Ce qu'un MSSP attend d'une plateforme SOC et qu'un SIEM mono-organisation ne donnera pas
Un SOC managé a besoin de quatre choses qu'aucun SIEM mono-organisation ne fournit — une cloison étanche entre ses clients, les alertes non attribuables mises en attente plutôt que devinées, du reporting à sa marque, un tarif qui ne bouge pas quand il signe.
Une plateforme SOC pour MSSP doit tenir une contrainte qu'on n'a jamais posée à un SIEM mono-organisation : cloisonner complètement les clients, tout en laissant une équipe réduite en assurer le premier tri, tous clients confondus, depuis un seul écran. Le reste en découle — ce que devient une alerte que personne ne sait attribuer, le nom qui figure en haut du rapport mensuel, et le fait que votre facture monte ou non le mois où vous signez un client de plus. Trois de ces quatre points ne se voient pas sur une fiche produit ; mieux vaut donc les vérifier avant de signer qu'après.
La plupart des prestataires arrivent au multi-clients sans l'avoir vraiment décidé. Soit un SIEM par client : rien ne fuit, mais rien ne se regarde ensemble non plus. Soit un SIEM unique avec un champ « client », une recherche enregistrée par compte, et une frontière qui n'existe que dans la tête d'un analyste à trois heures du matin, et qui ne survit pas à la passation de consignes. Les deux tiennent jusqu'à la semaine où vous gagnez deux clients et perdez un analyste.
Ce qu'un MSSP exige et qu'un SIEM mono-organisation ne couvre pas
Tout l'argument tient en quatre lignes.
| Ce dont un prestataire a besoin | Ce que donne un outil mono-organisation |
|---|---|
| Une cloison entre clients, imposée par le produit | Un champ à filtrer, et de la discipline |
| Une alerte non attribuable, mise en attente d'un analyste | Une hypothèse, rangée chez quelqu'un |
| Du reporting à votre marque, client par client | Le rapport d'une seule organisation, exporté puis repris à la main |
| Un tarif qui ne bouge pas quand vous signez | Un compteur au volume, à l'endpoint ou à l'actif |
Rien d'exotique là-dedans : c'est simplement une autre question produit. Un SIEM répond à que s'est-il passé dans ce parc. Un prestataire doit répondre à que s'est-il passé dans ce parc, et prouver que rien d'un autre parc n'est entré dans la réponse.
On parle ici de l'édition MSSP de Seculogik, et autant le dire tout de suite : les éditions Free et Client sont mono-organisation. Dans ces deux-là il y a exactement un parc, le vôtre ; rien de la mécanique décrite plus bas n'existe, et vous ne payez pas pour de la tuyauterie qui ne vous servira jamais. La page des éditions présente les trois.
Le cloisonnement est une frontière, pas un filtre
Un client, un espace de dossier. Toujours.
L'affirmation est plus forte qu'elle n'en a l'air. Le même hash de fichier, le même nom d'hôte, la même IP publique et la même technique observés chez deux clients produisent deux dossiers distincts — preuves identiques ou non — parce que l'alternative, c'est une plateforme de sécurité qui apprend à un client l'incident d'un autre. Un dossier qui couvrirait deux d'entre eux est refusé ; il n'existe tout simplement jamais.
Le mur est imposé à plusieurs niveaux indépendants plutôt que par un contrôle unique que quelqu'un finira par oublier : à l'arrivée de l'alerte, à chaque question que le moteur de corrélation pose aux données, puis une nouvelle fois au verdict qu'il écrit. Chacun de ces niveaux tiendrait seul. Cette redondance est voulue : il suffit d'un refactoring pour qu'un filtre unique devienne faux, et c'est un client qui vous l'apprendrait.
Le cloisonnement doit aussi être invisible, pas seulement verrouillé. Les dossiers d'un client ne sont pas masqués aux utilisateurs d'un autre derrière une permission : ils n'apparaissent pas du tout, si bien que même l'existence d'un dossier ne fuit pas. Un message « vous n'avez pas accès à ce dossier » est déjà une divulgation.
Le moteur, lui, s'ajuste à chaque parc — seuils, patterns bénins connus, ce que vos analystes ont déjà tranché — si bien que l'ingénierie de détection menée pour un client n'atteint jamais les verdicts d'un autre. Cette frontière-là est la seule chose que nous ne rendons jamais configurable.
L'alerte que personne ne sait attribuer est celle qui finit mal rangée
Tout prestataire connaît cette alerte. Une ligne de syslog venue d'un équipement que personne n'a inventorié. Un flux parti du compte cloud d'un client avant la fin de l'onboarding. Une source qui a changé sa convention de nommage d'hôtes pendant un week-end.
Une plateforme a deux options, et une seule est honnête. Elle peut deviner — retenir le client le plus probable et ranger l'alerte chez lui — ou la mettre en quarantaine et attendre qu'un humain l'attribue. Seculogik la met en quarantaine. L'attribution précède la qualification : une alerte qu'on ne sait pas attribuer avec certitude n'entre jamais dans l'espace de dossier d'un client sur la foi d'une probabilité.
Deviner fait meilleure figure sur un dashboard et se paie partout ailleurs. Une alerte mal rangée, c'est un dossier erroné dans la file de quelqu'un, un analyste qui lit la télémétrie d'un client sous le nom d'un autre, et un rapport d'incident qui ne résistera pas à une relecture attentive. Attendre vous coûte une ligne en quarantaine et une minute d'attention.
