Déployer un SOC n’est pas installer un logiciel. C’est raccorder vos équipements à une chaîne de surveillance, puis la régler jusqu’à ce qu’elle distingue un incident réel du bruit de votre activité normale. Le travail technique est court — 5 à 10 jours ouvrés chez nous selon la taille de l’infrastructure — mais il suppose que plusieurs choses soient prêtes de votre côté. Voici lesquelles, dans quel ordre, et ce qui fait déraper un calendrier.
En bref.
- Un SOC se déploie en trois couches : des capteurs, une collecte, une équipe qui analyse.
- Quatre prérequis côté entreprise : un inventaire, un interlocuteur qui décide, les accès, et la liste de ce qui est vraiment critique.
- Le raccordement des sources suit un ordre de rendement : postes et serveurs d’abord, pare-feu et annuaire ensuite.
- Les premières semaines font du bruit. C’est normal, et c’est la phase qui décide de la qualité du dispositif.
Ce qu'on déploie réellement quand on déploie un SOC
Un SOC n’est pas un boîtier qu’on pose dans une baie. C’est l’assemblage de trois couches distinctes, et chacune se déploie différemment.
Les capteurs. Des agents installés sur les postes et les serveurs — c’est le rôle de l’EDR — qui remontent ce qui se passe sur chaque machine : processus lancés, connexions, modifications sensibles.
La collecte. Une plateforme SIEM qui reçoit ces remontées, les normalise et les corrèle avec les journaux de vos équipements réseau. C’est elle qui voit qu’une connexion anodine sur un poste et une autre sur le pare-feu forment, ensemble, un schéma d’attaque.
L’analyse. Des analystes qui qualifient les alertes. C’est la couche que personne ne déploie en interne pour trois machines, et c’est précisément ce qu’on externalise dans un SOC managé.
Conséquence pratique : le déploiement n’est pas une installation unique mais trois chantiers menés en parallèle, dont le dernier ne se termine jamais vraiment.
Les quatre prérequis à réunir avant de commencer
Ce sont eux qui déterminent si le projet tient le calendrier. Aucun n’est technique.
1. Un inventaire à jour. Combien de postes, combien de serveurs, quels systèmes, quels équipements réseau, quels services hébergés ailleurs. Un inventaire approximatif se paie en machines oubliées — et une machine non surveillée est exactement celle par laquelle on entre.
2. Un interlocuteur qui décide. Pas seulement un référent technique : quelqu’un qui peut trancher en cours de projet, par exemple autoriser l’isolement automatique d’un poste en cas de menace confirmée. Sans cette personne, chaque arbitrage attend une réunion.
3. Les accès. Comptes d’administration, accès aux consoles des équipements, droits de déploiement sur le parc. C’est le point qui retarde le plus souvent, parce qu’il dépend d’un tiers — un ancien prestataire, un éditeur, un hébergeur.
4. La liste de ce qui est critique. Quelles applications ne peuvent pas s’arrêter, quelles données ne peuvent pas sortir, quels horaires sont sensibles. Un SOC qui ignore cette hiérarchie traite toutes les alertes avec la même urgence, ce qui revient à n’en traiter aucune.
Si ces quatre points ne sont pas clairs, un audit de cybersécurité les établit avant le projet plutôt que pendant.
Les six étapes d'un déploiement, dans l'ordre
Voici le déroulé réel, avec à chaque étape ce que l’entreprise doit fournir pour que la suivante puisse démarrer. Les fourchettes de jours valent pour un parc de taille courante ; elles se décalent, elles ne changent pas d’ordre.
