Niveau de service du centre opérationnel de sécurité

Définition

Le niveau de service du centre opérationnel de sécurité, ou SLA SOC (Service Level Agreement), est l'ensemble des engagements contractuels et mesurables qui définissent la performance attendue d'un SOC, qu'il soit interne ou externalisé auprès d'un fournisseur de services de sécurité managés. Il fixe généralement des seuils chiffrés pour le temps moyen de détection (MTTD), le temps moyen de notification d'une alerte critique, le temps moyen de réponse (MTTR) et la disponibilité du service de supervision (souvent 24/7/365). Ces engagements sont différenciés selon la criticité des alertes, une compromission active exigeant une notification en quelques minutes contre plusieurs heures pour un événement informatif. Le SLA précise également les canaux de communication en cas d'incident majeur, les modalités d'escalade, le périmètre exact couvert (nombre d'actifs, sources de logs, zones géographiques) et les pénalités applicables en cas de non-respect. Il constitue un élément contractuel central lors de l'externalisation de la supervision de sécurité, car il conditionne la confiance accordée au prestataire et sert de base aux revues de performance périodiques. Un SLA mal calibré, trop laxiste sur les délais ou trop restreint sur le périmètre, expose l'organisation à des angles morts de détection. Les organisations matures complètent le SLA par des indicateurs de qualité comme le taux de faux positifs et le taux de couverture des cas d'usage de détection.