SOC multi-client : vérifier l’isolation jusque dans les exports
Espaces de travail, permissions, tickets et exports : les points à examiner pour maîtriser la séparation des données dans un SOC multi-client.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Un SOC qui travaille pour plusieurs organisations doit distinguer leurs données, leurs autorisations et leurs procédures. Cette séparation concerne les recherches dans la plateforme, mais aussi les tickets, les rapports et les pièces transmises pendant une investigation.
Le fait documenté : Microsoft décrit une architecture Sentinel reposant sur plusieurs espaces de travail et tenants pour certains usages MSSP. Sa documentation présente notamment les enjeux de propriété des données et de gestion des accès.
Ce modèle reste un exemple d’architecture éditeur, dont l’adéquation dépend du contexte. Source : Microsoft Learn
Suivre le parcours de l’information
Notre recommandation : dessiner le trajet d’un événement depuis sa source jusqu’au livrable client. Identifiez chaque point de stockage, de transformation et de consultation.
Ajoutez les systèmes annexes : gestion des tickets, partage de fichiers, notifications et outils utilisés pour produire les rapports.
Pour chaque étape, posez trois questions : comment l’organisation concernée est-elle identifiée, qui peut accéder à l’information et comment le bon destinataire est-il sélectionné ? Une séparation correcte dans le stockage principal doit rester cohérente lors des traitements suivants.
Tester les frontières du service
Préparez des données fictives propres à deux périmètres de test. Vérifiez qu’un profil limité au premier ne peut pas consulter le second, y compris par une recherche sauvegardée ou un export.
Documentez les chemins testés et ceux qui restent à examiner.
Contrôlez également les automatismes. Une règle partagée doit s’exécuter dans le bon contexte. Un modèle de rapport doit sélectionner les bonnes données. Un changement de périmètre dans une interface doit être visible avant toute action susceptible d’affecter un autre environnement.
Organiser les exceptions et la sortie
Certaines équipes centrales peuvent avoir un besoin justifié de consultation transversale. Encadrez ce besoin par une finalité, des permissions adaptées et une traçabilité. Ne déduisez pas d’un accès transversal qu’un partage de données entre clients est autorisé.
La fin de prestation constitue un autre test important. Précisez les modalités de restitution, le retrait des accès et le traitement des copies conservées selon les engagements applicables.
Vérifiez ces points avec les responsables concernés plutôt que de présumer une suppression automatique.
Pour discuter d’un dispositif multi-client avec Seculogik, demandez une présentation du parcours des données et des contrôles de séparation.
Des tests représentatifs et des limites documentées fournissent une base d’évaluation plus concrète qu’une affirmation générale d’isolation, quel que soit l’outil utilisé.