SOC en heures ouvrées ou 24/7 : comment choisir quand on est une ETI
Un SOC 24/7, ça rassure. Les attaquants ne dorment pas, la surveillance non plus : sur le papier, la messe est dite. Sauf que ça coûte cher, et que ça ne sert à rien si, à 3 h du matin, personne n’est là pour décider quoi faire de l’alerte.
Alors avant de demander des devis, posez-vous cette question, la seule qui compte vraiment : si une alerte grave tombe samedi à 3 h, qui est réveillé, et qu’a-t-il le droit de faire ? Si la réponse est « personne » ou « il attend lundi », le 24/7 n’ajoute pas grand-chose. Voici comment on aborde le sujet avec les ETI.
Un SOC, ça fait quoi, au juste ?
SOC veut dire Security Operations Center. Derrière le sigle, il y a des analystes qui surveillent ce que remonte un SIEM, l’outil qui rassemble les journaux de vos serveurs, postes, pare-feu, messagerie et clouds. Ils séparent le bruit des vrais incidents, puis déclenchent la réponse. La protection des postes (l’EDR) fait partie du paysage.
Un point qu’on oublie souvent : les horaires ne font pas tout. Un SOC ne voit que ce qu’on lui donne à voir. Si la moitié de votre parc n’envoie rien au SIEM, il est aveugle sur cette moitié, de jour comme de nuit. Et des règles de détection trop génériques noient les analystes sous les fausses alertes. Avant d’élargir les horaires, regardez d’abord la couverture.
Le SOC en heures ouvrées : un bon départ, avec une limite connue
Ça marche bien quand l’activité est surtout diurne, quand une alerte traitée le lendemain matin ne change pas la vie de l’entreprise, et quand des protections agissent toutes seules la nuit : un EDR qui isole un poste compromis, des comptes à privilèges limités, des sauvegardes hors d’atteinte. C’est aussi une façon raisonnable de commencer : on gagne en visibilité, on règle les règles, on voit ce qui remonte vraiment.
La limite, elle, est simple. Une attaque lancée un vendredi soir a tout le week-end devant elle si rien ne la freine. La prévention et l’automatisation réduisent le risque, elles ne le suppriment pas. Autant le savoir et l’assumer plutôt que de le découvrir un lundi matin.
Le SOC 24/7 : utile, à condition d’avoir quelqu’un au bout du fil
Surveiller en continu, c’est plusieurs analystes en rotation, des passages de relais bien huilés, et un client capable de répondre. C’est là que beaucoup de projets déraillent : la surveillance est permanente, la décision ne l’est pas. L’analyste appelle, personne ne décroche, ou celui qui décroche n’a pas l’autorité de couper un serveur de production.
Ça vaut le coup quand l’activité tourne en continu (usine, logistique, santé, service en ligne), quand vous êtes une cible évidente, ou quand un contrat ou une réglementation l’exige. Dans ces cas-là, ne marchandez pas.
SOC heures ouvrées ou 24/7 : les deux côte à côte
| Heures ouvrées | 24/7 | |
|---|---|---|
| Surveillance | Pendant la journée de travail | En continu |
| Convient bien à | Une activité diurne, un premier dispositif | Une activité continue, une forte exposition |
| Ce qu’on y gagne | Un coût maîtrisé, un démarrage rapide | Le délai de détection le plus court |
| Le piège | La nuit et le week-end, sans protection automatique | Payer pour une alerte que personne ne peut traiter |
Entre les deux, il y a de la place
Le choix n’est pas « tout ou rien ». Quelques formules reviennent souvent :
- Heures ouvrées plus astreinte : surveillance de jour, et quelqu’un de réveillé uniquement pour les alertes critiques.
- Follow the sun : si vous avez des sites dans plusieurs pays, la surveillance passe d’une équipe à l’autre selon le fuseau horaire. Personne ne travaille de nuit.
- Confinement automatique : la nuit, la machine bloque (poste isolé, compte désactivé), et l’humain qualifie le lendemain.
- Par étapes : on démarre en heures ouvrées, on mesure ce qui se passe vraiment, et on élargit si le besoin est avéré.
Comment trancher, sans se raconter d’histoires
Cinq questions à se poser franchement :
- Si une attaque dure dix heures sans qu’on la voie, ça nous coûte quoi ? Si la réponse fait mal, il faut une surveillance continue ou un confinement automatique.
- Qui peut décider la nuit ? Sans décideur joignable, le SOC ne fait que constater.
- Quelle part de notre parc est vraiment supervisée ? Élargir la couverture rapporte souvent plus qu’élargir les horaires.
- Qu’est-ce qui se défend tout seul ? Un EDR bien réglé, des sauvegardes isolées, des droits limités.
- Quel budget, et sur quelle trajectoire ? Un dispositif en heures ouvrées bien réglé vaut mieux qu’un 24/7 mal réglé.
Ce qu’on propose chez AlphaNumerix
Chez nous, le socle est un SOC en heures ouvrées. On peut y ajouter des astreintes pour les alertes critiques, et activer un follow the sun si vous avez des sites dans plusieurs pays. Le niveau se fixe avec vous, à partir de votre risque et de ce que vos équipes peuvent réellement traiter, puis il évolue avec votre activité. Et si, après discussion, il vous faut du 24/7, on vous le dira.
Ce SOC fait partie de notre offre d’audit et de cybersécurité et s’exploite dans le cadre de notre infogérance (MSP) sur mesure. Pour que la reprise tienne après une attaque, il s’appuie aussi sur des sauvegardes isolées et testées.
Questions fréquentes
Un SOC en heures ouvrées suffit-il pour une ETI ?
Souvent, pour commencer, si l’activité est surtout diurne et si des protections arrêtent seules les incidents la nuit. Tout se joue sur ce que coûterait une attaque non vue pendant une nuit ou un week-end.
Quelle différence entre un SOC et un SIEM ?
Le SIEM est l’outil qui collecte et croise les journaux. Le SOC, ce sont les analystes et les procédures qui s’en servent pour repérer et traiter les incidents.
Peut-on passer plus tard à un SOC 24/7 ?
Oui, et c’est une trajectoire courante : on commence par la visibilité et la qualité des règles, puis on étend les horaires quand le besoin est avéré.
« Follow the sun », ça veut dire quoi ?
La surveillance passe d’une équipe à l’autre au fil des fuseaux horaires. Chacun travaille de jour, et l’ensemble couvre les sites de plusieurs pays.
Un doute sur le bon niveau pour votre entreprise ? Écrivez-nous : on en discute avant tout engagement.
À lire aussi : le test de restauration que personne ne fait et les risques de sécurité de l’IA en entreprise.
Un doute sur le bon niveau pour votre entreprise ?
Décrivez votre contexte en quelques lignes : un ingénieur vous répond, sans engagement.
Parler à un ingénieur
