Il y a deux façons d'acheter un centre de détection. La première consiste à écouter une démonstration, à regarder défiler des alertes sur un mur d'écrans, et à signer. La seconde consiste à poser trois questions : combien de personnes, pour couvrir quelles heures, et avec quel délai contractuel entre l'alerte et l'appel téléphonique. La quasi-totalité des désillusions se joue dans l'écart entre ces deux méthodes.
Un SOC — Security Operations Center — n'est pas un produit. C'est une organisation humaine posée sur des outils, dont la performance se mesure en heures et en euros, et dont le marché français ne publie pratiquement aucun prix vérifiable. Cette enquête a cherché les chiffres. Elle les a trouvés, pour l'essentiel, chez les vendeurs.
L'enquête en 30 secondes
Que fait un SOC, et qu'est-ce qu'il ne fera pas à votre place ?
Un SOC collecte les journaux d'activité du système d'information, les corrèle, qualifie les signaux qui sortent de l'ordinaire et déclenche une réaction. Son objet n'est pas d'empêcher l'intrusion : c'est de raccourcir le temps pendant lequel un attaquant circule sans être vu.
Ce temps a un nom et une mesure. Dans son rapport M-Trends 2026, publié le 23 mars 2026 et fondé sur plus de 500 000 heures d'investigation menées en 2025, Mandiant établit la durée médiane de présence non détectée à 14 jours dans le monde, contre 11 jours en 2024. La dégradation est attribuée à la montée des dossiers d'espionnage et de faux travailleurs informatiques nord-coréens, dont la médiane atteint 122 jours.
Le même rapport documente ce qu'un SOC ne compense pas. Le délai entre l'accès initial obtenu par un courtier et le passage de relais à l'acteur suivant est tombé à 22 secondes en 2025, contre plus de huit heures en 2022. Autrement dit : la chaîne d'attaque s'industrialise plus vite que la chaîne de détection. Et l'exploitation d'une vulnérabilité reste le premier vecteur d'entrée avec 32 % des cas, pour la sixième année consécutive — un problème de correctifs, pas de supervision.
Un SOC qui surveille un parc non corrigé regarde donc entrer des attaquants par une porte que personne n'a fermée. C'est la première chose qu'un décideur doit comprendre avant de comparer des devis : la détection est un filet, jamais un mur.
Combien de personnes faut-il pour tenir un écran vingt-quatre heures sur vingt-quatre ?
Cette question n'appelle pas une opinion mais une division. Une année compte 8 760 heures. La durée annuelle de travail effectif d'un salarié à temps plein en France est de 1 607 heures, soit la traduction annualisée des 35 heures hebdomadaires, journée de solidarité comprise.
8 760 divisé par 1 607 donne 5,45. Il faut donc 5,45 équivalents temps plein pour qu'un seul siège soit occupé en permanence, avant tout congé exceptionnel, toute formation, tout arrêt maladie et toute vacance de poste. Un SOC qui prétend assurer une veille continue avec trois analystes n'assure pas une veille continue : il assure des heures ouvrées et une astreinte téléphonique, ce qui n'est pas la même prestation et ne devrait pas se facturer au même prix.
Les prestataires eux-mêmes le reconnaissent quand on lit leurs documents commerciaux jusqu'au bout. Un guide publié le 26 février 2026 par le prestataire My Trust Partner chiffre à « 6 à 10 analystes minimum » l'équipe nécessaire à une couverture permanente interne. Le cabinet de conseil Formind, lui, décrit un SOC interne à 3 équivalents temps plein « astreinte comprise » — ce qui décrit une couverture étendue, pas continue.
À cette contrainte arithmétique s'ajoute une contrainte de marché. Le rapport NIS Investments 2025 de l'ENISA, publié en décembre 2025 auprès de 1 080 organisations européennes, indique que 76 % d'entre elles peinent à recruter des profils qualifiés et 71 % à les conserver, pour un déficit estimé à 299 000 professionnels dans l'Union. Seules 33 % prévoient d'embaucher : les autres reportent l'effort sur la montée en compétences interne (24 %) et sur l'externalisation.
Combien coûte un SOC, et qui publie ces prix ?
