Qu'est-ce que le SOC-as-a-Service (SOCaaS) ?

La mise en place et la maintenance d’un centre d’opérations de sécurité (SOC) interne constituent l’un des investissements les plus gourmands en ressources dans le domaine de la cybersécurité. L’infrastructure, les outils et la présence d’analystes 24 heures sur 24 nécessaires au bon fonctionnement d’un SOC efficace le rendent inaccessible à la plupart des organisations qui n’appartiennent pas au secteur des grandes entreprises. Pourtant, les menaces auxquelles ces organisations sont confrontées ne sont pas proportionnellement moindres. Les ransomwares, le vol d’identifiants et les attaques de la chaîne d’approvisionnement ne font pas de distinction selon la taille de l’entreprise.

Le SOC-as-a-Service (SOCaaS) a pour vocation de combler cette lacune. Il offre les capacités de surveillance, de détection et d’intervention d’un SOC doté d’un effectif complet, via un modèle d’abonnement externalisé, sans que les entreprises aient à mettre en place elles-mêmes ces capacités. Pour les MSP qui souhaitent proposer à leurs clients une couverture de sécurité de niveau entreprise, ainsi que pour les équipes informatiques qui ont besoin d’une protection 24 h/24 et 7 j/7 sans pour autant disposer d’effectifs permanents, le SOCaaS rend ce modèle d’opérations de sécurité applicable à n’importe quelle échelle. Kaseya MDR et Kaseya SIEM sont conçus pour répondre précisément à ce cas d’utilisation, en fournissant aux MSP et aux équipes informatiques les outils nécessaires pour offrir ou bénéficier d’une couverture de niveau SOCaaS grâce à une pile de sécurité étroitement intégrée.

Qu'est-ce que le SOC-as-a-Service ?

Le SOC en tant que service est un modèle de sécurité géré dans lequel un prestataire tiers fournit l'ensemble des fonctionnalités d'un centre d'opérations de sécurité (SOC) sous forme d'abonnement. Le prestataire prend en charge la surveillance continue, la détection des menaces, l'investigation et la réponse aux incidents, la recherche active de menaces et le reporting de conformité dans l'ensemble de l'environnement du client. Le client bénéficie ainsi d'une couverture de sécurité de niveau SOC sans avoir à mettre en place ni à doter en personnel cette capacité en interne.

Le SOCaaS est apparu comme une réponse concrète à un problème structurel de cybersécurité. Les compétences et les ressources nécessaires au bon fonctionnement d’un SOC n’ont jamais été réparties de manière équitable. Les grandes entreprises pouvaient se permettre de disposer d’équipes de sécurité dédiées, d’outils spécialement conçus et d’une couverture 24 heures sur 24. Toutes les autres entreprises devaient se débrouiller avec les effectifs et les moyens financiers dont elles disposaient en interne. Le SOCaaS change la donne en transformant les capacités d’un SOC en un service qui s’adapte à l’environnement du client plutôt qu’à ses effectifs.

Ce modèle est entièrement fourni via le cloud. Il n'y a aucune infrastructure sur site à déployer, aucune installation physique à entretenir et aucun effectif minimum d'analystes à atteindre pour que le service devienne viable. Une PME de 50 postes et une grande entreprise de 5 000 postes peuvent toutes deux bénéficier d'une couverture SOC de même qualité, avec une offre adaptée à leur environnement et à leur profil de risque.

Que comprend le SOCaaS ? Principales fonctionnalités et capacités

Une offre SOCaaS bien structurée couvre l'ensemble des fonctions liées aux opérations de sécurité qu'un SOC interne serait amené à assurer. Le périmètre précis varie selon les fournisseurs, mais les fonctionnalités suivantes sont couramment proposées dans la plupart des offres destinées aux entreprises.

Surveillance et détection en continu

La visibilité en continu constitue le fondement de tout SOC. Un fournisseur de SOCaaS collecte les données télémétriques provenant des terminaux, des réseaux, des services cloud, des systèmes d’identité et des applications SaaS du client, puis surveille ces données 24 heures sur 24 à la recherche de signes d’activité malveillante. La détection combine l’identification des menaces connues par signature avec l’analyse comportementale et des modèles basés sur l’IA qui permettent de mettre en évidence les nouvelles attaques et les schémas anormaux. La couverture est assurée 24 heures sur 24, 7 jours sur 7, y compris la nuit, le week-end et les jours fériés, lorsque les équipes internes sont généralement en sous-effectif ou indisponibles.

