FAQ : SOC managé

Des agents légers installés sur vos équipements collectent les événements de sécurité et les transmettent à la plateforme en continu. Chaque agent s'authentifie mutuellement avec la plateforme par certificat : aucun collecteur ne communique sans présenter un certificat validé par notre autorité de certification interne. La transmission est chiffrée de bout en bout (TLS 1.3). En mode déploiement sur site, les agents communiquent directement avec les nœuds locaux, sans flux sortant vers l'extérieur.

Systèmes Linux et Windows, équipements réseau (routeurs, commutateurs, pare-feu) via syslog, applications web, bases de données, services de messagerie, et sources cloud via API ou forwarding. Toute source capable d'émettre des journaux structurés ou semi-structurés est intégrable. Les sources hors standards courants nécessitent un développement de parseur dédié. La liste des sources supportées nativement est fournie lors du cadrage.

À l'entrée, chaque événement est parsé pour extraire les champs structurés : horodatage, hôte source, identifiant d'événement, utilisateur concerné, adresse IP. Les événements sont ensuite enrichis (géolocalisation par traitement local, résolution de noms) et indexés dans un schéma commun. La qualité du parsing détermine directement la pertinence de la détection : une source mal parsée génère des angles morts dans la couverture.

Un parseur dédié est développé à partir d'un échantillon de journaux fournis lors du cadrage. Le délai dépend de la complexité du format et de la disponibilité de la documentation technique. Les sources identifiées au cadrage sont intégrées dans le périmètre initial. Les sources découvertes après le démarrage font l'objet d'un avenant au contrat.

La rétention par défaut est de 90 jours en ligne (interrogeable en temps réel) et de 12 mois en archive froide. Des niveaux étendus (24 mois, 7 ans) sont disponibles pour les organisations soumises à des exigences réglementaires spécifiques. La politique de rétention est documentée dans le contrat et ne peut être modifiée sans accord bilatéral.

Oui. Le portail client expose une interface de recherche sur l'ensemble de vos journaux dans la fenêtre de rétention en ligne. Les requêtes sont strictement limitées à vos données : aucune vue croisée avec les données d'un autre client n'est possible, y compris pour un analyste CyberAar. Une API d'accès est disponible pour les besoins d'intégration avec vos outils internes.

Le volume est défini contractuellement en gigaoctets compressés par jour. Un mécanisme d'alerte se déclenche à 80 % du seuil contractuel. En cas de dépassement persistant, un avenant tarifaire est proposé. Aucune donnée n'est perdue ni tronquée sans votre accord explicite.

Oui. La plateforme embarque un ensemble de règles couvrant les techniques d'attaque documentées : élévation de privilèges, mouvements latéraux, persistance, exfiltration de données. Ces règles sont maintenues et mises à jour au fil des nouvelles publications de vulnérabilités et d'indicateurs de compromission. Une note est transmise lors de chaque évolution significative du jeu de règles.

Les règles sont alignées sur le référentiel MITRE ATT&CK. Chaque alerte référence la technique et la tactique correspondante, ce qui permet une qualification rapide et facilite la communication vers votre direction ou vos équipes de conformité.

Oui. Des règles métier sont développées à partir des cas d'usage que vous identifiez : comportements anormaux sur vos applications critiques, accès hors plage horaire sur des systèmes sensibles, volumes de transfert inhabituels. Ce développement s'appuie sur les journaux déjà collectés et ne nécessite pas de source supplémentaire si les données pertinentes sont déjà ingérées.

Quatre niveaux : informationnel, faible, moyen, critique. La classification combine la technique détectée (référence MITRE ATT&CK), la criticité de l'actif touché (définie lors du cadrage avec vous) et les indicateurs de compromission connus. Le même type d'événement peut remonter à des niveaux différents selon le contexte de l'actif concerné.

Les seuils sont calés sur votre comportement nominal lors de la phase de rodage (premières semaines de déploiement). Ils sont révisés trimestriellement et à chaque changement significatif de votre environnement. Chaque modification est tracée et documentée dans le journal de service.

Les alertes critiques déclenchent une notification immédiate via les canaux configurés au démarrage : messagerie d'équipe, webhook vers votre outil de gestion d'incidents, ou notification directe au point de contact désigné. Les canaux sont paramétrables et peuvent cibler des équipes différentes selon la nature de l'alerte. Les alertes de niveau moyen et inférieur sont disponibles dans le portail et consolidées dans les rapports périodiques.

Chaque faux positif signalé fait l'objet d'une analyse documentée. Si la règle est trop sensible, le seuil est ajusté. Si le comportement est légitime et récurrent, une exception documentée est créée. Le taux de faux positifs par catégorie de règle est suivi mensuellement et présenté dans le rapport de service.

Les alertes critiques non acquittées dans le délai contractuel déclenchent une escalade automatique et une notification à votre point de contact désigné. La procédure d'escalade, avec les seuils de délai et les destinataires, est définie contractuellement et testée lors des exercices de simulation.

