Un guide de sélection neutre : les critères qui comptent, les questions à poser en rendez-vous, les signaux qui doivent vous faire fuir — et les cas où un SOC managé n’est pas la bonne dépense.
Écrit par les équipes de ucyber.ai. Nous vendons un SOC managé : vous trouverez notre positionnement en fin de page, clairement identifié. Le reste du guide est utilisable avec n’importe quel prestataire.
Avez-vous vraiment besoin d’un SOC managé ?
La réponse honnête est « pas toujours, et pas en premier ». Un SOC managé surveille et répond ; il ne remplace pas les fondations.
À faire avant d’envisager un SOC managé. Si l’un de ces points manque, l’argent est mieux investi là d’abord — un SOC qui surveille un parc sans ces bases produit surtout du bruit :
- authentification multifacteur sur les accès distants et les comptes à privilèges ;
- sauvegardes testées, dont une copie hors ligne ou immuable ;
- un inventaire à jour de ce que vous exposez sur Internet ;
- un EDR déployé sur les postes et serveurs (même sans personne pour le regarder) ;
- un processus de mise à jour qui traite les failles critiques en jours, pas en trimestres.
Les déclencheurs légitimes. Un SOC managé devient pertinent quand au moins l’un de ces éléments est vrai :
- vous n’avez personne capable de traiter une alerte à 3 h du matin, et l’arrêt de production coûte cher à l’heure ;
- vous entrez dans le périmètre NIS2 et devez produire des preuves de détection et de notification ;
- un donneur d’ordre ou un cyber-assureur l’exige contractuellement ;
- vous avez déjà subi un incident et découvert que personne ne regardait les journaux ;
- votre équipe IT existe mais passe ses nuits et ses week-ends en astreinte, et s’épuise.
Les 8 critères qui font la différence
Classés par ordre de coût en cas d’erreur : les trois premiers sont ceux qui se paient le plus cher quand ils ont été survolés.
1. Un 24/7 réel, pas une astreinte
Faites préciser ce qui se passe la nuit et le week-end : un analyste de garde devant une console, ou un téléphone qui sonne chez quelqu’un ? Demandez l’effectif par créneau. Un 24/7 humain continu suppose au minimum cinq à six analystes à temps plein une fois les trois rotations, les congés et les arrêts pris en compte — l’arithmétique ne se contourne pas.
2. Le périmètre réellement couvert
« Nous couvrons tout » ne veut rien dire. Exigez la liste : postes et serveurs, Microsoft 365 ou Google Workspace, identités et annuaire, cloud IaaS, pare-feu et VPN, applications métier, et le cas échéant l’OT ou l’IoT industriel. Chaque source non branchée est un angle mort que vous payez sans le savoir.
3. Détecter ou aussi répondre
C’est la distinction la plus chère à découvrir après coup. Un service qui détecte vous envoie une alerte ; un service qui répond isole le poste, coupe la session, bloque le compte. Faites écrire dans le contrat quelles actions le prestataire peut engager seul, et lesquelles exigent votre accord.
4. Des délais contractuels, pas des promesses
Demandez un délai de prise en charge et un délai de réponse écrits, mesurés, et ce qui se passe s’ils ne sont pas tenus. Un engagement sans conséquence n’est pas un engagement.
5. Qui paie la technologie
L’EDR, le SIEM et le stockage des journaux sont-ils inclus, ou facturés en plus ? Un tarif attractif qui suppose que vous apportez et financez les licences n’est pas comparable à une offre complète. Comparez le coût total, licences comprises, sur trois ans.
6. La transparence opérationnelle
Aurez-vous accès à la console, aux règles de détection, à l’historique brut de vos journaux ? Un prestataire qui refuse de montrer son interface en démonstration avant signature vous demande une confiance qu’il n’accorde pas.
7. La réversibilité
À qui appartiennent vos journaux, vos règles et vos historiques d’incidents si vous partez ? Sous quel format et sous quel délai sont-ils restitués ? La question se pose au moment de signer, jamais au moment de partir.
8. Le bruit, pas le volume
Un bon service se juge au nombre d’alertes qu’il vous évite, pas à celui qu’il vous envoie. Demandez combien de tickets un client de votre taille reçoit réellement par mois, et quelle proportion s’avère être de faux positifs.
