : qui, chez vous ou chez le prestataire, agit quand une alerte sérieuse tombe à 3 h du matin ? Si la réponse est « personne », c’est la capacité de détection et de réponse qu’il faut acheter en priorité, quel que soit le nom commercial de l’offre.
Les trois sigles se recouvrent largement, et les prestataires les emploient souvent de façon interchangeable. Ce guide les distingue par ce qu’ils font réellement, liste les situations où chacun a du sens, et décrit les cas où aucun des trois n’est la bonne première dépense.
SOC managé, MDR, MSSP : trois modèles, trois promesses
Le MSSP : gérer vos équipements de sécurité
Historiquement, le MSSP (Managed Security Service Provider) administre des équipements : pare-feu, VPN, filtrage web, antivirus, parfois un SIEM. Sa valeur tient à la maintenance : règles à jour, correctifs appliqués sur les boîtiers, rapports mensuels. Son angle mort classique : il surveille que l’équipement fonctionne, pas forcément ce que l’attaquant fait une fois à l’intérieur. Beaucoup de MSSP ont élargi leur offre, mais le contrat de base reste souvent centré sur l’exploitation.
Le MDR : détecter et répondre sur les postes et les identités
Le MDR (Managed Detection and Response) s’appuie en général sur un EDR installé sur vos postes et serveurs. Le prestataire analyse la télémétrie, qualifie les alertes et peut agir à distance : isoler une machine, tuer un processus, désactiver un compte. C’est un modèle efficace contre le ransomware, car il agit là où l’attaque s’exécute. Sa limite : la visibilité est souvent bornée à l’outil fourni. Ce qui se passe sur le pare-feu, dans Microsoft 365 ou sur une application métier peut rester hors champ.
Le SOC managé : une surveillance transverse de votre SI
Le SOC managé collecte et corrèle des journaux de sources multiples : postes, serveurs, annuaire, messagerie, cloud, équipements réseau. L’objectif est de relier des signaux faibles qui, pris isolément, ne déclenchent rien : une connexion depuis un pays inhabituel, suivie d’une règle de transfert de courriels, puis d’un accès à un partage de fichiers. La qualité d’un SOC managé se juge à trois choses : l’étendue réelle des sources raccordées, la présence d’une astreinte 24/7 et la capacité à agir, pas seulement à alerter.
Comment choisir entre SOC managé, MDR et MSSP selon votre situation
Plutôt que de comparer des fiches produits, partez de votre situation. Quatre profils reviennent souvent en PME et ETI.
- Vous avez un prestataire informatique généraliste et aucun outil de détection. Votre risque principal est un chiffrement non détecté. Un MDR ou un SOC managé incluant l’EDR couvre ce risque le plus vite. Un MSSP seul ne suffit pas.
- Vous avez déjà un EDR, mais personne ne regarde les alertes la nuit. Le besoin n’est pas un nouvel outil, c’est une équipe d’astreinte. Vérifiez si l’éditeur de votre EDR propose un service managé, ou si un SOC peut reprendre votre outil existant.
- Votre SI est hybride : Microsoft 365, SaaS, accès distants, un peu de cloud. Les attaques actuelles passent souvent par l’identité et la messagerie plutôt que par le poste. Un SOC managé qui corrèle ces sources est alors plus pertinent qu’un MDR limité aux terminaux.
- Vous êtes concerné par NIS2 ou par des exigences client fortes. Vous devez pouvoir démontrer une détection, une traçabilité et une procédure de notification. Privilégiez un prestataire capable de fournir des rapports exploitables en audit et un processus de réponse documenté.
Les questions à poser à tout prestataire, quel que soit le sigle
Les sigles ne disent rien du contrat. Ces questions, elles, révèlent ce que vous achetez vraiment.
- Que se passe-t-il concrètement à 3 h du matin un dimanche ? Demandez qui est d’astreinte, dans quel délai, et ce qu’il est autorisé à faire sans vous joindre.