Les alertes sont traitées par des analystes dédiés. Chaque client dispose d'un analyste référent qui connaît votre contexte, vos actifs critiques et votre historique d'incidents. La qualification des alertes critiques fait systématiquement intervenir un analyste senior.

Notre équipe est répartie sur quatre fuseaux horaires : Dakar (WAT), Casablanca (GMT+1), Paris (GMT+1/+2), Montréal (GMT-4/-5). Cette organisation assure une couverture effective de 6h00 à 24h00 WAT en jours ouvrés. En dehors de cette plage et les week-ends, les alertes critiques déclenchent un protocole d'astreinte avec notification au point de contact désigné. Nous documentons ce qui est réellement couvert plutôt que de revendiquer une surveillance ininterrompue.

Accusé de réception d'une alerte critique : 30 minutes. Qualification initiale (vrai positif ou faux positif) : 2 heures. Rapport d'incident préliminaire : 4 heures après confirmation. Ces délais sont mesurés et reportés dans le rapport mensuel de service.

Nous qualifions l'incident (périmètre, technique identifiée, actifs impactés), documentons la chronologie et transmettons les indicateurs de compromission identifiés. Nous recommandons les actions de confinement adaptées à votre contexte. Si votre organisation dispose d'une équipe de réponse interne, nous l'appuyons techniquement ; dans le cas contraire, nos équipes peuvent intervenir directement dans le cadre d'une mission de réponse à incident.

La détection et la qualification des incidents sont incluses dans le service SOC managé. La réponse à incident opérationnelle (confinement, éradication, remédiation) peut être activée dans le cadre d'une mission complémentaire, facturée séparément. Nous ne réalisons aucune action sur votre infrastructure sans mandat explicite de votre part.

Le portail affiche le statut de vos incidents ouverts, les indicateurs clés de service (volume d'alertes, délais de traitement, taux de faux positifs), l'historique des rapports et la liste de vos actifs surveillés avec leur statut. Vous pouvez soumettre des questions directement à votre analyste référent et suivre les échanges dans l'interface.

Un rapport hebdomadaire synthétise les alertes traitées, les incidents confirmés et les tendances détectées. Un rapport mensuel couvre les indicateurs de performance du service et les recommandations de posture. Les rapports d'incident individuels sont disponibles dans le portail dès leur clôture. Tous les rapports sont exportables en PDF, en français et en anglais.

En déploiement mutualisé, les données sont hébergées sur des serveurs en Europe (Helsinki, Finlande) chez un fournisseur d'infrastructure européen, sans transit vers des services cloud américains ou asiatiques. Pour les organisations soumises à des exigences de résidence de données, nous proposons un déploiement dédié dans votre infrastructure ou chez le fournisseur de votre choix, y compris sur site dans vos propres locaux.

L'accès aux données client est limité aux analystes affectés à votre périmètre et aux ingénieurs responsables de l'exploitation de la plateforme. Chaque accès est journalisé et auditable. Aucun accès n'est accordé à des personnels commerciaux, à des tiers ou à d'autres équipes sans votre accord explicite.

Oui. L'isolation est assurée sur trois couches : transport (TLS 1.3 avec certificats clients mutuels), stockage (clés de chiffrement distinctes par organisation), couche applicative (contrôle d'accès basé sur les rôles, aucune vue croisée possible entre tenants). Un analyste affecté à un client n'a techniquement accès à aucune donnée d'un autre client.

Des agents de triage automatisé sont en cours de développement. Avant tout traitement algorithmique, les identifiants techniques (noms d'hôtes, comptes, adresses IP internes) sont remplacés par des jetons pseudonymisés ; le mapping reste en mémoire locale et n'est jamais transmis. L'exécution de l'inférence localement, sans recours à un service externe, est notre objectif pour la phase de production. Tout livrable généré avec assistance algorithmique est soumis à validation par un analyste humain avant transmission.

Les rapports sont chiffrés au repos (AES-256) et en transit (TLS 1.3). L'accès est limité aux utilisateurs que vous avez habilités dans le portail. Les rapports ne sont jamais partagés entre clients ni utilisés à des fins d'analyse agrégée externe.

À la résiliation, vos journaux et rapports vous sont restitués dans un format standard exportable (JSON, CSV selon le type de donnée) dans un délai de 30 jours. À l'issue de ce délai, toutes vos données sont supprimées de nos systèmes et une attestation de suppression vous est transmise.

Oui. La plateforme repose intégralement sur des composants open source déployables dans votre datacenter ou chez le fournisseur cloud de votre choix. Nous proposons un accompagnement à ce déploiement, incluant l'installation, la configuration et le transfert de compétences à vos équipes.