Interne, managé, MDR : quel modèle pour quelle taille
Les trois mots sont employés de façon interchangeable par le marché. Ils ne recouvrent pas la même chose.
| Modèle | Ce que c’est | Pertinent quand | Le piège |
|---|---|---|---|
| SOC interne | Vos propres analystes, vos propres outils. | Grande ETI ou groupe, contraintes de souveraineté fortes, équipe déjà constituée. | Le 24/7 réel exige cinq à six ETP avant même de parler d’outillage. Le recrutement et la rétention sont le vrai coût. |
| SOC managé / MSSP | Un prestataire surveille votre SI, avec ou sans capacité de réponse. | PME et ETI sans équipe sécurité dédiée, ou avec une équipe IT à soulager. | Le terme ne garantit rien : certains ne font que remonter des alertes. Voir le critère 3. |
| MDR | Détection et réponse managées, généralement autour d’un EDR imposé. | Vous voulez de la réponse rapide sur les postes et serveurs avant tout. | Périmètre souvent limité à l’endpoint : le cloud, la messagerie et les identités peuvent rester hors couverture. |
Les 12 questions à poser avant de signer
À poser telles quelles, en rendez-vous. Les réponses évasives sont elles-mêmes une réponse.
- Qui traite une alerte critique un dimanche à 3 h : un analyste déjà devant sa console, ou une astreinte réveillée par téléphone ?
- Quel est votre délai de prise en charge contractuel, et que se passe-t-il s’il n’est pas tenu ?
- Pouvez-vous isoler un poste ou désactiver un compte vous-mêmes, ou devez-vous attendre notre validation ?
- Les licences EDR, SIEM et le stockage des journaux sont-ils inclus dans le prix annoncé ?
- Combien de temps conservez-vous mes journaux, et à quel coût au-delà ?
- Combien d’alertes un client de notre taille reçoit-il réellement par mois ?
- Puis-je voir la console en démonstration, avec des données réelles anonymisées, avant de signer ?
- Qui écrit les règles de détection, et puis-je les emporter si je pars ?
- Où sont hébergées et traitées mes données, et par quelles équipes y a-t-il accès ?
- Que se passe-t-il si un incident majeur touche plusieurs de vos clients en même temps ?
- Quels livrables fournissez-vous pour la conformité NIS2, et sous quel délai après un incident ?
- Quel est le préavis de résiliation, et sous quel format mes données me sont-elles restituées ?
Les signaux d’alerte
Le devis sans périmètre
Un prix au poste sans liste des sources de journaux couvertes. Vous achetez un chiffre, pas un service : le périmètre réel n’apparaîtra qu’au premier incident non détecté.
La démo interdite
Refus de montrer la console avant signature, ou démonstration limitée à un diaporama. L’interface que vous utiliserez tous les jours fait partie du produit.
Le zéro faux positif
Aucune détection sérieuse n’affiche zéro faux positif. Cette promesse signale soit un argumentaire commercial, soit un seuil de détection réglé si haut qu’il ne verra rien.
Trois autres méritent une question de suivi plutôt qu’un refus immédiat :
- « Nous sommes conformes NIS2 ». Un prestataire ne rend pas conforme : il fournit des mesures et des preuves. C’est votre entité qui porte l’obligation.
- Un engagement de trois ans sans clause de sortie. Négociable dans presque tous les cas ; le refus de discuter est en soi une information.
- L’absence de contact technique en avant-vente. Si vous ne parlez qu’à un commercial jusqu’à la signature, vous ne savez pas qui opérera réellement le service.
Ce qui détermine réellement le coût
Les grilles tarifaires varient trop pour qu’un chiffre unique ait un sens. Les variables, elles, sont toujours les mêmes.
- Le volume de journaux ingérés. C’est la variable qui explose le plus silencieusement. Faites simuler votre volumétrie réelle, pas une moyenne sectorielle.
- La durée de rétention. Douze mois coûtent structurellement plus cher que trois — et certaines obligations réglementaires ou contractuelles imposent la durée longue.
- Le nombre de sources connectées, davantage que le nombre de postes.
- Le niveau de réponse. La surveillance seule, la réponse automatisée et l’intervention humaine ne se facturent pas de la même façon.
