Infogérants : comment proposer un SOC 24/7 à vos clients sans recruter

Vos clients vous posent de plus en plus la même question : « Est-ce que quelqu'un surveille nos postes la nuit ? ». Leur assureur leur demande un EDR et une capacité de réponse, certains donneurs d'ordre exigent des preuves de supervision, et NIS2 arrive. La plupart des infogérants de 2 à 30 personnes n'ont pourtant ni analyste sécurité, ni équipe d'astreinte la nuit et le week-end. Ce guide explique comment ajouter un SOC 24/7 à votre offre sans recruter, et ce qu'il faut vérifier avant de vous lancer.

Pourquoi un SOC interne n'est pas réaliste pour un infogérant de taille moyenne

Un SOC qui tourne réellement 24h/24, 7j/7, c'est un roulement d'analystes capables de lire une alerte EDR, de reconnaître un mouvement latéral dans les journaux Active Directory et de décider en quelques minutes s'il faut isoler un poste. Pour couvrir les nuits, les week-ends, les congés et les arrêts maladie, il faut plusieurs personnes à temps plein, plus les outils : SIEM, plateforme de gestion des incidents, sources de renseignement sur les menaces, procédures écrites.

Pour un infogérant qui gère quelques dizaines de clients, ce coût fixe arrive avant le premier euro de chiffre d'affaires. C'est la raison pour laquelle beaucoup se contentent d'une supervision technique (serveur arrêté, disque plein) et d'alertes antivirus relues le lendemain matin. Le problème : un ransomware moderne chiffre un réseau de PME en quelques heures, souvent la nuit ou le week-end.

Les trois options possibles

La troisième option est la plus courante chez les infogérants qui veulent vendre de la sécurité sans changer de métier. Le partenaire assure la surveillance et la réponse à distance, vous gardez le contrat, la facturation, le support et l'intervention sur site.

Comment ça se passe concrètement

• Vous choisissez les clients concernés. En général, on commence par ceux qui ont le plus à perdre : cabinets d'avocats ou d'expertise comptable, santé, industrie, clients soumis à un questionnaire d'assureur.
• Le SOC se branche sur ce que vous utilisez déjà. Accès délégué à votre console EDR (Sophos Central, Bitdefender GravityZone, Microsoft Defender…), agents de collecte sur les serveurs, accès en lecture aux journaux Microsoft 365.
• Vous validez ensemble les règles de confinement. Qui a le droit d'isoler un poste ou de bloquer un compte la nuit, qui appeler selon la gravité.
• Le SOC surveille, trie et agit. Les faux positifs sont écartés, les vraies menaces sont contenues, et vous recevez un rapport d'incident clair.
• Chaque mois, un bilan que vous transmettez à votre client, à votre marque ou à celle du partenaire.

Ce qu'il faut vérifier chez un SOC partenaire

• Le 24/7 est-il réel ? Demandez qui traite une alerte critique un dimanche à 3 h du matin, et en combien de temps. Méfiez-vous d'une « supervision 24/7 » qui se résume à des alertes automatiques relues le lundi.
• Peut-il agir, ou seulement alerter ? Un SOC qui vous appelle sans pouvoir isoler le poste vous laisse faire le travail au pire moment.
• Travaille-t-il avec vos outils ? Changer d'EDR chez tous vos clients pour suivre un partenaire coûte cher et prend du temps.
• Vos clients restent-ils les vôtres ? L'engagement de non-sollicitation doit être écrit noir sur blanc.
• Où sont les données ? Hébergement en France ou dans l'UE, contrat de sous-traitance RGPD (article 28).
• Les délais sont-ils dans le contrat ? Prise en charge, traitement, rapport : des chiffres écrits, pas des intentions.
• Pouvez-vous tester ? Un pilote sur un ou deux clients, en parallèle de l'existant, vaut mieux que n'importe quelle plaquette.

Comment le vendre à vos clients

Vos clients n'achètent pas un « SOC ». Ils achètent la certitude que quelqu'un réagit si une attaque démarre pendant la nuit, et des preuves à montrer à leur assureur. Trois arguments fonctionnent bien :

• La nuit et le week-end : « Aujourd'hui, si une attaque démarre vendredi soir, personne ne la voit avant lundi. »
• L'assurance : beaucoup de questionnaires de cyberassurance demandent un EDR, une surveillance et une procédure de réponse.
• Le bilan mensuel : le dirigeant voit enfin ce qui a été bloqué, ce qui rend la sécurité visible.

Côté prix, la formule la plus simple pour vos clients est un abonnement mensuel par poste, ajouté à votre contrat d'infogérance. Vous fixez votre prix de revente ; votre marge vient de l'écart avec le prix partenaire, sans coût fixe tant que vous n'avez pas de client.

Ce qui reste de votre côté

Le SOC partenaire ne remplace pas votre métier. Vous restez l'interlocuteur du client, vous déployez les agents, vous intervenez sur site pour remettre en état un poste ou restaurer une sauvegarde. C'est justement cette répartition qui rend le modèle rentable : chacun fait ce qu'il sait faire.

Pour voir comment nous travaillons avec les infogérants, consultez notre offre SOC 24/7 pour infogérants et MSP, ou notre article sur le SOC en marque blanche.