| Étape | Ce qui se passe | Ce que vous fournissez | Quand |
|---|---|---|---|
| 1. Cadrage | on fige le périmètre : quelles machines, quels sites, quels usages ne tolèrent pas d’arrêt | l’inventaire et un interlocuteur qui décide | avant J1 |
| 2. Lot pilote | les agents sont posés sur un échantillon de postes et de serveurs parmi les plus exposés | les droits de déploiement sur ce lot | J1 à J3 |
| 3. Extension au parc | la pose se généralise au reste des postes et des serveurs | la liste des exceptions : machines hors domaine, systèmes anciens | J2 à J6 |
| 4. Raccordement des équipements | pare-feu, annuaire, messagerie et accès distants sont branchés à la plateforme | les accès aux consoles, y compris ceux détenus par un tiers | J4 à J8 |
| 5. Réglage | les premières alertes sont qualifiées, les faux positifs filtrés | vos réponses sur ce qui est normal chez vous | semaines 2 à 6 |
| 6. Exploitation | surveillance continue, puis premier rapport complet | les arbitrages à impact métier | à partir du 2ᵉ mois |
Pourquoi un lot pilote avant le parc entier. Il révèle en deux jours ce qu’un inventaire ne dit jamais : les machines qui refusent l’agent, celles qui tournent sur un système trop ancien, les logiciels métier qui déclenchent des alertes. Corriger ces cas sur dix machines coûte une matinée ; les découvrir sur trois cents en coûte une semaine.
La surveillance ne commence pas à la fin. Dès l’étape 2, les machines équipées sont surveillées. On ne protège pas le parc d’un coup au dernier jour : la couverture s’étend au fur et à mesure, et c’est pourquoi on commence par les postes les plus exposés.
Les sources de données à raccorder, par ordre de rendement
Toutes les sources ne se valent pas. Raccorder dans cet ordre donne de la détection utile dès les premiers jours, au lieu d’attendre que tout soit branché.
| Source | Ce qu’elle révèle | Priorité |
|---|---|---|
| Postes et serveurs (agents EDR) | l’exécution réelle : processus, élévations de privilèges, chiffrement en cours | Immédiate |
| Pare-feu et passerelle | les flux sortants anormaux, les connexions vers des destinations inattendues | Immédiate |
| Annuaire et authentification | les connexions hors horaires, les échecs répétés, les comptes réactivés | Haute |
| Messagerie | la porte d’entrée la plus fréquente : pièces jointes et liens | Haute |
| Accès distants et VPN | qui entre depuis l’extérieur, depuis où, à quelle heure | Moyenne |
| Services hébergés | les actions d’administration faites hors de vos murs | Moyenne |
Le déploiement des agents est non intrusif : il n’interrompt pas le travail des utilisateurs et ne demande pas de fenêtre de maintenance sur l’ensemble du parc.
Le calendrier réel, et les trois choses qui l'allongent
Le déploiement initial prend entre 5 et 10 jours ouvrés selon la taille de l’infrastructure. Ce chiffre couvre la cartographie, la pose des agents et le raccordement des sources. La surveillance commence dès que la première couche est en place : on n’attend pas la fin du projet pour être protégé.
Trois facteurs l’allongent, et aucun n’est une question de technique.
Les accès qui dépendent d’un tiers. Récupérer les droits sur une console détenue par un ancien prestataire prend parfois plus longtemps que tout le reste du projet.
Un parc hétérogène ou mal inventorié. Des systèmes anciens, des machines hors domaine, des serveurs que personne ne revendique : chacun demande un traitement particulier.
Les sites distants. Plusieurs implantations signifient plusieurs réseaux à raccorder et, souvent, plusieurs interlocuteurs à coordonner.
La phase de réglage : pourquoi les premières semaines font du bruit
C’est la partie que les calendriers oublient et qui décide pourtant de la qualité du dispositif.
Les premiers jours, la plateforme ne connaît pas votre normale. Un logiciel métier qui écrit massivement sur le disque ressemble à un chiffrement. Un administrateur qui travaille le dimanche ressemble à une intrusion. Un script de sauvegarde ressemble à une exfiltration. Le dispositif remonte donc des alertes qui n’en sont pas.
Ce travail-là n’est pas un défaut, c’est le réglage. Chaque faux positif qualifié apprend au dispositif ce qui est normal chez vous. Au bout de quelques semaines, le volume d’alertes chute et celles qui restent méritent d’être regardées.
Ce qu’il faut en retenir côté entreprise : prévoir de la disponibilité pendant cette période, pour répondre aux questions du type « ce comportement est-il attendu ? ». C’est le seul moment du projet où l’entreprise est vraiment sollicitée.