- Les licences. Incluses ou non : c’est souvent ce qui explique un écart de prix apparemment inexplicable entre deux propositions.
Pour comparer deux offres honnêtement, ramenez-les au même périmètre, à la même rétention et au même niveau de réponse, sur trois ans, licences comprises. Deux propositions sur trois changent de classement une fois cet exercice fait.
Et ucyber.ai dans tout ça
Section ouvertement commerciale — le reste du guide s’applique à n’importe quel prestataire.
Nous opérons un SOC managé 24/7 pour les PME et ETI françaises. Notre particularité tient à la façon dont le travail est réparti : la surveillance continue est assurée par notre IA agentique, qui trie, corrèle et remédie, tandis que nos analystes experts interviennent sur les cas qui le justifient. C’est ce qui nous permet de délivrer un SOC environ 10× moins cher qu’un SOC interne — un écart qu’un MDR traditionnel, qui mutualise surtout des équipes humaines, n’atteint pas.
Sur les critères de ce guide, nos réponses sont les suivantes : surveillance agentique continue incluse dans l’offre standard, escalade vers nos analystes humains disponible en option, accès à la console pour vos équipes, et vos journaux comme vos règles restent exportables. Nous vous encourageons à poser les douze questions ci-dessus à nous comme à nos concurrents.
Pour aller plus loin : notre offre de SOC managé, la mise en conformité NIS2, ou un pilote de 60 jours sur un périmètre réel.
Questions fréquentes
Un SOC managé est un service par lequel un prestataire externe surveille en continu le système d’information d’une organisation, détecte les incidents de sécurité et, selon le contrat, y répond. Il remplace ou complète un centre opérationnel de sécurité interne, dont le coût est généralement hors de portée d’une PME ou d’une ETI.
MSSP désigne largement tout prestataire de services de sécurité managés. MDR désigne un service de détection et de réponse, le plus souvent construit autour d’un EDR et centré sur les postes et serveurs. SOC managé désigne la surveillance d’un périmètre plus large, incluant cloud, messagerie et identités. Les trois termes se recouvrent partiellement : c’est le périmètre couvert et la capacité de réponse qui distinguent réellement les offres, pas l’étiquette.
La taille compte moins que l’exposition et le coût d’un arrêt. Une entreprise de trente personnes dont l’activité s’arrête si le SI tombe a davantage besoin de surveillance qu’une structure de deux cents personnes sans dépendance informatique critique. Les vrais déclencheurs sont l’absence de capacité de réaction hors heures ouvrées, une obligation réglementaire comme NIS2, ou une exigence client ou assurantielle.
Un EDR détecte et bloque sur les postes et serveurs, mais il produit des alertes que quelqu’un doit lire, qualifier et traiter. Sans personne pour l’exploiter, un EDR est un enregistreur d’incidents plutôt qu’une défense. Il couvre par ailleurs mal la messagerie, le cloud et les identités, qui concentrent aujourd’hui une grande partie des compromissions initiales.
Le raccordement des premières sources se compte généralement en jours. Ce qui prend du temps est l’ajustement : quelques semaines sont nécessaires pour calibrer les règles sur votre environnement et réduire les faux positifs. Méfiez-vous d’une promesse de valeur immédiate comme d’un projet annoncé en plusieurs trimestres.
Non. NIS2 impose une gestion des risques et une notification des incidents dont votre entité reste responsable. Un SOC managé fournit une part importante des mesures de détection et des preuves attendues, notamment pour le signalement dans les délais, mais la gouvernance, l’analyse de risque et la chaîne de décision restent chez vous.
Cela dépend entièrement de ce que vous avez signé. Vérifiez avant signature à qui appartiennent les journaux et les règles de détection, sous quel format ils sont restituables, et quel préavis s’applique. Un service dont les détections ne sont pas exportables crée une dépendance qui se paie au moment du changement.
Oui, au moins un interlocuteur capable de décider. Un SOC managé a besoin d’un référent côté client pour valider les actions sensibles, arbitrer les priorités métier et porter les décisions. Ce rôle n’exige pas un expert à temps plein, mais il ne peut pas être vide.
Une question sur votre situation précise ?
15 minutes avec un analyste. Pas de commercial, pas d’engagement — y compris si vous repartez avec un autre prestataire.