Aucune administration française ne publie de référentiel de prix. Les seules fourchettes accessibles proviennent de cabinets et de prestataires qui vendent la prestation qu'ils chiffrent — un conflit d'intérêt qu'il faut nommer avant de citer les montants.
Le cabinet Formind, dans une note en ligne consultée le 5 septembre 2026 et qui ne porte aucune date de publication, avance environ 330 000 € par an pour un SOC interne couvrant un périmètre de l'ordre du millier de postes : 280 000 € de masse salariale pour 3 équivalents temps plein avec astreinte, 50 000 € de licences SIEM, EDR et SOAR. Pour le même périmètre externalisé, il cite 150 000 à 220 000 € par an.
Le guide de février 2026 déjà cité propose une autre grille, par volume de postes surveillés : 1 500 à 3 000 € par mois hors taxes pour 10 à 49 postes, 3 000 à 12 000 € pour 50 à 250 postes, 12 000 à 45 000 € au-delà. Il chiffre en parallèle un SOC interne à 500 000 € – 2 M€ d'investissement initial, et son déploiement à 6-12 mois contre 2-6 semaines pour un service managé.
Ces deux sources divergent d'un facteur trois sur le coût d'entrée d'un SOC interne, et la raison est méthodologique : la première compte un budget de fonctionnement annuel à effectifs déjà présents, la seconde compte un investissement de mise en place incluant l'outillage et l'intégration. Elles ne parlent pas de la même ligne comptable. Un dirigeant qui compare un « 330 000 € » à un « 500 000 € » compare un loyer à un achat.
Ce que coûte un SOC, selon ceux qui le vendent (en euros par an)
La dernière barre de ce graphique est la seule qui ne provienne pas d'un vendeur, et c'est celle qui règle le débat. Huit TPE-PME françaises sur dix consacrent moins de 5 000 € par an à leur sécurité informatique. Le SOC managé le moins cher du marché coûte sept fois ce budget. Pour l'immense majorité des entreprises françaises, la question « interne ou externalisé » ne se pose pas : aucune des deux options n'entre dans l'enveloppe.
Un SOC externalisé détecte-t-il plus vite qu'une équipe interne ?
C'est l'argument central du discours commercial. Les données publiées le contredisent, ou du moins le compliquent sérieusement.
Le rapport Cost of a Data Breach 2026 d'IBM, publié le 30 juillet 2026 et fondé sur 602 organisations ayant subi une violation entre mars 2025 et février 2026, mesure que les équipes internes de sécurité identifient et contiennent une brèche environ 15 % plus vite que les prestataires externes. Le même rapport chiffre le coût moyen mondial d'une violation à 4,99 millions de dollars, en hausse de 12 % sur un an, et à 11,5 millions aux États-Unis.
Le M-Trends 2026 va dans le même sens par une autre route. Quand l'organisation détecte elle-même l'intrusion, la durée médiane de présence de l'attaquant est de 10 jours. Quand la victime est prévenue par un tiers, elle est de 26 jours. Quand c'est l'attaquant qui se signale — le plus souvent par une demande de rançon —, elle tombe à 5 jours, ce qui n'est évidemment pas une bonne nouvelle. La part des détections d'origine interne est passée de 43 % en 2024 à 52 % en 2025.
Ces deux mesures ne disent pas qu'un SOC interne est supérieur. Elles disent que la connaissance du métier, des flux normaux et des exceptions légitimes pèse lourd dans la vitesse de qualification — et que c'est précisément ce qu'un prestataire mutualisé possède le moins. L'arbitrage n'est donc pas « interne contre externe » mais « qui connaît votre système d'information et à quel prix ».
Que mesurent réellement les délais de détection publiés ?
Trois chiffres circulent dans les argumentaires, et ils sont incompatibles. 14 jours, 247 jours, moins de 1,5 jour. Ils sont tous les trois exacts, parce qu'ils ne mesurent pas la même chose.
Les délais publiés en 2025-2026, et ce qu'ils comptent réellement
CERT-Wavestone : moins de 1,5 jour
Sur plus de vingt crises majeures traitées, l'intervention la plus rapide observée montre moins d'un jour et demi entre l'intrusion et l'impact. Le chiffre mesure la vitesse de l'attaquant, pas celle du défenseur. Dans 90 % des cas de rançongiciel, les sauvegardes ont été visées.