C'est le même réflexe dans tout le produit : chez SIROC, l'analyste IA du module Advanced AI, chaque preuve citée est recoupée avec les alertes du dossier, et un verdict que les preuves ne soutiennent pas est rétrogradé devant l'analyste plutôt qu'accepté en silence.
Ce garde-fou compte plus pour un prestataire que pour une équipe interne : c'est vous qui devrez défendre le verdict devant quelqu'un qui n'est pas dans vos effectifs. Une plateforme capable de dire je ne sais pas vaut mieux qu'une plateforme qui a toujours une réponse.
Un reporting que votre client lit, à votre nom
Pour un SOC interne, le reporting est une corvée trimestrielle. Pour un prestataire, c'est le produit.
C'est ce que votre client reçoit, ce que son RSSI fait remonter, et souvent sa seule preuve que vous travaillez. La direction qui le lit demande l'impact métier, pas un volume d'alertes.
L'édition MSSP embarque la marque blanche : ce qui arrive chez votre client a l'air de venir de vous. Ce qu'il y a derrière relève du module SOC Reporting, licencié à part — rapports par dossier et par organisation, scorecards NIST CSF, ISO 27001, RGPD, DORA et NIS2, dossiers de preuves qui énoncent leur méthodologie et leur couverture au lieu d'afficher un chiffre sans provenance. Une métrique qui ne peut pas être calculée le dit, au lieu de deviner. Les six modules sont listés avec ce que chacun retire de votre semaine.
Cet énoncé de couverture compte plus pour un prestataire que pour n'importe qui d'autre, parce que vous êtes payé pour regarder. Un rapport qui annonce 3 critiques sans dire quelle part du parc a réellement été énumérée est une affirmation que vous ne pourrez pas défendre le jour où il apparaîtra qu'un tiers des hôtes n'a jamais été scanné.
Il y a aussi un volet réglementaire. Le CIR (UE) 2024/2690 — le règlement d'exécution de la Commission — fait des prestataires de services de sécurité gérés une catégorie réglementée à part entière, et DORA impose une échéance à la classification des incidents chez les entités financières, dont vous comptez peut-être quelques-unes parmi vos clients. Nous avons traité à part le texte exact et les dates, y compris ce qui, dans ce qu'on vous en a dit, relève du folklore d'éditeur.
Un tarif qui n'augmente pas à chaque nouveau client
L'édition MSSP se facture au forfait, par déploiement et par an. Un client ou cinquante, même tarif.
Regardez ce que vous chiffrent les autres éditeurs de votre short list. C'est presque toujours au compteur — volume ingéré, endpoint, actif, client supervisé. Leur facture monte donc chaque fois que vous gagnez : c'est votre réussite commerciale qui fait leur chiffre d'affaires. Vous finissez par négocier contre votre propre croissance, ou par brancher discrètement moins de sources sur les parcs que vous êtes censé surveiller.
L'enfermement fournisseur s'annonce rarement comme tel. Il arrive sous la forme d'un compteur qui rend votre propre croissance coûteuse, et d'une facture que vous ne renégociez jamais parce que l'alternative serait de déménager tous vos clients d'un coup.
Deux choses font bouger un devis Seculogik : l'édition que vous déployez et les modules que vous activez. C'est tout le modèle, et il est exposé sur la page des tarifs, qui ne publie aucun chiffre parce que nous préférons expliquer la structure plutôt qu'imprimer une grille sur laquelle il faudrait peut-être revenir. Rien n'est compté à l'ingestion, à l'endpoint, au compte nominatif, à la rétention, ni au nombre de clients que vous servez.
Concrètement, pour une petite équipe, cela veut dire que vous pouvez tout envoyer à la plateforme. Une couche de décision qui coûte plus cher quand on l'alimente davantage apprend à vos analystes à l'alimenter moins : c'est une drôle de chose à acheter.
D'où viennent les dossiers
Rien de tout cela ne suppose que vous remplaciez ce que vos clients utilisent déjà — et le plus souvent vous ne le pouvez pas, puisque ce sont eux qui l'ont choisi.
Seculogik se place au-dessus de la stack de détection déjà en place dans chaque parc : plateformes du marché comme Splunk, Microsoft Sentinel, CrowdStrike, Microsoft Defender, SentinelOne et Cortex XDR ; SIEM et stacks de données open source comme Elastic, OpenSearch, ClickHouse et Wazuh ; télémétrie cloud récupérée par connecteur ; événements poussés par un webhook générique et mappés une fois pour toutes. Si un client tourne sur autre chose, nous construisons le connecteur. Un client sous Sentinel et le suivant sous Elastic arrivent devant la même équipe, jugés de la même façon, chacun dans son espace de dossier.
Ce que nous ne prétendons pas
Nous sommes en pré-GA. Nous n'avons aucun client à citer, aucun logo, aucun témoignage, aucune étude de cas, et nous ne les inventerons pas. Nous ne détenons ni qualification ANSSI ni CSPN, nous n'avons aucun rapport de pentest tiers à vous remettre, et nous ne proposons pas encore de SLA.
Nous ne vendons pas non plus de SOC autonome. La position officielle de Gartner est qu'il n'y en aura jamais, et nous la partageons : la plateforme décide de ce qui mérite l'attention et explique pourquoi ; ce qu'on en fait reste une décision humaine.
Si vous servez plusieurs organisations et voulez voir le cloisonnement, la file de quarantaine et un rapport en marque blanche appliqués à vos propres alertes, demandez une démonstration et venez avec le profil de trafic de l'un de vos clients.