Le coût du SIEM au gigaoctet : quand l'unité de facturation décide de ce que vous surveillez

Le coût d'un SIEM se calcule presque toujours à partir d'un compteur : gigaoctets ingérés par jour, événements par seconde, ou un palier de données engagé un an à l'avance. Cette seule décision de conception pèse plus lourd sur le comportement d'une équipe de sécurité que n'importe quelle ligne de la fiche produit, parce qu'elle met un prix sur la visibilité elle-même. Chaque source de logs à raccorder devient une discussion budgétaire, et les sources qui perdent l'arbitrage sont toujours les mêmes : les plus bavardes, celles dont une ligne prise isolément ne dit rien — et qui, de temps en temps, font toute la différence.

Le sujet ici, c'est l'unité de facturation, pas l'éditeur. Rien de malhonnête dans le gigaoctet : quelqu'un exploite pour vous du stockage et de la puissance de calcul, et le compteur est une façon défendable de le facturer. Le problème est ailleurs, dans ce que ce compteur apprend à vos équipes entre deux renouvellements.

L'unité de facturation dicte le comportement du SOC

Un prix est une consigne. Facturé au volume, le SOC le moins cher est celui qui collecte le moins ; et l'ingénieur détection qui propose de raccorder une source propose du même coup une hausse de facture, qu'il devra défendre devant quelqu'un dont le métier n'est pas de lire des alertes.

Pire : les trois variables qui font bouger le montant vous échappent toutes les trois — la vitesse à laquelle le parc grandit, le bruit d'une mauvaise semaine, et la durée de conservation que le régulateur vous impose. Gartner décrit des acheteurs de SIEM de plus en plus exaspérés par la dérive des coûts (« SIEM cost bloat »), et cette exaspération relève de l'arithmétique plutôt que de l'humeur : le compteur vous coûte le plus cher précisément les semaines où vous avez le moins le temps d'en discuter.

Chaque unité récompense un comportement différent, et elles méritent d'être mises côte à côte :

Seule la dernière ligne décrit une décision de sécurité. Toutes les autres sont des décisions d'achat déguisées en décisions de sécurité, arbitrées une fois par an par des gens qui ne verront jamais le dossier qu'elles ont rendu impossible.

Les premières sources coupées sont celles dont vous auriez eu besoin

Demandez à un responsable SOC ce qu'il coupe quand le renouvellement revient trop cher : la réponse ne varie pas. DNS, proxy, logs d'authentification verbeux, télémétrie processus sur les endpoints. Beaucoup de volume, peu de valeur par ligne — et exactement les données qui permettent de relier trois alertes anodines et de prouver une intrusion.

Sauf que collecter et détecter sont deux choses différentes. CardinalOps, dans son State of SIEM Detection Risk 2025, a analysé des métadonnées de configuration de SIEM en production : les déploiements observés couvraient environ 21 % des techniques MITRE ATT&CK, alors que les données qu'ils ingéraient déjà permettaient d'en couvrir près de 90 %. Autre constat de la même étude : environ 13 % des règles en place étaient cassées sans que personne l'ait vu.

Rapporté à une facture au gigaoctet, le constat dérange dans les deux sens. Vous payez déjà le stockage de bien plus de données que celles qui servent réellement à détecter, donc acheter de l'ingestion supplémentaire n'est pas le levier qu'on imagine. Mais rogner l'ingestion pour faire baisser la facture supprime une couverture de détection déjà payée et jamais activée. Le compteur pousse vers le second geste, et le second geste ne se voit que le jour où un incident reste inexpliqué.

Le coût d'un SIEM a deux moitiés, une seule arrive sous forme de facture

L'autre moitié, ce sont les heures. Le State of the SOC 2026 de Microsoft et Omdia — une étude commanditée par l'éditeur — rapporte qu'environ deux tiers des équipes SOC perdent près d'un cinquième de leur capacité hebdomadaire en corrélation manuelle : rapprocher à la main des alertes venues d'outils différents pour déterminer si quatre d'entre elles ne forment qu'un seul incident. Le SANS SOC Survey 2025 situe le SOC type entre deux et dix personnes à effectif complet, et 79 % des SOC fonctionnent en continu.

Un cinquième de la semaine d'une équipe de cette taille, c'est un coût permanent qu'aucun processus d'achat ne chiffre. Il n'apparaît sur aucun renouvellement, personne ne le valide, et il se paie en heures d'analyste N1 qui augmentent avec ce même parc qui fait grossir la facture. Pour la plupart des équipes, c'est le plus gros des deux montants.

C'est cette moitié-là que traite une couche de verdict, et pas l'autre. La distinction a son importance, parce que beaucoup d'argumentaires commerciaux entretiennent la confusion.

