Surveiller, détecter, réagir

Sécuriser ne suffit pas : il faut savoir immédiatement quand quelque chose d’anormal se produit, et réagir avant que ça ne devienne une crise. Découvrir une attaque des semaines après coup, c’est s’exposer au pire. La surveillance, c’est votre système d’alarme, à condition qu’elle soit connectée, analysée et suivie d’une réaction.

Une alarme ne sert que si quelqu’un l’écoute

Beaucoup d’entreprises pensent qu’un contrat de maintenance signifie que leur prestataire « voit tout » en permanence. En réalité, surveiller un système en continu, qualifier chaque alerte et intervenir immédiatement demande une organisation dédiée. C’est la différence entre une supervision technique, qui vérifie que ça fonctionne, et une surveillance de sécurité, qui vérifie que ça n’est pas attaqué. Un serveur peut tourner parfaitement pendant qu’un attaquant exfiltre vos données.

Ce que « 24 heures sur 24 » veut dire chez nous

Nous préférons décrire le dispositif exactement plutôt que de laisser le chiffre parler seul, parce que tous les prestataires n’entendent pas la même chose derrière ces mots.

Aux heures ouvrées, 7 jours sur 7 de 8h à 20h, nos équipes qualifient les alertes, écartent les faux positifs, décident et traitent. Un humain regarde.

En dehors de cette plage, la réponse est automatisée en confinement immédiat : isolement du poste concerné, blocage du processus, mise en quarantaine. La machine agit sans attendre, et l’analyse humaine reprend à l’ouverture. Le principe est assumé : mieux vaut contenir tout de suite et lever ensuite un confinement inutile, que raisonner d’abord et découvrir l’ampleur au matin.

Concrètement, une attaque qui démarre un samedi à 23h est contenue dans la minute, pas le lundi. Mais un incident sans gravité détecté à la même heure ne réveillera personne : il attend l’ouverture. C’est un choix de proportionnalité, et il est discutable avec vous si votre profil de risque appelle autre chose.

Ce que la surveillance voit

La couverture dépend des sources connectées, et c’est la première question à poser à n’importe quel prestataire. Chez nous, le périmètre standard comprend :

• Les postes et les serveurs, par analyse comportementale continue : connexion anormale, fichier modifié sans intervention, installation non autorisée, tentative d’élévation de privilèges.
• Votre environnement Microsoft 365 : connexions et localisations inhabituelles, règles de transfert de messagerie créées discrètement, consentements accordés à des applications tierces, changements de rôles d’administration.
• Les identités, parce que la plupart des intrusions passent aujourd’hui par un compte légitime plutôt que par une faille technique.
• Les applications exposées sur Internet et les équipements de périmètre.

Ce qu’elle ne voit pas

Une surveillance ne couvre que ce qui lui est raccordé. Un serveur oublié dans un placard, une application métier hébergée chez un éditeur sans journalisation partagée, un poste personnel utilisé pour consulter la messagerie : rien de tout cela n’émet vers nous. L’inventaire n’est donc pas une formalité administrative, c’est ce qui délimite la protection réelle.

Nous cartographions ces angles morts au démarrage et nous vous les listons. Certains se corrigent, d’autres relèvent d’un arbitrage qui vous appartient. Ce qui compte est qu’ils soient écrits, et non découverts après coup.

Les délais, en clair

Le confinement automatisé est immédiat, à toute heure. La prise en charge humaine intervient en moins de dix minutes en moyenne sur nos heures de service, et nos garanties de rétablissement vont de 4 heures pour un incident critique à 96 heures pour une simple demande. Le détail figure sur notre page des accords de niveau de service.

Ces délais comptent doublement pour une entité régulée, parce que l’horloge réglementaire démarre à la prise de connaissance : notification initiale sous 4 heures après classification d’un incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance. Détecter tard, c’est notifier tard. La conduite à tenir est détaillée sur notre page gestion de crise cyber.

Détecter, c’est aussi pouvoir le prouver

Un tableau de bord en temps réel est utile au quotidien, mais ce n’est pas une preuve : un contrôleur ne demande pas ce qui se passe maintenant, il demande ce qui s’est passé en mars. Ce qui vaut preuve est donc l’historique.

Les journaux sont centralisés et conservés douze mois, et surtout ils restent interrogeables : nous pouvons reconstituer une chronologie horodatée sur une période passée, plutôt que constater qu’on ne peut plus savoir. Chaque alerte qualifiée, chaque action de confinement et chaque intervention est tracée, et le tout est restitué mensuellement. La FAQ conformité détaille ce qui rend un rapport de SOC exploitable en audit AMF.

Questions fréquentes

Quelle différence entre supervision et surveillance de sécurité ?

La supervision vérifie que votre informatique fonctionne : disponibilité, performance, espace disque. La surveillance de sécurité vérifie qu’elle n’est pas attaquée. Un serveur peut être parfaitement disponible pendant qu’un attaquant exfiltre vos données : la supervision ne verra rien. Les deux sont nécessaires, mais seule la seconde répond à l’exigence DORA de détection des incidents.

Que se passe-t-il si une attaque démarre la nuit ou le week-end ?

Le confinement est automatisé et immédiat : le poste est isolé du réseau, le processus bloqué, le fichier mis en quarantaine, sans attendre qu’un humain se connecte. La qualification et l’analyse reprennent à l’ouverture du support, 7 jours sur 7 à partir de 8h. Le parti pris est de contenir d’abord et d’expliquer ensuite.

Pendant combien de temps conservez-vous les journaux ?

Douze mois, et ils restent interrogeables sur toute cette période. C’est ce qui permet de répondre à une question portant sur un mois passé, ce que demande précisément un contrôle, plutôt que de produire un état instantané.

La surveillance couvre-t-elle nos applications métier ?

Seulement si elles émettent des journaux exploitables et qu’elles nous sont raccordées. Beaucoup d’applications hébergées chez un éditeur ne partagent rien. Nous l’identifions au démarrage et nous vous le disons plutôt que de laisser croire à une couverture totale.

Évaluez votre niveau de détection

Un diagnostic de 30 minutes pour savoir ce que vous voyez réellement de votre sécurité, et ce qui vous échappe. Sans engagement.

Prendre RDV (30 min) →

Voir aussi : durcissement et sécurisation · sauvegarde et reprise d’activité · conformité technique DORA.