Qui fait quoi pendant le déploiement
La répartition est stable d’un projet à l’autre. La connaître évite les angles morts.
| Étape | Le prestataire | L’entreprise |
|---|---|---|
| Cartographie | relève les actifs et les expositions | fournit l’inventaire et les accès |
| Pose des agents | déploie sur postes et serveurs | valide la fenêtre et les exceptions |
| Raccordement des sources | connecte équipements et journaux | ouvre les droits sur les consoles |
| Réglage | qualifie et filtre les alertes | confirme ce qui est normal chez elle |
| Exploitation | surveille, qualifie, alerte | décide des actions à impact métier |
| Suivi | produit le rapport mensuel | arbitre les recommandations |
La dernière ligne est la plus importante : un SOC ne décide pas à votre place d’arrêter une application de production. Il détecte, qualifie et recommande ; l’arbitrage métier reste chez vous.
Comment vérifier que le SOC fonctionne vraiment
Un dispositif de surveillance silencieux peut signifier deux choses opposées : rien ne se passe, ou rien n’est vu. Quatre vérifications permettent de trancher.
Le taux de couverture. Combien de machines de l’inventaire remontent effectivement des données. L’écart entre le parc réel et le parc surveillé est la première chose à regarder, et il bouge à chaque nouvel équipement.
Le délai de qualification. Combien de temps s’écoule entre une alerte et sa qualification par un analyste. C’est la mesure qui compte vraiment, bien plus que le nombre d’alertes traitées.
Un test provoqué. Déclencher volontairement un comportement suspect sur une machine de test et vérifier qu’il remonte. C’est la seule preuve directe que la chaîne est complète.
Le rapport mensuel. Il doit contenir ce qui a été détecté, ce qui a été écarté et pourquoi. Un rapport qui ne montre que des compteurs ne permet aucune décision.
Pour comparer un dispositif interne et un dispositif externalisé, voyez notre page sur l’externalisation du SOC ; pour le modèle de service qui le porte, celle consacrée au MSSP SOC.
Questions fréquentes sur le déploiement d'un SOC
Combien de temps dure le déploiement d'un SOC ?
Entre 5 et 10 jours ouvrés pour la mise en place initiale, selon la taille de l’infrastructure. La surveillance démarre dès que la première couche de capteurs est posée, sans attendre la fin du raccordement.
Faut-il interrompre l'activité pendant le déploiement ?
Non. La pose des agents sur les postes et les serveurs est non intrusive et transparente pour les utilisateurs. Aucune fenêtre d’arrêt général n’est nécessaire.
Que doit préparer l'entreprise avant de commencer ?
Quatre choses : un inventaire à jour des machines et des équipements, un interlocuteur capable de décider, les accès d’administration — y compris ceux détenus par un tiers — et la liste de ce qui est réellement critique pour l’activité.
Pourquoi y a-t-il autant d'alertes les premières semaines ?
Parce que le dispositif ne connaît pas encore votre activité normale. Un logiciel métier, une sauvegarde ou un administrateur travaillant le week-end ressemblent à des anomalies. Chaque alerte qualifiée affine le réglage, et le volume chute en quelques semaines.
Le SOC peut-il arrêter une machine sans nous demander ?
L’isolement automatique d’un poste compromis est possible et se décide à la mise en place. En revanche, tout ce qui a un impact métier — arrêter une application de production, couper un accès — reste un arbitrage de l’entreprise.
Comment savoir si le SOC est efficace une fois en place ?
Par le taux de couverture du parc, le délai de qualification des alertes, un test provoqué sur une machine de test, et un rapport mensuel qui explique ce qui a été écarté autant que ce qui a été détecté.
Un projet de SOC à cadrer ?
Vous vous demandez si votre parc est prêt, ou combien de temps prendrait le raccordement chez vous ? VDI Partenaire Technologique accompagne les PME et les ETI depuis 30 ans, depuis ses implantations de Lyon, Mâcon, Saint-Étienne, Grenoble, Valence et Dijon. Décrivez-nous votre situation : l’état des lieux est gratuit et la réponse arrive en moins de 24 heures.