- Quelles sources sont raccordées dans le prix annoncé ? Postes et serveurs seulement, ou aussi Microsoft 365, pare-feu, VPN, annuaire, cloud ? Chaque source ajoutée plus tard peut coûter cher.
- Le prestataire peut-il agir, ou seulement alerter ? Isoler une machine ou bloquer un compte en quelques minutes change l’issue d’une attaque. Un courriel d’alerte lu le lundi matin, beaucoup moins.
- À qui appartiennent les journaux et les règles de détection ? En cas de changement de prestataire, vous devez pouvoir récupérer votre historique.
- Quelle est la réversibilité ? Durée d’engagement, préavis, restitution des données : lisez ces clauses avant la grille tarifaire.
Côté qualification, l’ANSSI publie la liste des prestataires qualifiés, dont les prestataires de réponse aux incidents (PRIS). Pour une petite structure, le label ExpertCyber de Cybermalveillance.gouv.fr est un repère utile pour le prestataire informatique de proximité.
Quand ni le SOC managé, ni le MDR, ni le MSSP ne sont la priorité
Externaliser la détection n’a de sens que si les fondations tiennent. Dans trois situations, mieux vaut d’abord investir ailleurs.
- Vous n’avez pas de sauvegarde restaurable et hors ligne. Aucune détection n’arrête tout. Si un chiffrement passe, seule une sauvegarde immuable et testée vous remet en route.
- L’authentification multifacteur n’est pas généralisée. Beaucoup de compromissions de messagerie commencent par un mot de passe volé ou hameçonné. Activer le MFA sur la messagerie et les accès distants coûte peu et réduit fortement la surface d’attaque.
- Vous ne savez pas ce que vous avez. Sans inventaire des postes, serveurs et comptes à privilèges, le prestataire surveillera un périmètre incomplet. Quelques jours d’inventaire rendent tout contrat de surveillance plus utile.
Ces chantiers ne sont pas une alternative à la détection : ce sont les prérequis qui permettent à la détection de produire un effet. Le cadre NIST CSF 2.0 les classe d’ailleurs dans les fonctions « Identifier » et « Protéger », en amont de « Détecter » et « Répondre ».
Le coût : comparer ce qui est comparable
Les grilles tarifaires sont difficiles à comparer, car l’unité de facturation varie : par poste, par utilisateur, par volume de journaux, ou au forfait. Un MDR facturé au poste peut sembler moins cher qu’un SOC managé, jusqu’à ce que vous ajoutiez la surveillance de Microsoft 365 et du pare-feu en option. Nous avons détaillé les variables qui font réellement le prix dans notre article sur le coût d’un SOC pour une PME.
Méfiez-vous aussi du volume d’alertes remontées. Un service qui vous transmet des centaines de notifications non qualifiées déplace le travail chez vous au lieu de l’absorber. Nous avons abordé ce piège dans notre analyse sur le bruit des alertes en SOC.
Enfin, la réponse à incident mérite une ligne à part dans le contrat. Le guide NIST SP 800-61 révision 3 rappelle que la réponse s’organise avant l’incident : rôles, contacts, décisions d’isolement. Vérifiez qu’elle est incluse, plafonnée en heures, ou facturée à part.
Vous comparez plusieurs offres et hésitez encore entre les modèles ? Notre guide pour choisir un SOC managé détaille les critères et les questions à poser avant de signer.
Ce qu’il faut retenir
- Le MSSP administre vos équipements, le MDR détecte et répond sur vos terminaux, le SOC managé corrèle l’ensemble de votre SI.
- La vraie question est de savoir qui agit, et en combien de temps, quand une alerte sérieuse survient la nuit.
- Vérifiez les sources raccordées, la capacité d’action et la réversibilité avant de comparer les prix.
- Sans sauvegarde restaurable, MFA et inventaire, aucune offre de détection ne donnera son plein effet.