Vous avez externalisé votre SOC. Vous recevez un reporting chaque mois, vous assistez aux comités, les indicateurs sont au vert. Et pourtant, vous n’êtes pas tout à fait sûr de savoir ce que vous payez. Ce texte est pour vous.
J’ais fais mes premiers pas chez Orange Cyberdefense. en tant que prestataire.
J’ai vu des SOC monter de A à Z. Puis j’ai changé de chaise. Crédit Agricole, TotalEnergies, Engie, Syensqo. Côté client final, cette fois.
Et là, j’ai vu l’autre moitié du film.
Dix ans, des deux côtés de la table
Un RSSI m’a demandé un jour de “bien faire ressortir le nombre d’alertes” pour montrer que le SOC travaillait. La slide est partie en direction. Cette semaine-là, on avait raté un incident majeur.
J’ai assisté à des réunions de cadrage où l’on branchait toutes les sources de logs “au cas où”. Firewall, proxy, AD, cloud, applicatif métier. À aucun moment quelqu’un n’a demandé ce qu’on cherchait à détecter.
J’ai vu une démo commerciale dérouler fièrement un catalogue de 2 500 use cases prêts à l’emploi. Un chiffre qui ne dit rien de ce qui est réellement adapté au SI du client.
Et j’ai vu, au SOC, des flux identifiés comme venant du prestataire être traités à part. Whitelistés. Moins surveillés. Après tout, ce sont des experts.
Le SOC, ce service qu’on ne sait pas piloter
La plupart des services IT s’achètent et se mesurent assez bien. Une suite collaborative, un EDR managé, un helpdesk. Ça marche ou ça ne marche pas.
Le SOC, non. Il n’est jamais plug & play. Il ne performe que s’il est ancré dans le contexte réel de l’entreprise : ses métiers, ses serveurs critiques, ses angles morts, les attaquants qui visent son secteur. Et ce contexte, seul le client le connaît vraiment.
Sauf qu’en face, le RSSI ou le DSI d’une ETI a rarement le temps, et parfois pas le bagage technique, pour challenger un prestataire dont c’est le métier. Alors il fait confiance. Il signe pour trois ans. Il lit des reportings qui mesurent ce qui est facile à compter. Et il découvre ce que couvre vraiment son contrat le jour où il en a besoin.
C’est ce déséquilibre qui m’a donné envie d’écrire.
SOC Performance, concrètement
Une newsletter indépendante, en français, qui sort le 2e et le 4e mercredi de chaque mois à 8h30.
Elle s’adresse aux RSSI et DSI qui ont externalisé leur SOC et veulent mieux piloter leur prestataire. Sans devenir experts techniques pour autant.
On y parle des KPIs qui comptent vraiment, des contrats et de leurs angles morts, de la façon d’évaluer un prestataire, de gouvernance et de stratégie de détection. Et régulièrement, je donne la parole à des praticiens qui ont construit et opéré des SOC pendant des années. Comme Antonin, justement, qui a signé le numéro #2 avec moi.
Mes engagements
Je pars toujours du terrain. Ce que j’ai vu, ce que j’ai raté. Pas de théorie hors sol.
Quand un terme technique s’invite, je l’explique. Si vous devez ouvrir un dictionnaire pour me lire, j’ai mal fait mon travail.
Je ne recommande aucun prestataire. Et je ne glisserai pas d’outil à vendre au détour d’un paragraphe.
Enfin, je prends position. Vous ne serez pas toujours d’accord avec moi. Tant mieux : répondez, je lis tout.
Par où commencer
Vous préparez un appel d’offres ou un renouvellement de contrat ? Lisez le #2 “500K€/an pour un SOC bancal. Les 4 questions qui auraient tout changé”, puis le #3 “Voici 4 red flags à repérer sur son contrat SOC”.
Vous voulez savoir si votre SOC tourne vraiment bien ? Commencez par le #1 “Arrêtez de compter les alertes du SOC”, puis le #6 “Votre SOC est-il calibré pour votre secteur ?”.
Votre facture SIEM grimpe sans que la détection progresse ? Le #5 “Je branche toutes les sources de log, au cas où” est pour vous.
Un pic d’activité, une annonce sensible ou un gros événement approche ? Le #4 “Ce que le SOC du PSG fera le soir de sa finale européenne”.
Un dernier mot
Un SOC est un service vivant. Il se pilote, se challenge, s’ajuste en continu. Et ce pilotage vous revient, même quand l’exploitation est externalisée.
Mon objectif est simple : qu’au prochain comité, vous posiez la question qui fait hésiter la personne en face. Et que vous sachiez quoi faire de sa réponse.
Bienvenue dans SOC Performance.
Mehdi Charki est SOC Manager avec 10 ans d’expérience. SOC Performance est sa newsletter indépendante sur la gouvernance, la stratégie et le pilotage SOC.