SOC externalisé et MDR : prix, périmètre et comparaison des offres de surveillance

Un SOC (Security Operations Center) externalisé ou un service MDR (Managed Detection and Response) se facture généralement par abonnement récurrent, calculé au nombre de postes, de serveurs ou de sources de journaux surveillés, avec un tarif qui monte avec le niveau de service (heures ouvrées ou 24 h/24, réponse active ou simple alerte). Pour une PME, c'est l'une des dépenses les plus structurantes : elle apporte une capacité de surveillance que peu d'entreprises peuvent construire en interne, mais le résultat dépend entièrement de ce que le contrat prévoit réellement de faire quand une alerte survient.

SOC, MDR, SIEM, infogérance : mettre de l'ordre

Les offres du marché mélangent plusieurs notions :

• SOC : centre d'opérations où des analystes surveillent les événements de sécurité. Il peut être interne ou fourni par un prestataire.
• SIEM : outil qui collecte et corrèle les journaux. Un SOC s'appuie souvent dessus. Un SIEM seul, sans analystes, ne surveille rien.
• MDR : service qui combine une technologie de détection sur les postes (EDR) et des analystes humains qui qualifient les alertes et conduisent une première réponse.
• Infogérance avec volet sécurité : un prestataire gère l'informatique au quotidien et y ajoute des mesures de sécurité, mais sans nécessairement fournir de surveillance spécialisée.

La question utile n'est pas « SOC ou MDR ? » mais : qui regarde les alertes, à quels horaires, et qui a le droit d'agir ?

Comment se construit le prix

1. L'assiette : nombre de postes et serveurs, volume de journaux collectés, nombre d'utilisateurs ou de sites.
2. Les heures de couverture : une surveillance 24 h/24 et 7 j/7 coûte nettement plus cher qu'une couverture en heures ouvrées, car elle demande des équipes en rotation.
3. Le niveau de réponse : simple notification, recommandations, ou action directe (isolement de poste, blocage de compte).
4. Les sources surveillées : postes seulement, ou messagerie, identités, cloud, pare-feu, applications.
5. Les livrables : rapports mensuels, réunions de revue, indicateurs, accompagnement à la remédiation.
6. L'entrée en service : audit initial, déploiement des agents, réglage des règles, parfois facturé en une fois.

Exemple chiffré illustratif

Hypothèse : 50 postes et 4 serveurs. Une offre MDR supposée à 300 euros par poste et 500 euros par serveur et par an donne 50 x 300 + 4 x 500 = 17 000 euros par an, plus 2 000 euros de mise en service, soit 19 000 euros la première année et 17 000 euros les suivantes. Rapporté à une journée d'arrêt d'activité estimée à 8 000 euros pour cette entreprise fictive, l'abonnement équivaut à un peu plus de deux journées d'arrêt évitées. Ces montants sont des hypothèses de calcul, pas des prix du marché. Faites varier ces données dans le calculateur de rentabilité.

Tableau de comparaison des niveaux de service

Un point est souvent sous-estimé : beaucoup d'attaques majeures se déclenchent la nuit ou le week-end, précisément quand personne n'est là. Si votre contrat ne prévoit qu'une alerte par e-mail le matin, l'intérêt d'un service 24 h/24 est limité.

Les questions à poser avant de signer

• Quelles actions le prestataire peut-il mener sans mon accord (isoler un poste, désactiver un compte) ? Qui valide les autres ?
• Quel est le délai garanti entre une alerte critique et la prise en charge ? Est-il contractuel, avec des pénalités ?
• Quel périmètre est surveillé et lequel ne l'est pas ? Les serveurs, les accès distants et la messagerie sont-ils inclus ?
• Où sont stockés les journaux, pour combien de temps, et comment les récupérer à la fin du contrat ?
• Le prestataire détient-il des qualifications de l'ANSSI, par exemple pour la détection (PDIS) ou la réponse aux incidents (PRIS) ? Elles ne sont pas obligatoires, mais constituent un repère dans certains contextes.
• Quelle est l'assurance responsabilité civile du prestataire en cas d'erreur ?
• En cas d'incident, la réponse est-elle incluse, facturée à l'heure ou à part ?

Faut-il un SOC pour une petite entreprise ?

Pour une structure de dix postes sans données sensibles, un SOC externalisé est généralement disproportionné : mieux vaut investir dans l'authentification forte, les sauvegardes et une protection des postes bien configurée. En revanche, plusieurs situations justifient d'y réfléchir :

• une activité très dépendante du numérique, où un arrêt de quelques jours est coûteux ;
• le traitement de données sensibles, par exemple de santé ou financières ;
• des exigences contractuelles de grands donneurs d'ordre ;
• l'absence de personne capable de traiter les alertes d'un EDR.

Pour les entreprises plus petites, une option intermédiaire consiste à confier la gestion de l'EDR à un prestataire pour les heures ouvrées, plutôt qu'à souscrire un service continu.

Les pièges classiques

• Périmètre trompeur : prix par poste attractif, mais serveurs et messagerie hors périmètre.
• Exclusion de la réponse : la détection est incluse, la réponse facturée à l'heure au tarif fort.
• Dépendance : le prestataire détient les accès et les données, sans clause de réversibilité.
• Engagement long avec reconduction tacite et augmentation à chaque renouvellement.
• Absence de tests : jamais d'exercice pour vérifier que la chaîne d'alerte fonctionne.

Comment tester un prestataire après la signature

Demandez dès le premier mois une démonstration de chaîne complète : une alerte de test, la qualification, la notification et l'action prévue. Organisez ensuite un exercice annuel. Demandez aussi des indicateurs simples : nombre d'alertes, temps de prise en charge, faux positifs, recommandations restées sans suite. Comparez-les à ce que le contrat prévoyait.

Pour compléter votre sélection, lisez le guide sur les critères de choix d'un prestataire.

Questions fréquentes

Un MDR remplace-t-il un EDR ?

Non : le MDR s'appuie généralement sur un EDR. La différence est l'humain qui analyse et réagit. Certains fournisseurs combinent les deux dans une même offre.

Puis-je changer de prestataire en cours de contrat ?

Cela dépend des clauses de résiliation. Vérifiez la durée, le préavis et les conditions de sortie avant de signer.

Le prestataire est-il responsable si une attaque passe ?

En général, il s'engage sur des moyens, pas sur un résultat. Les limites de responsabilité figurent dans le contrat : lisez-les attentivement.

Sources et références

• ANSSI — référentiels et listes de prestataires qualifiés (détection, réponse aux incidents).
• Cybermalveillance.gouv.fr — assistance aux victimes et professionnels référencés.
• CNIL — encadrement des traitements de données issus des outils de surveillance.