On essaie de nous vendre un service SIEM — est-ce vraiment utile à notre échelle, à quoi ça sert ?

Le coup du « le SIEM est obligatoire pour la KVKK », c'est du baratin commercial. La loi exige de prendre des mesures techniques raisonnables pour protéger les données perso et de pouvoir tracer les accès a posteriori elle n'impose aucun logiciel précis. Si vous stockez vos logs d'accès de base avec horodatage vous êtes dans les clous. Ils jouent sur la peur pour vous faire signer un contrat.

On est un cabinet d'archi de 55 salariés. Il y a deux ans, pris de panique de la même façon, on a souscrit à ce genre d'offre à 18.000 TL par mois. Pendant six mois, ils nous ont juste envoyé des PDF standard chaque semaine. En regardant de près, ça générait trois cents faux positifs par semaine, rien de concret. À la fin du contrat, on a résilié pour passer sur des licences endpoint avancées, coût divisé par trois.

L'efficacité d'un moteur SIEM repose sur la corrélation. Faut lui injecter les logs Active Directory, les switchs, le firewall... Dans une boîte de 40 postes, combien d'événements de sécurité pertinents par jour ? L'essentiel des alertes se résumera à « Ahmet a raté son mot de passe trois fois ». Payer des milliers de livres chaque mois à un tiers pour surveiller ça, c'est absurde.

ils ont sorti le même discours à mon patron après coup le serveur de la boîte a pris un ransomware. pcq le collègue de la compta avait ouvert une fausse facture et y avait même pas de double auth. les experts nous ont dit qu'avec le siem on aurait juste regardé le virus se propager en direct. commencez par combler les failles de base à mon avis.

Est-ce que vous avez de grands constructeurs auto ou des partenaires étrangers parmi vos clients qui imposent des audits ? Parfois les donneurs d'ordres exigent contractuellement des normes de sécurité ou de la surveillance en temps réel. S'il n'y a pas cette contrainte externe, l'offre me semble totalement surdimensionnée pour vous.

Avant de lâcher cet argent dans un SIEM, vérifiez ces trois points : 1) Les serveurs compta et ERP ont-ils des ports ouverts directement sur le net ? 2) Vos sauvegardes sont-elles isolées physiquement du réseau ? 3) Tous vos postes ont-ils une protection endpoint sous licence managée ? Si non, le SIEM servira juste à regarder la maison brûler.

Déclinez poliment l'offre et augmentez plutôt la capacité d'archivage des logs de votre pare-feu actuel. Mettez un stockage externe où vous envoyez les logs, vérifiez vos sauvegardes tous les jours et basta. Au lieu de cramer 22.000 TL par mois là-dedans, utilisez ce budget pour votre tech ou pour renouveler votre matos.

Dans la boîte de transport où je bossais avant, ils ont installé ça avec le même enthousiasme. Le premier mois, l'équipe IT recevait tellement d'alertes qu'elle a tout mis en sourdine. Résultat, au quatrième mois, un serveur s'est fait chiffrer au milieu du bruit sans que personne ne s'en aperçoive. L'outil ne fait pas tout, c'est l'humain derrière qui compte, et avec un budget de PME, on ne peut pas se payer ces compétences.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Il y a un point auquel il faut faire attention. Avant de décider, regardez quelles données vous avez en main.

Corrigez-moi si je me trompe.

Le point le plus souvent négligé concernant Qu'est-ce qu'un service SIEM est : Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Bon courage.

Je vais essayer. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Voilà, désolé si je me suis étendu.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. À votre place, j'irais par cette voie.

Je suis d'accord.

Je suis d'accord. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Je pense différemment. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas. Voilà, désolé si je me suis étendu.

Nous avons aussi bloqué au même endroit à une époque. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

J'espère que cela vous sera utile.

Je suis d'accord. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Je vais défendre l'opposé, ne m'en veuillez pas. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions. Voilà, désolé si je me suis étendu.