Réponse aux incidents et confinement

Lorsqu’une détection est confirmée comme constituant une menace réelle, le fournisseur de SOCaaS intervient. Les processus d’intervention vont des mesures de confinement automatisées (isolement d’un terminal, blocage d’un domaine, suspension d’un compte compromis) aux enquêtes menées par des analystes et aux conseils de remédiation. Le fournisseur consigne l’incident, communique avec l’équipe du client et, dans de nombreux cas, met directement en œuvre des mesures d’intervention plutôt que de se contenter d’alerter et d’attendre. C’est dans la rapidité d’intervention que la valeur pratique du SOCaaS est la plus évidente. Un fournisseur disposant de guides d’intervention définis et d’outils automatisés peut contenir une menace en quelques minutes plutôt qu’en plusieurs heures.

Recherche de menaces

La détection réactive identifie les menaces qui déclenchent des alertes. La recherche proactive de menaces va plus loin en explorant de manière proactive l’environnement à la recherche de signes de menaces qui n’ont pas encore déclenché de détection. Les spécialistes de la recherche proactive recherchent des indicateurs de compromission, des schémas de comportement des attaquants et des anomalies suggérant qu’un adversaire opère discrètement, en dessous du seuil de détection automatisée. Pour la plupart des PME, la recherche proactive de menaces n’est tout simplement pas réalisable sans faire appel à un prestataire externe, car elle nécessite des compétences d’analystes spécialisés qu’il est difficile et coûteux de recruter et de fidéliser en interne.

Conformité et reporting

Les fournisseurs de SOCaaS fournissent généralement des rapports réguliers qui répondent aux exigences d’audit et de conformité. Cela inclut la documentation relative aux activités de surveillance, aux incidents détectés, aux mesures d’intervention mises en œuvre et aux indicateurs globaux de l’état de sécurité. Pour les organisations soumises à des référentiels tels que HIPAA, PCI DSS, SOC 2 ou CMMC, le fait de confier la génération de cette documentation à un prestataire géré réduit à la fois la charge de travail et le risque de disposer de preuves de conformité incomplètes. De nombreux fournisseurs proposent également des règles de surveillance spécifiques à la conformité, configurées en fonction du cadre réglementaire applicable.

SOCaaS ou mise en place d'un SOC en interne ?

L'argument principal en faveur du SOCaaS par rapport à un SOC interne réside dans le coût et la rapidité de mise en place, mais la comparaison ne se limite pas aux chiffres clés.

La mise en place d’un SOC interne fonctionnel nécessite le recrutement d’au moins cinq à sept analystes à temps plein pour assurer une couverture 24 heures sur 24 (en tenant compte des rotations d’équipe, des congés et du roulement de personnel), l’acquisition et le déploiement de plateformes SIEM, EDR, SOAR et de renseignements sur les menaces, ainsi que plusieurs mois d’investissement dans la configuration des outils et l’intégration de l’équipe avant que le SOC n’atteigne sa maturité opérationnelle. Pour les organisations évoluant dans des secteurs réglementés ou soumises à la pression des assureurs cyber pour démontrer leur capacité de surveillance continue, cette période de mise en place crée une exposition significative aux risques.

Le SOCaaS réduit ce délai à quelques semaines au lieu de plusieurs mois. Le prestataire apporte ses propres outils, ses équipes d’analystes formés et ses procédures de détection éprouvées. La mise en place consiste à intégrer la plateforme du prestataire à l’environnement du client plutôt qu’à créer une plateforme à partir de zéro.

Le modèle interne présente effectivement des avantages dans certains contextes spécifiques. Les organisations disposant de données hautement sensibles ou classifiées, soumises à des exigences de conformité particulières, ou disposant du budget et de la maturité nécessaires pour constituer une équipe interne de niveau international, peuvent estimer qu’un SOC interne constitue un investissement rentable. Pour la majorité des organisations, et pour la quasi-totalité des PME, le rapport coût/couverture du SOCaaS est nettement plus avantageux.

La question des ressources humaines mérite une attention particulière. L'épuisement professionnel des analystes SOC est un problème bien connu du secteur. Selon une étude citée par l'ISACA, les taux de rotation élevés parmi les analystes SOC empêchent les organisations de maintenir une couverture interne constante, même lorsqu'elles ont investi dans le développement de ces capacités. Les fournisseurs de SOCaaS, en revanche, prennent en charge le recrutement, la formation et la fidélisation du personnel pour le compte de leurs clients.

