Délais d'escalade des alertes dans un contrat SOC — que doit contenir le SLA ?

Refusez catégoriquement la mention « délai raisonnable », ça n'a aucune valeur juridique. Vous êtes une fintech, les régulateurs vont auditer ce contrat. Pour les alertes critiques, imposez l'appel téléphonique 24/7 comme mode de notification officiel, pas un simple e-mail.

De notre côté on a fixé : P1 notification par téléphone en 15 min, P2 en 30 min, P3 en 2h. L'an dernier le prestataire a mis 40 minutes sur deux alertes critiques. On a fait jouer les pénalités avec 25% de retenue sur les factures concernées, depuis ils sont réglés comme une horloge.

Intégrez directement les métriques MTTA (temps moyen d'acquittement) et MTTD (temps moyen de détection) dans le contrat. Les commerciaux acceptent généralement sans problème mais les juristes coincent. S'ils font de la résistance, allongez un peu les délais mais ne laissez pas le moindre terme flou ou ouvert à interprétation.

Faites ajouter mot pour mot ces trois clauses au projet de contrat : 1) Pour les alertes de niveau P1, obligation de joindre le responsable par téléphone dans les 15 minutes suivant la détection. 2) La notification ne peut se limiter à un e-mail, un journal des appels vocaux doit être tenu. 3) En cas de 3 dépassements de SLA dans le mois, une pénalité sera appliquée sur le montant mensuel de la prestation.

Même s'ils indiquent 10 minutes sur le papier, demandez-leur combien d'analystes sont réellement présents par shift. S'ils sont deux pour gérer cinq cents clients, c'est matériellement impossible de tenir ces délais. Plutôt que les délais purs renseignez-vous sur le ratio clients par analyste en poste.

Pour garantir votre sécurité juridique, il est essentiel d'exiger la suppression des formulations ambiguës du projet de contrat qui vous a été transmis, et de faire annexer un Tableau des Niveaux de Service (Annexe 1) stipulant à la minute près les délais de réaction et d'escalade pour chaque niveau d'alerte.

Petite question qui définit la classification P1 P2 ? franchement par exemple, si notre serveur est en surcharge ça passe en P1 ou bien c'est uniquement en cas d'attaque ?

edit : j'ai écrit une erreur ci-dessus, désolé.

Exactement, et ce n'est pas si connu que ça. Essayer de faire cela seul est la voie la plus coûteuse.

Sujet très actuel.

Je vous conseille de ne pas vous presser. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

J'espère que cela vous sera utile.

Merci, c'était exactement la réponse que je cherchais.

Je suis passé par là, laissez-moi vous raconter. Prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir.

Si vous avez des questions, écrivez-moi je répondrai au mieux.

Je suis d'accord en partie pas en partie. bon une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches. Bon courage.

c'est noté, merci et prendre des notes pendant deux semaines donne de meiilleurs résultats qu'une estimation de six mois.

à votre palce j'irais par cette voie.

Je partage mon expérience. Si c'est une première, commencez petit l'échelle viendra plus tard.

La discussion part dans tous les sens, je recentre. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Corrigez-moi si je me trompe.

Je suis d'accord.

Merci beaucoup, cela m'a été très utile. Avant de décider, regardez quelles données vous avez en main.

Je suis aussi curieux de savoir si d'autres font autrement.