On a reçu trois devis de SOC — quel tableau monter pour comparer le périmètre et les SLA ?

Côté SLA, faites très attention au point de départ du MTTD et du MTTR. Beaucoup de prestataires ne déclenchent le chrono qu'à partir du moment où l'analyste d'astreinte valide manuellement le ticket, et non dès que l'alerte tombe dans leur SIEM. Un temps de réponse annoncé à 15 minutes peut vite se transformer en 2 heures réelles.

L'année dernière, on a signé pour une infra similaire avec un budget de 80.000 TL. Ils avaient sous-estimé notre quota de logs : au bout de trois mois, on a explosé le volume et reçu une rallonge de 28.000 TL. Verrouillez dès le départ le tarif du Go supplémentaire hors forfait.

Ne faites jamais confiance aveuglément à la mention « 24/7 ». Bien souvent, la nuit, il n'y a qu'un stagiaire ou un N1 de garde qui garde les yeux rivés sur un écran. À 3 h du matin en cas de suspicion de ransomware est-ce qu'un expert N2/N3 est joignable immédiatement pour isoler la machine, ou faut-il attendre l'équipe de 9 h ?

Les 4 points de contrôle indispensables à mettre dans votre comparatif : 1) Coût de dépassement du quota journalier en Go et en EPS. 2) Report ou non des heures de réponse à incident non consommées sur le mois suivant. 3) Fréquence des revues et de l'optimisation des règles de détection. 4) Durée de rétention et d'indexation des logs pour les audits.

chez nous le pire c'etait les faux positifs. cinquante alertes bidon par jour au bout d'un moment plus personne regarde... franchement demandez-leur d'ecrire noir sur blanc combien de j/h par mois ils passent sur le tuning et l'amelioration des regles.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Pour la présentation au board, laissez de côté le jargon technique et faites une synthèse axée risques et coûts. Ajoutez une colonne « hors périmètre ». Si vous ne délimitez pas clairement ce qui incombe à votre équipe interne et ce qui revient au SOC lors d'un incident, chacun se rejettera la faute au moment de la crise.

Avant de signer le contrat exigez un PoC de 15 jours. Branchez au moins deux serveurs critiques et quelques postes. Ne balancez pas ce genre de budget sans avoir vérifié de vos propres yeux l'ergonomie de leur portail et la réactivité réelle des alertes.

Qui s'occupe de la gestion de l'EDR sur les postes utilisateurs ? Les prestataires se contentent-ils de collecter les logs, ou ont-ils la main et les outils nécessaires pour isoler directement une machine suspecte du réseau en cas de menace ?

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Bien sûr, cela change si votre situation est différente.

chez nous, ça s'est passé comme ça. bref si la double authentification est activée, un mot de passe volé seul ne suffit pas.

à votre place, j'irais par cette voie.

Mes doutes sont levés, merci.

J'ai travaillé longtemps sur ce sujet. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Avant de décider regardez quelles données vous avez en main.

C'est une bonne idée d'avoir ouvert ce sujet.

Beau travail.

Désolé, mais ce n'est pas vrai dans tous les cas. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Je me pose aussi la question.

Je suis entièrement d'accord. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Résumé rapide pour les nouveaux : Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.