Le SOC en marque blanche permet à un infogérant de vendre une surveillance de sécurité 24/7 sous son propre nom, alors que les analystes travaillent chez un partenaire spécialisé. Vos clients voient votre logo, vos rapports et votre numéro d'urgence. Cet article explique comment le modèle fonctionne au quotidien, ce qu'il faut cadrer au contrat et les erreurs à éviter.
Le principe
Trois acteurs, trois rôles bien séparés :
| Acteur | Rôle |
|---|---|
| Votre client | Signe avec vous, paie votre abonnement, reçoit vos rapports. |
| Vous, l'infogérant | Relation commerciale, contrat, facturation, déploiement, support et intervention sur site. |
| Le SOC partenaire | Surveillance 24/7, tri des alertes, confinement à distance, enquête, rapports. |
Le partenaire n'a pas de contrat avec votre client et ne le contacte pas en dehors du service. Tout passe par vous, sauf si vous décidez qu'en pleine nuit le SOC peut appeler directement le contact d'urgence du client.
Ce que voit votre client
- Un rapport mensuel à votre logo : attaques bloquées, incidents traités, postes à risque, recommandations.
- Des alertes à votre nom quand un incident demande son attention.
- Un rapport d'incident après chaque attaque réelle : chronologie, actions menées, ce qu'il faut corriger.
- Vous comme seul interlocuteur.
Ce qui se passe en coulisses
Le SOC collecte les événements des outils déjà en place chez le client : la console EDR (Sophos, Bitdefender, Microsoft Defender…), les journaux Windows et Linux des serveurs, Microsoft 365, le pare-feu ou le WAF. Ces événements sont corrélés dans un SIEM, enrichis par des sources de renseignement sur les menaces, puis traités par des analystes.
Quand une menace est confirmée, le SOC applique les règles de confinement validées avec vous : isoler le poste depuis la console EDR, désactiver un compte Microsoft 365, bloquer une adresse IP. Il vous prévient ensuite, ou prévient directement le contact d'urgence selon ce qui a été convenu.
En marque blanche, le client ne connaît que vous. En co-marquage, vous présentez le SOC comme votre partenaire sécurité : utile pour rassurer un client exigeant ou pour faire venir un expert à un rendez-vous. Le service est le même, seule la présentation change.
Ce qu'il faut écrire dans l'accord de partenariat
- Le périmètre surveillé par client : postes, serveurs, Microsoft 365, sites web, réseau.
- Les délais : prise en charge d'une alerte critique, traitement d'une alerte élevée, envoi du rapport d'incident.
- Les règles de confinement : ce que le SOC peut faire seul, ce qui demande votre accord.
- La chaîne d'escalade : qui appeler, dans quel ordre, de jour comme de nuit.
- La non-sollicitation de vos clients, sans ambiguïté.
- Le contrat de sous-traitance RGPD (article 28) : quelles données, où elles sont hébergées, combien de temps.
- Les conditions de sortie : préavis, restitution ou suppression des données, désinstallation des agents.
Les erreurs fréquentes
Si votre partenaire ne traite les alertes qu'en heures ouvrées, c'est vous qui serez en défaut auprès du client. Faites préciser par écrit qui travaille la nuit et le week-end.
Le SOC contient l'attaque à distance, mais la remise en état d'un poste ou la restauration d'une sauvegarde reste chez vous. Prévoyez-le dans votre propre contrat client, avec un tarif d'intervention.
Un bon SOC partenaire se branche sur les consoles que vous maîtrisez déjà. Remplacer l'EDR chez tous vos clients coûte du temps et des licences.
Comment fixer vos prix
Le modèle le plus lisible pour vos clients est un forfait mensuel par client, puis un prix par poste et par serveur, ajouté à votre contrat d'infogérance. Votre partenaire vous facture un prix de gros ; vous fixez librement votre prix de revente. Si vous fournissez aussi les licences EDR payées à l'année, pensez à demander un engagement de 12 mois sur cette partie, pour ne pas payer une licence d'un client parti au bout de deux mois.
Par où commencer
Choisissez un ou deux clients sensibles, lancez un pilote d'un mois, et regardez trois choses : le nombre d'alertes réellement utiles, la qualité du rapport mensuel et la réactivité la nuit. Si ces trois points vous conviennent, vous pouvez proposer le service à tout votre portefeuille.
À lire aussi : comment proposer un SOC à ses clients sans recruter et NIS2 : ce que les infogérants doivent proposer à leurs clients.
Un SOC 24/7 à votre marque, testé sur vos clients
Pilote gratuit de 30 jours, rapports à votre logo, branchement sur votre console Sophos, Bitdefender ou Microsoft Defender.
Découvrir l'offre infogérants