Reversibilite MSSP : anticiper le changement de prestataire
Personne n'aime penser a la rupture au moment de signer. Pourtant, la question de la sortie de contrat MSSP devrait etre sur la table des le premier rendez-vous. Voici comment eviter de vous retrouver piege.
Pourquoi la reversibilite est critique
Quand tout va bien avec votre MSSP, la question de la sortie semble lointaine. Mais les situations evoluent : rachat du prestataire, degradation du service, evolution de vos besoins, ou simplement une offre plus adaptee ailleurs. A ce moment-la, vous decouvrez si vous avez anticipe ou non.
Le piege du lock-in
Certains MSSP construisent volontairement des dependances techniques. Outils proprietaires, formats de donnees non standards, integration profonde avec vos systemes sans documentation. Le jour ou vous voulez partir, vous realisez que tout est imbrique. Comme l'explique CrowdStrike dans sa presentation des MSSP, la relation doit rester equilibree pour fonctionner dans la duree.
Couts de sortie non prevus
Au-dela du technique, il y a le financier. Frais de migration, penalites de rupture anticipee, facturation de l'assistance a la transition. Un membre du collectif nous a rapporte une facture de 45 000 € pour "accompagnement a la sortie" - un poste qui n'existait pas dans le contrat initial mais qui s'est materialise sous forme d'avenants successifs.
Les donnees a recuperer imperativement
Changer de MSSP sans clause de reversibilite peut entrainer une perte des historiques de logs et des regles de detection personnalisees, obligeant le nouveau prestataire a repartir de zero avec une visibilite degradee pendant plusieurs mois.
Un membre a decouvert au moment de partir que son MSSP ne conservait les logs que 90 jours. Deux ans d'historique perdus. "J'aurais du verifier ca avant de signer." Cette anecdote illustre un probleme recurrent : on ne pense pas aux donnees tant qu'on n'en a pas besoin.
Logs et historiques
Les logs sont la memoire de votre securite. Sans eux, impossible de comprendre l'evolution des menaces sur votre SI, de documenter un incident passe, ou de prouver votre conformite. Exigez au minimum 12 mois d'historique, idealement 24. Et verifiez le format : un export dans un format proprietaire ne vaut rien si personne ne peut le lire. HarfangLab souligne l'importance de cette continuite dans la supervision EDR.
Configurations et regles
Votre MSSP a passe des mois a affiner les regles de detection pour votre contexte. Ces regles personnalisees representent un investissement considerable. Si vous partez sans les recuperer, le nouveau prestataire devra tout reconstruire - avec les faux positifs et les angles morts que ca implique pendant la phase d'apprentissage.
Documentation
Architecture de supervision, perimetre surveille, procedures d'escalade, contacts d'astreinte, historique des incidents et leurs resolutions. Tout ca doit etre documente et transmissible. Si votre MSSP actuel ne peut pas produire cette documentation, c'est un signal d'alarme sur la qualite de la prestation elle-meme.
Donnees et elements a recuperer en fin de contrat MSSP
- ✓Logs bruts des 12 derniers mois minimum
- ✓Regles de detection et alertes personnalisees
- ✓Rapports d'incidents et post-mortems
- ✓Inventaire des actifs surveilles
- ✓Documentation de l'architecture de supervision
- ✓Liste des comptes et acces a revoquer
Clauses contractuelles de sortie
Notre position : negocier la sortie au moment de l'entree. Si le prestataire refuse d'en parler, c'est un signal. Les bons MSSP n'ont pas peur qu'on parte. Cette transparence fait partie des criteres a evaluer quand vous selectionnez votre prestataire de securite managee.
Preavis et duree
Un preavis de 3 mois est raisonnable. Au-dela de 6 mois, vous etes dans une logique de retention forcee. Attention aussi aux clauses de reconduction tacite avec preavis court : vous pouvez vous retrouver engage pour un an supplementaire parce que vous avez rate une fenetre de 15 jours.
Format de restitution
Exigez des formats standards et documentes. JSON, CSV, STIX pour les indicateurs de compromission. Refusez les exports dans des formats proprietaires sans specification technique. Et faites un test de restitution avant d'en avoir besoin - demandez un export partiel pour verifier que c'est exploitable.
Assistance a la transition
La clause d'assistance a la transition (ou "reversibilite active") prevoit que le MSSP sortant collabore avec le nouveau pendant une periode definie. Nombre de jours d'accompagnement, disponibilite pour repondre aux questions, participation aux reunions de passation. Sans cette clause, vous risquez le silence radio des que le preavis est donne. Pour aller plus loin sur les aspects juridiques, consultez notre analyse des responsabilites legales dans les contrats MSSP.
Preparer une transition sereine
Retour d'experience du collectif
Parmi les 6 transitions MSSP accompagnees par des membres du collectif, 4 ont subi une periode de "trou de couverture" d'au moins 2 semaines faute de clause de chevauchement.
La reversibilite parfaite n'existe pas. Il y aura toujours une periode d'adaptation. L'objectif est de la minimiser, pas de l'eliminer. Voici la methode que nous recommandons :
- Inventaire prealable : 3 mois avant la fin, listez tout ce que vous devez recuperer. Comparez avec ce que prevoit le contrat.
- Deploiement parallele : le nouveau MSSP doit etre operationnel avant que l'ancien ne parte. Prevoyez 4 a 6 semaines de chevauchement.
- Tests de couverture : pendant la periode de transition, verifiez que le nouveau prestataire detecte bien les memes evenements que l'ancien.
- Revocation des acces : le jour J, l'ancien MSSP ne doit plus avoir acces a rien. Preparez la liste des comptes a supprimer.
Pour structurer cette demarche, notre checklist de cahier des charges MSSP inclut une section dediee aux clauses de sortie a negocier des le depart.
Combien de temps faut-il pour changer de MSSP ?
Entre 3 et 6 mois en moyenne. Cela inclut le preavis, le deploiement du nouveau prestataire en parallele, et la periode de transition ou les deux cohabitent.