Avantages du SOC en tant que service

Le SOCaaS permet d'obtenir un ensemble de résultats opérationnels que la plupart des organisations ne peuvent pas atteindre de manière rentable par leurs propres moyens. Parmi ses principaux avantages, on peut citer :

• Une couverture 24 h/24, 7 j/7 sans personnel présent en permanence : les menaces ne respectent pas les horaires de bureau. Un fournisseur de services SOCaaS assure une surveillance continue des environnements, y compris la nuit, le week-end et les jours fériés, sans que le client ait à prévoir de personnel pour les quarts de nuit ni à mettre en place un système de permanence.
• Accès à une expertise spécialisée : les analystes SOC, les chasseurs de menaces, les intervenants en cas d'incident et les ingénieurs en sécurité constituent un vivier de talents à la fois coûteux et difficile à recruter. Les fournisseurs de SOCaaS gèrent ces équipes pour le compte de tous leurs clients, mettant ainsi cette expertise spécialisée à la disposition d'entreprises qui ne pourraient pas l'attirer ou la fidéliser par elles-mêmes.
• Mise en place plus rapide : le déploiement d'un fournisseur SOCaaS ne prend que quelques semaines. La mise en place d'un SOC en interne prend plusieurs mois, et il faut souvent encore plus de temps pour atteindre la maturité opérationnelle. Pour les organisations qui ont besoin de disposer rapidement de capacités opérationnelles de sécurité vérifiables (que ce soit pour une cyberassurance, un audit de conformité ou une exigence contractuelle spécifique), le SOCaaS constitue la solution la plus rapide.
• Évolutivité : le SOCaaS s'adapte à l'environnement du client sans nécessiter d'augmentation proportionnelle des effectifs internes ni d'investissement supplémentaire en outils. À mesure que l'entreprise se développe, ajoute des services cloud ou élargit sa surface d'attaque, la portée du service s'ajuste en conséquence.
• Réduction de la fatigue liée aux alertes : les fournisseurs de SOCaaS filtrent et trient les alertes avant de les transmettre au client, ne lui transmettant que les incidents confirmés plutôt que des files d'alertes brutes. Les équipes internes consacrent ainsi leur temps à prendre des décisions qui requièrent leur jugement, plutôt qu'à trier un volume important de notifications de faible qualité.
• Amélioration progressive du niveau de sécurité : un bon fournisseur de SOCaaS procède à des analyses post-incident, affine les règles de détection et intègre les informations sur les menaces dans la couverture de surveillance. Le service gagne en efficacité à mesure qu’il accumule des connaissances sur l’environnement du client.

Comparaison entre le SOCaaS et d'autres services de sécurité gérés similaires

Le SOCaaS coexiste avec plusieurs catégories de services de sécurité gérés qui se recoupent et peuvent sembler similaires à première vue. Comprendre en quoi elles diffèrent aide les entreprises à déterminer quel modèle correspond réellement à leurs besoins.

SOCaaS vs MDR

La détection et la réponse gérées (MDR) et le SOCaaS sont les deux catégories qui prêtent le plus souvent à confusion, et ce à juste titre. Toutes deux associent une technologie de détection à l'intervention d'analystes humains afin de fournir des services externalisés de surveillance et d'intervention en matière de sécurité.

La différence fonctionnelle réside dans le champ d'application. Le MDR se concentre généralement sur la détection et la réponse sur des surfaces de menace spécifiques, le plus souvent les terminaux, les environnements cloud et les systèmes d'identité. Le SOCaaS a une portée plus large de par sa conception : il englobe l’ensemble des fonctions d’un SOC, y compris les rapports de conformité, la coordination de la gestion des vulnérabilités et la couche de gouvernance opérationnelle qui se situe au-dessus de la détection et de la réponse. Dans la pratique, de nombreux services MDR ont considérablement élargi leur champ d’action et fonctionnent de manière très proche de ce qu’offre une solution SOCaaS. Pour les acheteurs, la question essentielle n’est pas de savoir quelle appellation utilise un fournisseur, mais quelles fonctions son service couvre réellement.

SOCaaS vs MSSP

Un fournisseur de services de sécurité gérés (MSSP) propose une gamme plus étendue de services de sécurité gérés, pouvant inclure la gestion des pare-feu, la gestion des identités et des accès, le suivi de la conformité et l'analyse des vulnérabilités, en plus de la détection et de la réponse. Le SOCaaS est un modèle de prestation spécifique axé sur des capacités équivalentes à celles d'un SOC ; le MSSP est une catégorie de services pouvant inclure le SOCaaS comme l'un des éléments d'un contrat plus large.

Les MSSP ont traditionnellement été associés à la transmission d'alertes et à la création de tickets plutôt qu'à l'enquête et à la réponse actives, ce qui constitue justement ce qui distingue les fournisseurs de SOCaaS et de MDR. Une entreprise qui évalue un MSSP doit vérifier précisément si son offre inclut l'enquête et la réponse actives en cas d'incident, ou si elle se limite à la surveillance et à l'alerte.