La plateforme repose intégralement sur des composants open source. Aucune licence propriétaire ne conditionne son fonctionnement. L'infrastructure sous-jacente est reprise par n'importe quel tiers qualifié. Vos données restent les vôtres et sont récupérables à tout moment. Notre couche d'orchestration et le portail client sont propriétaires : leur reprise par un tiers nécessiterait un redéveloppement. Pour les déploiements mutualisés, nous nous engageons contractuellement à fournir une image complète de votre environnement avec un préavis de 90 jours en cas de cessation d'activité.

Non. Les données sont exportables à tout moment dans des formats standards. La plateforme repose sur des protocoles ouverts et des formats non propriétaires. Si vous souhaitez migrer vers une autre solution ou internaliser l'exploitation, nous fournissons la documentation nécessaire et un accompagnement à la transition.

Vous conservez l'intégralité de vos journaux, rapports et configurations exportés. Les règles de détection développées pour votre contexte vous appartiennent et peuvent être exportées. En déploiement dans votre infrastructure, la plateforme reste opérationnelle sans notre intervention.

Oui. Le code des composants open source sous-jacents est public et auditable à tout moment. Notre couche d'orchestration et le portail client ne sont pas publiés. Pour l'environnement mutualisé, nous acceptons des audits techniques encadrés sur demande, selon un scope et des conditions définis contractuellement. Notre propre système de management de la sécurité de l'information est engagé dans une démarche de certification ISO/IEC 27001:2022.

Pour un périmètre standard (systèmes Linux et Windows, équipements réseau courants), le délai d'entrée en surveillance active est de deux à quatre semaines. Ce délai inclut le déploiement des agents, la configuration des sources, la période de rodage des règles et la validation des premières alertes avec vos équipes. Un périmètre comprenant des applications propriétaires ou un environnement cloud hybride nécessite des semaines supplémentaires, estimées lors du cadrage.

La consommation CPU est inférieure à 1 % en régime nominal. L'empreinte mémoire est inférieure à 100 Mo. Les agents fonctionnent en mode passif : ils collectent et transmettent les journaux existants sans modifier la configuration des services surveillés. Des tests de charge peuvent être organisés dans votre environnement de qualification avant tout déploiement en production.

Les deux scénarios sont possibles. La plateforme peut se substituer à un outil de supervision existant ou coexister avec lui en n'en ingérant que les événements pertinents. La configuration retenue dépend de votre architecture et de vos contraintes opérationnelles ; elle est définie lors du cadrage.

Oui. Des intégrations permettent de connecter la plateforme à votre outil de gestion d'incidents existant via webhook ou API. Les alertes qualifiées alimentent alors directement votre base de tickets sans double saisie.

Les agents émettent des connexions sortantes vers la plateforme sur un port dédié (TCP, chiffré TLS). Aucun port entrant n'est requis sur vos équipements. Pour les déploiements mutualisés distants, la liste précise des adresses IP de destination est fournie en amont pour la configuration de vos règles de pare-feu sortant.

La phase de démarrage comprend un cadrage technique (inventaire des sources, définition des actifs critiques, configuration des notifications), le déploiement des agents avec vos équipes, une période de rodage avec analyse quotidienne des premières alertes, et un point de validation avant passage en régime normal. Un document de référence opérationnel est remis à l'issue de cette phase.

La facturation est mensuelle, sur la base du nombre d'actifs surveillés et du volume de journaux contractualisé. Il n'y a pas de frais variables liés au nombre d'alertes ou au nombre d'incidents traités dans le mois. Le tarif est établi après cadrage du périmètre et du niveau de service.

Les niveaux de service sont détaillés sur la page SOC managé. En synthèse : le niveau de base couvre la surveillance, la détection et les alertes. Les niveaux supérieurs ajoutent la qualification par un analyste dédié, le développement de règles métier spécifiques, l'accès au portail client avancé et l'appui à la réponse à incident.

Le programme pilote permet de déployer la plateforme sur un périmètre restreint pendant une durée déterminée. À l'issue du pilote, un rapport documente les détections réalisées, les faux positifs rencontrés et les ajustements effectués. Ce rapport sert de base à la décision de déploiement étendu. Les conditions du pilote (périmètre, durée, livrables) sont définies contractuellement.

Notre SMSI est aligné sur la norme ISO/IEC 27001:2022 et la démarche de certification est engagée. Nous ne revendiquons pas la certification tant qu'elle n'est pas obtenue.

Oui, dans le périmètre de notre rôle. La plateforme contribue à la traçabilité des événements de sécurité, à la conservation des preuves et à la détection des incidents, éléments requis par des référentiels comme DORA, NIS 2 ou les régulations sectorielles locales. Nous documentons ce que la plateforme couvre et ce qu'elle ne couvre pas, pour que vous puissiez l'intégrer correctement dans votre dossier de conformité.

Oui. Un accord de confidentialité est signé avant tout échange d'information sensible et préalablement à tout accès à vos données. Le contrat de service inclut des clauses spécifiques à la confidentialité des données de journalisation.