Un SOC, centre op\u00e9rationnel de s\u00e9curit\u00e9, surveille des \u00e9v\u00e9nements pour rep\u00e9rer des activit\u00e9s suspectes. Pour l\u2019entreprise cliente, la valeur du service d\u00e9pend surtout de ce qui se passe apr\u00e8s la d\u00e9tection.<\/p>\n\n\n
Quels syst\u00e8mes sont surveill\u00e9s ? Quelles plages horaires sont couvertes ? Qui traite une alerte lorsque le responsable IT est absent ? Ces r\u00e9ponses doivent \u00eatre connues avant le premier incident. Les journaux contribuent \u00e0 la d\u00e9tection et au traitement, comme le rappelle la CNIL, sans justifier une collecte illimit\u00e9e.<\/p>\n\n\n
Identifier une connexion suspecte et d\u00e9sactiver un compte sont deux actions diff\u00e9rentes. Le prestataire dispose-t-il du droit d\u2019intervenir ? Dans quels cas doit-il attendre une validation ? D\u00e9finissez les responsabilit\u00e9s et les canaux d\u2019escalade avec les m\u00e9tiers concern\u00e9s.<\/p>\n\n\n
Exemple fictif : une alerte concerne le compte d\u2019un dirigeant un dimanche. L\u2019exercice consiste \u00e0 v\u00e9rifier les contacts, les informations transmises et la d\u00e9cision possible. Il ne n\u00e9cessite pas d\u2019attaque r\u00e9elle.<\/p>\n\n\n
Demandez des indicateurs qui \u00e9clairent le fonctionnement : p\u00e9rim\u00e8tre effectivement couvert, sources manquantes, qualit\u00e9 des escalades et actions correctives suivies. Un volume d\u2019alertes \u00e9lev\u00e9 ne prouve pas une meilleure protection. Pr\u00e9voyez aussi la sortie du contrat : restitution des informations utiles, retrait des acc\u00e8s et continuit\u00e9 de la surveillance. Ces points doivent \u00eatre examin\u00e9s avant le d\u00e9marrage du service.<\/p>\n\n\n