L'écart entre 14 et 247 jours n'est pas une contradiction : c'est une différence de périmètre. Mandiant mesure une médiane de temps de présence sur des dossiers confiés à une équipe d'investigation, donc sur des incidents déjà identifiés comme sérieux. IBM mesure une moyenne du cycle complet — identification puis confinement — déclarée par des organisations violées, moyenne qu'une poignée de dossiers très longs suffit à tirer vers le haut. Le CERT-Wavestone, lui, ne mesure pas du tout la détection : il mesure la vitesse de l'attaquant entre l'entrée et l'effet.
Une entreprise qui se fait vendre un SOC sur la promesse de « passer de 247 jours à quelques minutes » se voit donc opposer deux mesures incomparables dans la même phrase. C'est le premier réflexe à avoir en lisant une plaquette : demander ce que compte le chiffre, et sur quel échantillon.
Que font réellement les PME françaises face à la détection ?
Le décalage entre le discours du marché et la réalité du tissu économique est massif, et il est documenté par une source publique.
Le 2e baromètre national de la maturité cyber des TPE-PME, réalisé par OpinionWay pour Cybermalveillance.gouv.fr avec la CPME, le MEDEF et l'U2P auprès de 588 entreprises de moins de 250 salariés entre le 2 juin et le 7 juillet 2025, puis publié le 6 octobre 2025, dresse un inventaire sans ambiguïté.
L'équipement réel des TPE-PME françaises
0 %
Déclarent disposer d'un antivirus
0 %
Déclarent réaliser des sauvegardes
0 %
Disposent d'une solution de détection d'attaque
0 %
Disposent d'une procédure de réponse à incident
0 %
Reconnaissent ne pas être préparées, ou l'ignorer
Une entreprise sur six dispose d'un dispositif de détection quelconque. Une sur quatre sait ce qu'elle fera le jour où il sonnera. Les obstacles cités sont, dans l'ordre : le manque de connaissances et d'expertise (63 %), le budget (61 %), le temps (59 %).
Ce vide a une réponse publique que très peu de dirigeants connaissent. Le CERT-FR recense seize dispositifs territoriaux — quinze CSIRT régionaux et un centre de ressources cyber — issus du plan France Relance de 2021, qui assurent gratuitement une réponse à incident de premier niveau pour les PME, ETI, collectivités et associations de leur territoire. Ce n'est pas un SOC : ils ne surveillent rien en continu. Mais pour une entreprise dont le budget sécurité annuel est inférieur à 5 000 €, connaître le numéro de son CSIRT régional avant l'incident vaut mieux que de comparer des devis de supervision qu'elle ne signera pas.
Côté grandes entreprises, la trajectoire est inverse. Le 11e baromètre du CESIN, réalisé par OpinionWay auprès de 397 responsables cybersécurité interrogés en décembre 2025 et publié le 26 janvier 2026, indique que 35 % des SOC sont gérés en interne et 34 % en modèle hybride, les tests d'intrusion étant externalisés dans 56 % des cas et la fonction CERT dans 45 %. Le même échantillon déclare une moyenne d'une trentaine d'outils de sécurité déployés.
Quels engagements un dirigeant peut-il exiger avant de signer ?
Un contrat de supervision se juge sur six points, tous vérifiables avant signature et tous absents de la plupart des plaquettes.
Les heures réellement couvertes. Pas « 24/7 » en gros caractères, mais le nombre d'analystes présents la nuit, le week-end et le 15 août, et ce qui se passe entre le déclenchement de l'astreinte et la première action. Rappel arithmétique : un siège tenu en continu réclame 5,45 équivalents temps plein.
Le périmètre journalisé. Un SOC ne voit que ce qu'on lui envoie. La liste exacte des sources de journaux couvertes — postes, serveurs, pare-feu, messagerie, applications métier, environnements cloud — définit l'intégralité de son champ de vision. Tout ce qui n'y figure pas est un angle mort contractuel.
Les délais engagés, avec pénalité. Temps moyen de détection et temps moyen de réaction sont les deux seuls indicateurs qui comptent. Ils doivent figurer dans le contrat avec un seuil, une méthode de mesure et une conséquence en cas de dépassement. Un indicateur sans pénalité est un argument de vente.
