Délai d'intervention MSSP : décrypter les promesses 24/7
Le "24/7" est devenu un argument marketing omniprésent chez les MSSP. Mais que recouvre réellement cette promesse ? Entre détection continue et intervention effective, l'écart peut être abyssal. Voici comment démêler le vrai du faux avant de signer.
Ce que signifie réellement un SLA 24/7
Un RSSI membre du collectif a vécu un ransomware un samedi soir. Son MSSP "24/7" a détecté l'attaque... et lui a envoyé un email. L'analyste d'astreinte n'était pas habilité à intervenir sur son SI. Cette mésaventure illustre parfaitement l'ambiguïté qui entoure la notion de service continu.
Un SLA 24/7 garantit souvent la détection en continu mais pas forcément l'intervention immédiate, car la réponse active peut être limitée aux heures ouvrées selon les contrats.
24/7 détection vs 24/7 réponse
La distinction est fondamentale. La détection 24/7 signifie que les outils de monitoring (SIEM, EDR) analysent les événements en permanence et génèrent des alertes. La réponse 24/7 implique qu'un analyste humain peut agir immédiatement : isoler une machine, bloquer un compte, couper un flux réseau. Comme l'explique HarfangLab dans son analyse des services MSSP, cette capacité d'action immédiate fait toute la différence lors d'une attaque active.
Beaucoup de contrats proposent une détection continue couplée à une réponse en heures ouvrées. Concrètement : si un ransomware se déclenche à 2h du matin, vous recevez une alerte. L'intervention attendra 9h.
Les petites lignes du contrat
Sur 10 contrats MSSP "24/7" analysés par notre collectif, 4 limitaient la réponse active aux jours ouvrés, le week-end étant couvert uniquement en détection. Cette réalité n'apparaît souvent que dans les annexes techniques, pas dans la plaquette commerciale.
Cherchez les mentions "astreinte téléphonique" vs "astreinte opérationnelle". La première signifie qu'on vous rappelle pour vous prévenir. La seconde implique une capacité d'action sur votre SI. La nuance est de taille quand chaque minute compte face à un attaquant.
Les différents niveaux de réactivité
Les SLA MSSP s'articulent généralement autour de niveaux de sévérité, chacun associé à des délais de prise en charge et de résolution. Comprendre cette grille est essentiel pour évaluer si l'offre correspond à vos risques réels. Pour approfondir les critères de sélection, notre guide pour bien choisir son prestataire de sécurité managée détaille les points de vigilance.
Sévérité critique
Ransomware actif, compromission de compte administrateur, exfiltration de données en cours. Les meilleurs MSSP s'engagent sur une prise en charge en moins de 15 minutes et une première action de confinement en moins de 30 minutes. Vérifiez que ce délai s'applique bien 24/7, week-ends et jours fériés inclus.
Selon VDI Telecom, un SOC mature doit pouvoir déclencher une réponse automatisée (isolation réseau, blocage de processus) avant même l'intervention humaine sur les incidents critiques.
Sévérité haute
Tentative d'intrusion détectée, malware identifié mais contenu, comportement suspect sur un compte privilégié. Délai de prise en charge typique : 1 à 4 heures. L'enjeu est d'investiguer rapidement pour confirmer ou infirmer la menace avant qu'elle n'escalade.
Sévérité moyenne et basse
Alertes de conformité, vulnérabilités à corriger, anomalies de configuration. Délais de traitement de 8 à 48 heures selon les contrats. Ces incidents ne justifient pas une intervention nocturne, mais leur accumulation peut révéler des failles systémiques.
Grille de réactivité type :
- Critique15 min prise en charge / 30 min action
- Haute1-4h prise en charge
- Moyenne8h prise en charge
- Basse24-48h prise en charge
Questions à poser sur les astreintes
Nous constatons que le "24/7" est devenu un argument marketing vide de sens. La vraie question : qu'est-ce qui est garanti 24/7 exactement ? Voici les questions concrètes à poser avant de signer, que vous pouvez intégrer dans votre cahier des charges MSSP.
Questions à poser sur la réactivité MSSP
- →Combien d'analystes sont présents la nuit et le week-end ?
- →Quel est le temps de prise en charge garanti pour une sévérité critique ?
- →La réponse active (isolation, blocage) est-elle possible 24/7 ?
- →Qui m'appelle en cas d'incident critique à 3h du matin ?
- →Puis-je avoir un test de réactivité pendant la phase de POC ?
Exigez des réponses écrites, idéalement intégrées au contrat ou à ses annexes. Un commercial qui botte en touche sur ces questions révèle souvent une faiblesse opérationnelle. Les guides de sélection de partenaires cybersécurité insistent sur l'importance de ces vérifications précontractuelles.
Demandez également le taux de rotation des équipes SOC. Un turnover élevé signifie que les analystes connaissent mal votre environnement, ce qui rallonge les temps de diagnostic.
Tester la réactivité avant de signer
Ne vous contentez pas des promesses contractuelles. Pendant la phase de POC (Proof of Concept), organisez des tests de réactivité non annoncés. Simulez un incident un vendredi soir ou un dimanche matin et mesurez le temps de réponse effectif.
Certains MSSP acceptent de réaliser un "exercice de crise" avant signature. Profitez-en pour observer leur processus d'escalade, la qualité de leur communication et leur capacité à prendre des décisions sous pression. Pour comprendre les services techniques impliqués, notre article sur les briques technologiques SOC, SIEM et EDR vous éclairera.
Tous les contextes ne nécessitent pas une réponse 24/7. Une PME qui ferme à 18h et n'a pas de données critiques peut se contenter d'une détection continue avec réponse en heures ouvrées. L'essentiel est d'aligner le niveau de service sur vos risques réels, pas sur un argument marketing.
Que se passe-t-il si un incident critique survient un dimanche à 3h du matin ?
Ça dépend du contrat. Certains MSSP détectent mais n'interviennent qu'au lundi matin. D'autres ont des analystes d'astreinte. Demandez le scénario exact et par écrit.