Tarification SOCaaS : comment fonctionne ce modèle ?

Le SOCaaS est proposé sous forme d'abonnement, mais la structure tarifaire varie selon les prestataires. La compréhension des modèles courants aide les organisations à évaluer et à comparer les différentes options avec précision :

• La tarification par terminal ou par utilisateur est la structure la plus courante. Le client s'acquitte d'un abonnement mensuel ou annuel calculé en fonction du nombre d'appareils surveillés ou de comptes utilisateurs. Ce modèle est prévisible et s'adapte naturellement à la taille de l'entreprise, ce qui facilite grandement la gestion du budget.
• Les offres de services à plusieurs niveaux regroupent différents niveaux de fonctionnalités (surveillance uniquement, surveillance et intervention, services complets équivalents à ceux d'un SOC) à des tarifs variés. Cela permet aux entreprises de commencer par un niveau de couverture de base, puis d'évoluer à mesure que leurs besoins augmentent ou que leur budget le permet.
• La tarification au volume ou en fonction de l'environnement est plus courante dans les déploiements d'entreprise, où c'est l'étendue de l'infrastructure surveillée (nombre de sources de journaux, volume de données ingérées, environnements cloud) qui détermine le prix, plutôt que les effectifs.

Ce qui manque notamment dans les tarifications des services SOCaaS réputés, c'est un véritable tarif « universel ». Les environnements, les exigences en matière de couverture et les besoins de conformité varient trop pour qu'un prix unique puisse s'appliquer de manière générale. La plupart des prestataires exigent un premier entretien de prise de contact et une analyse du périmètre avant d'établir un devis ; les acheteurs doivent se méfier des prestataires qui proposent un devis sans avoir préalablement compris l'environnement qu'ils seront amenés à surveiller.

Comment évaluer les prestataires de services SOC en tant que service (SOC-as-a-Service)

Toutes les offres SOCaaS n'offrent pas le même niveau de couverture ni la même réactivité. Évaluer les prestataires selon les critères suivants permet de distinguer ceux qui méritent d'être pris sérieusement en considération de ceux qu'il convient d'écarter dès le départ.

Une capacité d'intervention, pas seulement une surveillance: la distinction entre un prestataire qui se contente d'alerter et un prestataire qui intervient est importante. Vérifiez si le prestataire met en œuvre des mesures actives de confinement ou s'il se contente d'avertir l'équipe du client lorsqu'un incident est détecté. Une intervention active, comprenant l'isolement des terminaux, la suspension des comptes et l'élimination des menaces, est la norme à laquelle doit répondre toute offre SOCaaS de qualité.

Étendue de la couverture : identifiezles environnements et les sources de données surveillés par le fournisseur (terminaux, réseau, plateformes cloud, applications SaaS, systèmes d'identité, messagerie électronique). Les lacunes dans la couverture se traduisent par des lacunes dans la détection. Un fournisseur qui surveille les terminaux mais pas Microsoft 365, par exemple, laisse sans surveillance l'un des vecteurs d'accès initiaux les plus courants.

Disponibilité des analystes et procédure d'escalade : assurez-vousque des analystes humains sont disponibles 24 h/24 et 7 j/7, et pas uniquement des outils automatisés. Renseignez-vous sur la procédure d'escalade. Dans quel délai un analyste réagira-t-il à une menace confirmée, et comment communiquera-t-il avec votre équipe lors d'un incident en cours ?

Intégration avec les outils existants: un fournisseur de SOCaaS doit pouvoir s'intégrer aux outils que le client utilise déjà, notamment les plateformes RMM, les systèmes PSA (pour les MSP), les agents EDR et les fournisseurs d'identité. Les fournisseurs qui exigent le remplacement de l'infrastructure existante par leurs propres outils génèrent des coûts de migration inutiles et des risques liés à la mise en œuvre.

Transparence et rapports: les clients doivent disposer à tout moment d'une visibilité complète sur les éléments surveillés par le prestataire, les anomalies détectées et les mesures prises. Des rapports réguliers, des tableaux de bord destinés aux clients et une communication réactive constituent les attentes fondamentales d'une relation de services gérés.

Expérience pertinente en matière de conformité : sil'organisation exerce ses activités dans un secteur réglementé, le prestataire doit justifier d'une expérience avérée dans le soutien de ce cadre de conformité. Une couverture SOC générique et une surveillance spécifique à la conformité constituent des capacités sensiblement différentes.