Le volume d'alertes et son traitement. L'étude State of Threat Detection publiée par Vectra AI en 2023 auprès de 2 000 analystes relevait une moyenne de 4 484 alertes par jour et 67 % d'entre elles laissées de côté, 83 % des analystes estimant que la majorité des alertes ne méritent pas leur temps. Demander combien d'alertes le prestataire traite par analyste et par jour est une question plus utile que de demander combien de règles de corrélation il applique.
La qualification du prestataire. L'ANSSI délivre une qualification PDIS — prestataire de détection d'incidents de sécurité — adossée à un référentiel d'exigences et au décret n° 2015-350. Neuf prestataires en sont titulaires à ce jour, deux autres figurant publiquement en cours de qualification. Le visa est délivré pour trois ans et suppose un audit par un centre d'évaluation agréé. Ce n'est pas une garantie de résultat, c'est une preuve que l'organisation, ses locaux et ses personnels ont été inspectés par un tiers.
La réversibilité. Qui détient les journaux collectés, sous quel format, et combien de temps faut-il pour les récupérer en cas de changement de prestataire. C'est la clause qu'on ne lit jamais et celle qui décide du coût réel de sortie.
Ce que cette enquête n'a pas pu établir
Trois limites, énoncées sans détour.
Aucun prix de SOC issu d'une source publique et indépendante n'a pu être trouvé. Les fourchettes citées ici proviennent toutes d'acteurs qui vendent la prestation, dont l'un ne date même pas sa publication. Elles sont reproduites parce qu'elles sont les seules disponibles, avec leur origine explicitement mentionnée — pas parce qu'elles font référence.
Il n'existe pas de statistique française sur les délais de détection dans les PME. Le CESIN interroge des responsables de grandes entreprises, Wavestone évalue des organisations dont la moitié dépasse le milliard d'euros de chiffre d'affaires, Mandiant et IBM travaillent sur des échantillons mondiaux d'organisations ayant les moyens de faire intervenir un spécialiste. La PME de quarante salariés n'apparaît dans aucune de ces séries.
Enfin, le calcul de 5,45 équivalents temps plein est une contrainte de plafond légal, pas une norme d'organisation. Une entreprise peut couvrir la nuit par une astreinte, mutualiser des équipes entre plusieurs clients, ou décider que la couverture ouvrée lui suffit. Ce que le calcul interdit, c'est de facturer une présence continue avec un effectif qui ne peut mathématiquement pas l'assurer.
FAQ
Combien coûte un SOC externalisé pour une PME française ?
Aucune source publique ne le documente. Les grilles disponibles proviennent de prestataires : un guide de février 2026 annonce 1 500 à 3 000 € par mois hors taxes pour 10 à 49 postes et 3 000 à 12 000 € pour 50 à 250 postes, quand un cabinet de conseil cite 150 000 à 220 000 € par an pour un périmètre d'environ un millier de postes. À comparer aux 5 000 € de budget annuel de sécurité que ne dépassent pas 80 % des TPE-PME françaises.
Combien d'analystes faut-il pour un SOC 24 heures sur 24 ?
Une année compte 8 760 heures et un salarié français à temps plein en travaille 1 607 : il faut donc 5,45 équivalents temps plein pour tenir un seul siège en continu, hors congés exceptionnels, formation et vacance de poste. Les prestataires qui chiffrent une équipe interne complète évoquent 6 à 10 analystes minimum.
Qu'est-ce que la qualification PDIS de l'ANSSI ?
C'est la qualification française des prestataires de détection d'incidents de sécurité, adossée à un référentiel d'exigences de l'ANSSI et au décret n° 2015-350. Elle est délivrée après audit par un centre d'évaluation agréé, pour une durée de trois ans. Neuf prestataires la détiennent aujourd'hui ; elle atteste d'un niveau d'exigence organisationnel, pas d'une performance de détection.
Une PME sans SOC est-elle totalement démunie en cas d'incident ?
Non. Le CERT-FR recense seize dispositifs territoriaux — quinze CSIRT régionaux et un centre de ressources cyber — issus du plan France Relance, qui assurent gratuitement une réponse à incident de premier niveau pour les PME, ETI, collectivités et associations. Ils n'assurent aucune surveillance continue, mais identifier son point de contact avant l'incident est un préalable qui ne coûte rien.
L'enquête en slides
