Le client exige un SOC, est-ce vraiment obligatoire pour une boîte de 20 personnes ?

Ne cochez surtout pas « Non » direct sur le questionnaire. Signez un accord de principe avec un MSSP externe et mettez « Surveillance 24/7 assurée via une infrastructure SOC tierce managée » sinon votre dossier sera recalé direct.

edit : j'ai écrit depuis mon téléphone, désolé pour les fautes.

On a répondu à un appel d'offres public similaire avec notre équipe de 22 personnes. En interne, ça nous aurait coûté au moins 400.000 SAR par an rien qu'en masse salariale. On est passés par un SOC externalisé : on paie environ 4.800 SAR par mois pour 8 serveurs et 25 endpoints, et l'audit client est passé comme une lettre à la poste.

Veillez bien à ce que le SOC externe que vous choisirez conserve les logs sur le territoire saoudien. Selon les réglementations nationales sur les données, le transfert de logs de sécurité hors des frontières par des fournisseurs de secteurs critiques peut vous exposer à des sanctions administratives.

Les grands groupes envoient ces questionnaires types à tout le monde. Ils savent très bien que les petites boîtes de dev ne peuvent pas avoir ça en interne. Si vous négociez en précisant que seuls les endpoints API sont monitorés avec une rétention des logs garantie ils peuvent assouplir la clause.

celui qui vous dit de monter un soc interne pour une boite de 20 personnes connait rien au marché. rien qu'embaucher des analystes en 3x8 tu coules... prenez une offre mutualisée chez un mssp montrez le contrat au client et c'est réglé.

edit : j'ai écrit une erreur ci-dessus, désolé.

Pour choisir votre prestataire externe, vérifiez bien ces trois critères dans les devis : 1) Le délai de première intervention sur les alertes critiques (le SLA doit être de 15 à 30 minutes), 2) La rétention des logs sur au moins 12 mois glissants, 3) Le modèle de rapport mensuel d'incidents cyber que vous pourrez fournir à votre client lors des audits.

Est-ce que le cahier des charges mentionne explicitement les contrôles essentiels de cybersécurité (ECC) ou les contrôles pour tiers (CCC) de la NCA ? Si oui, quel niveau de conformité est demandé ?

de notre côté, on a activé les alertes de sécurité et les notifications par mail de notre fournisseur cloud, est-ce que ça ne suffiit pas pour valider l'exigence d'un SOC ?

Vous avez raison. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Bon courage.

Je vais défendre l'opposé ne m'en veuillez pas. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. C'est mon avis je ne l'écris pas comme une vérité absolue.

je vais résuemr ce qui a été dit jusqu'ici. aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger.

le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle... bref corrigez-moi si je me trompe.

Je vais résumer ce qui a été dit jusqu'ici. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Bon courage.

Vous avez raison, je suis aussi passé par là. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

C'est confirmé par l'expérience.

Absolument. Si j'ajoute quelque chose : Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Je le note au cas où.

Je suis du même avis. Une sauvegarde non testée n'est pas une sauvegarde.

J'espère que cela vous sera utile.

C'est exactement ça. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

C'est confirmé par l'expérience.

séparons les concepts, ils sont souvent confondus. les environnements de test oubliés sont plus souvent des potes d'entrée que les systèmes de production.