SOCaaS pour les MSP : proposer un SOC géré à leurs clients

La plupart des contenus consacrés au SOCaaS s'adressent aux entreprises qui doivent décider s'il convient d'opter pour une offre SOC gérée. Pour les MSP, la question la plus pertinente est souvent de savoir s'il faut proposer ce service et, le cas échéant, comment le faire.

Proposer une solution SOCaaS à ses clients permet à un MSP de se positionner au sommet de la gamme des services de sécurité et de créer une source de revenus récurrents durable, dont les clients auront du mal à se passer une fois que le service sera intégré à leur environnement. Cela répond également à une demande réelle et croissante de la part des clients : les PME, confrontées à des exigences en matière de cyberassurance, à des obligations de conformité et à des menaces de plus en plus sophistiquées, recherchent activement une couverture de sécurité gérée qui aille au-delà de la protection des terminaux et d’une assistance technique réactive.

Le défi concret pour les MSP consiste à proposer les avantages économiques du SOCaaS à l'échelle des PME. Chaque environnement client pris individuellement est trop petit pour justifier une équipe d'analystes dédiée, mais une capacité SOC centralisée et partagée entre l'ensemble de la clientèle change la donne. Les MSP qui fondent leur offre SOCaaS sur une plateforme conçue pour la gestion multi-locataires, dotée d'une logique de détection standardisée et offrant une visibilité centralisée sur tous les environnements clients, peuvent proposer une couverture homogène sans augmentation proportionnelle des effectifs.

La fourniture de SOCaaS en marque blanche constitue une autre option. Certains prestataires mettent leur plateforme et leurs ressources d'analystes à la disposition des MSP, qui revendent ensuite le service sous leur propre marque. Cela permet aux MSP de proposer immédiatement des services SOCaaS sans avoir à constituer leur propre équipe d'analystes, le prestataire intervenant en coulisses en tant que partenaire.

Comment Kaseya permet la mise en place d'un SOC en tant que service

Kaseya ne commercialise pas de produit portant la mention « SOCaaS ». Ce qu'elle propose, c'est une suite de solutions de sécurité intégrées que les prestataires de services gérés (MSP) et les équipes informatiques utilisent pour mettre en place et fournir, dans la pratique, une couverture équivalente à celle d'un SOCaaS.

Kaseya MDR constitue la couche d’analyse gérée. Des analystes en sécurité basés aux États-Unis assurent une surveillance continue des terminaux, de Microsoft 365 et des pare-feu, tandis qu’un système de corrélation basé sur l’IA filtre les fausses alertes afin que les analystes puissent consacrer leur temps aux menaces confirmées. Pour les MSP, Kaseya MDR est une solution SOC gérée clé en main pouvant être fournie aux clients dans le cadre d’un contrat de gestion de sécurité ( managed services ). Pour les équipes informatiques internes, elle offre une couverture 24 h/24 et 7 j/7 que la plupart ne peuvent pas assurer en interne. La plateforme prend en charge la gestion multi-locataires, ce qui permet d’étendre facilement une couverture de niveau SOCaaS homogène à l’ensemble d’une base de clients à partir d’une interface opérationnelle unique.

Kaseya SIEM fournit la couche de corrélation inter-environnements et de gestion des journaux dont une offre SOCaaS a besoin pour aller au-delà d’une couverture limitée aux terminaux. Avec plus de 60 connecteurs natifs, une conservation des journaux permettant des recherches sur 400 jours et des fonctionnalités d’investigation basées sur l’IA intégrées, Kaseya SIEM collecte les données télémétriques provenant des terminaux, des applications cloud et de l’infrastructure réseau, et met en évidence les menaces qui touchent plusieurs surfaces d’attaque. Pour les organisations qui ont besoin d’un SIEM géré dans le cadre de leur couverture SOCaaS plus large, Kaseya SIEM fonctionne en complément de Kaseya MDR plutôt que de le remplacer ; le SIEM gère l’agrégation des journaux et les rapports de conformité, tandis que le MDR se charge de la détection et de la réponse en temps réel.

Ensemble, ces outils couvrent les éléments essentiels d’un programme SOCaaS (surveillance continue, détection assistée par l’IA, intervention pilotée par des analystes, gestion des journaux sur l’ensemble des environnements et rapports de conformité) que les auditeurs et les assureurs cyber exigent de plus en plus. Pour les MSP qui développent une offre de sécurité gérée, la suite de solutions Kaseya offre une base pouvant être standardisée pour l’ensemble de la clientèle et étendue à mesure que les besoins des clients évoluent.