Une autre unité : un déploiement, un an

Seculogik est une couche de verdict qui se pose au-dessus de la stack de détection que vous exploitez déjà — Splunk, Microsoft Sentinel, CrowdStrike, Microsoft Defender, Cortex XDR, Elastic, OpenSearch, ClickHouse, Wazuh, ou un connecteur que nous développons si votre source n'est pas dans la liste. Elle lit les alertes que ces outils produisent, soumet chacune d'elles à neuf contrôles indépendants qui doivent s'accorder sur une seule réponse, et produit une courte file de triage : chaque dossier porte un verdict, un niveau de confiance, une trace de décision lisible, une échéance, un responsable.

La licence se compte par déploiement et par an. Deux variables seulement font bouger le montant : l'édition retenue et les modules activés. C'est tout le modèle. Ni les gigaoctets qui arrivent sur la machine, ni les endpoints derrière, ni le nombre d'analystes connectés, ni la durée pendant laquelle vous conservez vos propres données.

Pour un SOC managé qui gère plusieurs clients, l'édition MSSP est un forfait unique par déploiement : un client ou cinquante, le montant ne bouge pas. Presque toutes les plateformes auxquelles un MSSP nous compare facturent à l'actif, à l'endpoint ou au volume ingéré, si bien que leur facture grossit le jour où un client de plus est signé. La nôtre, non : chaque client que vous gagnez ne nous rapporte rien de plus.

Auto-hébergé, donc rien à compter de notre côté

C'est une conséquence de l'architecture, pas une faveur commerciale. Seculogik tourne sur une machine qui vous appartient — Debian ou Ubuntu, Docker ou bare metal, sans GPU — à l'intérieur de votre propre réseau. Les alertes, les dossiers et les preuves restent sur votre infrastructure, et nous n'en détenons rien.

Vous facturer au gigaoctet supposerait de mesurer ce qui transite par cette machine, donc de faire remonter chez nous de la télémétrie qui sort de votre parc. On-prem et facturation au compteur ne vont pas ensemble. Cela règle aussi la question de l'enfermement fournisseur de la seule façon qui compte : vos données n'ont jamais été entre nos mains. La licence est un fichier que vous installez, et à l'échéance la plateforme vous le dit clairement au lieu de se dégrader en silence.

Ce que cela ne change pas à votre facture SIEM

Elle ne baisse pas. Les logs restent dans votre propre système de stockage, nous ne vous demandons jamais de les déplacer, et nous ne touchons pas à votre chaîne d'ingestion. Si un éditeur vous annonce que sa couche fera baisser votre coût SIEM d'un pourcentage accrocheur, la question honnête vient juste après : quelles sources attendez-vous que j'arrête de collecter, et qui valide la couverture de détection qui part avec elles ?

Nous ne publions pas nos propres chiffres non plus : pas de grille tarifaire, aucun taux de précision annoncé, aucun pourcentage de réduction des faux positifs. Et nous débutons : aucun client à ce jour, pas de qualification ANSSI ni CSPN, pas de rapport de test d'intrusion tiers, pas de SLA. Ce sont les conditions, annoncées d'emblée, parce qu'une affirmation qu'il faudra retirer plus tard coûte plus cher que le contrat qu'elle a fait signer. Jugez-nous sur la forme du modèle, qui, elle, est vérifiable dès aujourd'hui.

Cinq questions à poser sur le coût du SIEM avant de signer

1. Qu'est-ce qui est mesuré exactement, et combien aurait coûté la pire semaine de l'an dernier avec ce compteur ?
2. Lesquelles de mes sources me conseilleriez-vous de ne pas collecter, et quelle couverture de détection part avec elles ?
3. Le prix bouge-t-il si j'ajoute un analyste, un site, ou une entité que je protège ?
4. Si je conserve les données aussi longtemps que mon régulateur l'exige, combien me coûte la conservation elle-même ?
5. À l'échéance du contrat, qu'est-ce qui me reste : les données, les dossiers, les preuves ?

La dernière est celle qu'on oublie, et c'est elle qui détermine votre marge de manœuvre au renouvellement suivant. L'enfermement fournisseur tient rarement dans une clause qu'on peut montrer : c'est une équipe qui ne peut pas partir, et une équipe qui ne peut pas partir n'a aucun pouvoir de négociation, quelle que soit l'unité de facturation.

Pour aller plus loin

Si la facturation au gigaoctet est ce qui pousse vos propres équipes à débattre de la visibilité, c'est l'unité qu'il faut changer en premier — pas le volume, et pas l'éditeur. Voyez comment se construit un devis Seculogik : un déploiement, un an, deux variables, aucun compteur. Sur le fond de la démarche, le SOC comme système de décision explique pourquoi un SOC se juge aux décisions qu'il produit plutôt qu'aux alertes qu'il affiche.

Quand vous voudrez le chiffre, dites-nous qui vous protégez : nous vous le donnons en une seule conversation.