Une attaque ne s'annonce pas. Elle s'installe, souvent un vendredi soir, parfois des semaines avant que quelqu'un ne remarque quoi que ce soit.
C'est précisément là qu'intervient un SOC managé, ou Security Operations Center externalisé. Une équipe d'analystes surveille en continu les journaux, les postes, les serveurs et les flux réseau de votre entreprise pour repérer ce qui cloche, puis réagir avant que l'incident ne tourne à la crise. Les prestataires référencés dans cette catégorie interviennent à Toulouse et dans son agglomération, de Blagnac à Labège en passant par Colomiers et Balma.
Honnêtement, peu de PME ou d'ETI ont les moyens de monter leur propre centre de supervision. Il faut des outils coûteux, des profils rares, et surtout une présence 24 h/24. L'externalisation n'est pas un aveu de faiblesse : c'est souvent la seule façon réaliste d'être protégé la nuit.
Le terme est galvaudé. Certains vendent un simple tableau de bord d'alertes sous l'étiquette SOC, d'autres assurent une vraie chasse aux menaces avec des analystes qui décrochent le téléphone à 3 h du matin. Mieux vaut savoir ce qu'on achète.
Tout commence par un SIEM, l'outil qui centralise les logs de vos pare-feux, de votre Active Directory, de vos serveurs, de Microsoft 365 ou de vos applications métier. Pris isolément, un échec de connexion ne veut rien dire. Trois cents échecs en dix minutes sur un compte administrateur, suivis d'une connexion réussie depuis un pays inhabituel, là, oui.
Le travail du SOC consiste à écrire et affiner ces règles de corrélation. Un bon prestataire passe les premières semaines à réduire le bruit ; un mauvais vous noie sous les faux positifs, et vos équipes finissent par ne plus rien lire.
Les logs ne suffisent plus. La plupart des offres sérieuses s'appuient aujourd'hui sur un EDR (détection et réponse sur les terminaux), voire un XDR qui croise postes, messagerie, identités et cloud. Certaines ajoutent une sonde NDR pour analyser le trafic réseau, utile quand une partie du parc ne peut pas accueillir d'agent : automates industriels, équipements anciens, matériel médical.
Une alerte n'est utile que si quelqu'un la qualifie. L'analyste vérifie, écarte le faux positif ou confirme l'incident, puis agit : isolement d'un poste, blocage d'un compte, coupure d'une session suspecte. On parle alors de MDR, pour Managed Detection and Response.
Posez la question clairement avant de signer. Le prestataire a-t-il le droit d'intervenir sur votre environnement, ou se contente-t-il de vous envoyer un mail ? La différence, un dimanche à 4 h du matin, est considérable.
Toulouse, c'est l'aéronautique, le spatial, l'embarqué, une filière santé solide autour de l'Oncopole, et des centaines de sous-traitants de rang 2 ou 3 qui gravitent autour des grands donneurs d'ordre.
Ce tissu attire les attaquants pour une raison simple : il est plus facile de passer par un petit fournisseur que de forcer la porte d'un grand groupe. L'attaque par la chaîne d'approvisionnement n'a rien de théorique. Les donneurs d'ordre le savent, et beaucoup exigent désormais de leurs sous-traitants des preuves de supervision, clauses contractuelles à l'appui.
Il y a aussi le cadre réglementaire. La directive européenne NIS2 élargit fortement le nombre d'entités concernées par des obligations de sécurité et de notification d'incidents, y compris des structures de taille moyenne qui n'avaient jamais été visées. Sans capacité de détection, difficile de notifier un incident dans les délais : on ne signale pas ce qu'on n'a pas vu.
Les offres se ressemblent toutes sur le papier. C'est dans le détail que tout se joue, et quelques questions permettent de faire le tri assez vite.
« 24/7 » peut vouloir dire une équipe éveillée en permanence, ou un système d'astreinte avec un analyste réveillé par SMS. Les deux se défendent selon votre budget, mais ce ne sont pas les mêmes délais de prise en charge. Demandez les engagements chiffrés : délai de qualification, délai de notification, délai d'action.
L'ANSSI qualifie les prestataires de détection des incidents de sécurité sous le label PDIS, et ceux de réponse sous le label PRIS. Ces qualifications ne sont pas obligatoires pour toutes les entreprises, mais elles offrent un gage sérieux de méthode. Pour les acteurs sensibles, notamment dans la défense ou la santé, elles peuvent devenir incontournables.
Vérifiez aussi où sont hébergés vos logs. Hébergement en France ou dans l'Union européenne, conditions d'accès, durée de conservation : ce sont des points qui reviennent systématiquement en audit.
On pourrait penser qu'un SOC se pilote à distance, point. C'est vrai pour la surveillance. Beaucoup moins en cas de crise majeure, quand il faut quelqu'un sur place pour reconstruire un contrôleur de domaine ou rassurer une direction qui ne dort plus depuis deux jours.
Un prestataire implanté à Toulouse ou en Occitanie connaît le tissu local, les contraintes des sous-traitants aéronautiques, et peut se déplacer dans l'heure. Ce n'est pas un détail.
Certains SOC imposent leur propre pile technologique, d'autres s'adaptent à ce que vous avez déjà : un Microsoft Sentinel en place, un EDR acheté l'an dernier. Aucune approche n'est meilleure par principe. En revanche, demandez ce qu'il advient de vos règles et de vos données si vous changez de prestataire. La réversibilité est rarement abordée spontanément.
La question fâche, parce que la réponse honnête est : ça dépend. Du nombre de postes et de serveurs, du volume de logs collectés, du niveau de réponse attendu, de la couverture horaire.
Les tarifs se construisent le plus souvent par équipement supervisé, par utilisateur ou par volume de données ingérées. Une PME de quelques dizaines de postes peut accéder à une offre MDR à tarif mensuel raisonnable, surtout si elle dispose déjà d'un EDR compatible. Une ETI multisite avec un SIEM complet et de l'industriel à surveiller se situe évidemment sur un autre ordre de grandeur.
Un conseil, tiré de ce qu'on observe régulièrement : comparez ce que coûterait une seule journée d'arrêt de production, puis une semaine de reconstruction après un rançongiciel. Le calcul change souvent de perspective.
Un prestataire à l'aise avec ces questions répond vite et sans détour. S'il reste flou sur la moitié, c'est déjà une réponse.
Les entreprises présentées dans cet annuaire proposent des services de supervision de sécurité, de détection des cybermenaces et, pour une partie d'entre elles, de réponse à incident, à Toulouse et en Haute-Garonne. Certaines sont des spécialistes pure player de la cybersécurité, d'autres des intégrateurs ou des ESN qui ont développé une offre SOC en complément de l'infogérance.
Prenez le temps de consulter plusieurs fiches, de comparer les périmètres et de demander une démonstration. Un bon SOC, ça se voit surtout à la qualité des échanges avec ses analystes. Et c'est aussi le moment de vérifier que le courant passe : ce sont eux que vous appellerez le jour où tout se bloque.
Les fiches de cet annuaire proviennent de sources publiques, principalement Google Maps. Vous dirigez une entreprise présente sur cette page et préférez ne pas y apparaître ? Dites-le-nous par le formulaire de contact et la fiche est retirée sous huit jours, sans justification à fournir.