Comment choisir son MSSP : guide de selection pour PME et ETI
On nous demande souvent "Quel est le meilleur MSSP en France ?" Nous ne repondons jamais a cette question. Ce serait malhonnete. Le meilleur pour vous depend de votre contexte. Ce guide vous donne les cles pour evaluer objectivement les prestataires et poser les bonnes questions.
Fait terrain
Sur les 8 appels d'offres MSSP suivis par notre collectif en 2023, les ecarts de prix entre la proposition la moins chere et la plus chere allaient de 1 a 4,2 pour un perimetre equivalent.
Les 7 criteres incontournables
Avant de comparer les offres, etablissez votre grille d'evaluation. Ces sept criteres constituent le socle minimal pour une selection eclairee. Comme le souligne CrowdStrike dans sa presentation des MSSP, la comprehension du perimetre reel des services est determinante.
Les 7 criteres incontournables pour choisir un MSSP
- 1.Perimetre de services correspondant a vos besoins reels
- 2.SLA avec engagements de temps de reponse mesurables
- 3.Existence d'un SOC avec analystes identifies
- 4.Transparence sur le modele tarifaire et les couts additionnels
- 5.Clauses de reversibilite et de sortie claires
- 6.References clients dans votre secteur ou taille
- 7.Capacite d'integration avec votre stack existante
Perimetre de services reel
Un MSSP peut proposer 50 services sur sa plaquette et n'en delivrer reellement que 10. Demandez systematiquement le detail de ce qui est inclus dans le forfait de base versus les options facturees en supplement. La difference entre "monitoring 24/7" et "reponse a incident 24/7" n'est pas qu'une nuance semantique.
Reactivite et SLA
Les engagements de niveau de service (SLA) meritent une lecture attentive. Un SLA "temps de reponse 15 minutes" peut signifier "un humain vous rappelle" ou "une action corrective est lancee". La nuance change tout. Pour approfondir ce point critique, consultez notre analyse sur les delais reels d'intervention en cas d'incident.
Expertise sectorielle
Un MSSP specialise dans l'industrie ne sera pas forcement pertinent pour une ESN. Les menaces, les contraintes reglementaires et les architectures different. Verifiez les references dans votre secteur d'activite et votre tranche de taille.
Transparence tarifaire
Un MSSP qui refuse de montrer un exemple de rapport d'incident signale un manque de transparence operationnelle, ce qui devrait constituer un critere eliminatoire dans votre selection. Cette opacite se retrouve souvent dans la tarification : mefiez-vous des devis "sur mesure" sans grille de prix indicative.
Pour structurer votre demarche, notre checklist cahier des charges MSSP vous fournit un cadre pret a l'emploi.
Evaluer la reactivite et le SLA
La reactivite est le critere le plus souvent mal evalue. Les DSI se focalisent sur les chiffres annonces sans verifier ce qu'ils recouvrent concretement. Selon HarfangLab, la qualite d'un EDR manage depend autant de la technologie que de la capacite d'intervention humaine.
Ce que cache un SLA 24/7
Un SOC 24/7 peut fonctionner avec 3 analystes en rotation ou avec 15. La profondeur d'analyse et la capacite de traitement simultanee ne sont pas les memes. Demandez systematiquement le nombre d'analystes par tranche horaire et leur niveau de certification.
Autre point : le "24/7" concerne-t-il uniquement la detection ou egalement la remediation ? Certains MSSP detectent la nuit mais n'interviennent qu'aux heures ouvrables. Pour une PME, ca peut suffire. Pour une ETI avec des operations nocturnes, c'est un risque.
Tester avant de signer
Demandez une periode de test ou au minimum une demonstration en conditions reelles. Un DSI du reseau a partage sa methode : "Je demande systematiquement a parler a un analyste du SOC, pas au commercial. Ca filtre vite ceux qui ont un vrai SOC de ceux qui revendent."
Questions a poser avant de signer
En rendez-vous commercial, preparez vos questions. Les reponses evasives ou les "on verra ca dans le contrat" sont des signaux d'alerte. Voici les questions que nous recommandons de poser systematiquement.
Questions sur le SOC
- Combien d'analystes composent votre SOC ? Quelle est leur anciennete moyenne ?
- Quels outils de detection utilisez-vous ? Sont-ils proprietaires ou du marche ?
- Quel est votre taux de faux positifs sur des clients de notre taille ?
- Pouvez-vous me montrer un exemple anonymise de rapport d'incident ?
Questions sur les incidents passes
- Quel a ete votre incident le plus grave gere l'an dernier ? Comment l'avez-vous traite ?
- Avez-vous deja perdu un client suite a un incident mal gere ?
- Quelle est votre procedure d'escalade en cas de crise majeure ?
Questions sur la sortie
La question de la reversibilite est souvent negligee a la signature. Pourtant, changer de MSSP peut devenir un cauchemar si les clauses de sortie sont mal negociees. Notre guide sur la reversibilite et le changement de prestataire detaille les points de vigilance.
- Quel est le delai de preavis pour resilier ?
- Quelles donnees me restituez-vous a la fin du contrat ? Sous quel format ?
- Proposez-vous une periode de transition avec le nouveau prestataire ?
Les pieges contractuels a eviter
Les contrats MSSP comportent des clauses qui peuvent se retourner contre vous. Voici les plus frequentes, identifiees lors de nos accompagnements de membres.
Engagement minimum
Un engagement de 36 mois peut sembler avantageux sur le tarif mensuel. Mais si le service ne correspond pas a vos attentes, vous etes bloque. Privilegiez les engagements de 12 mois maximum avec clause de sortie anticipee moyennant indemnite raisonnable.
Clauses de responsabilite
Lisez attentivement les limitations de responsabilite. Certains contrats plafonnent les dommages-interets a quelques mois de facturation, meme en cas de negligence grave. D'autres excluent toute responsabilite en cas d'attaque "zero-day". Faites relire par un juriste.
Reversibilite
La clause de reversibilite doit preciser : les donnees restituees, le format de restitution, le delai, et l'eventuelle assistance au nouveau prestataire. Sans ces precisions, vous risquez de perdre des mois d'historique de logs ou de devoir payer des prestations supplementaires pour recuperer vos propres donnees.
L'integration avec vos outils existants est egalement un point contractuel a securiser. Consultez notre article sur l'integration d'un MSSP avec votre stack technique pour anticiper les difficultes.
Combien de MSSP dois-je consulter avant de choisir ?
Minimum 3, idealement 5. Les devis varient du simple au triple pour des perimetres comparables. Sans plusieurs points de comparaison, vous ne pouvez pas evaluer un prix. Pour identifier des prestataires a consulter, notre cartographie des MSSP en France recense les acteurs par region et specialite.
Note de perimetre
Les criteres de ce guide s'appliquent a des PME et ETI de 50 a 500 salaries. Pour des structures plus grandes, d'autres exigences entrent en jeu (certifications specifiques, presence internationale). Pour approfondir les comparatifs utilisateurs, la plateforme G2 propose des avis verifies sur les principaux acteurs du marche.