PDIS Prestataire de Détection des Incidents

Services couverts et exigences du référentiel PDIS

Le référentiel PDIS de l'ANSSI qualifie les prestataires de détection des incidents (SOC externalisés) pour les OIV et entités sensibles. Services couverts : collecte et normalisation des logs (SIEM), corrélation et détection d'incidents (règles SIEM, ML/IA de détection), qualification des alertes (tri N1, analyse N2, investigation N3), et notification aux clients et à l'ANSSI pour les OIV. Le PDIS ne couvre pas la réponse aux incidents (domaine du PRIS).

Les exigences portent sur : disponibilité 24/7/365 (avec niveaux de service contractuels), compétences des analystes (certifications GCIA, GCIH, expérience SOC), isolation des environnements clients (pas de contamination croisée entre les données de logs de différents clients), sécurité de l'infrastructure SOC (durcissement, surveillance du SOC lui-même), et résilience (plan de continuité du PDIS pour maintenir le service en cas d'incident affectant ses propres systèmes).

PDIS et exigences LPM/NIS2

Dans le cadre de la LPM, les OIV doivent mettre en place des systèmes de détection des attaques informatiques (SDAI) sur leurs systèmes d'information d'importance vitale (SIIV). Le recours à un PDIS qualifié est une option reconnue pour satisfaire cette obligation. Les sondes de détection déployées chez l'OIV et connectées au PDIS doivent répondre aux spécifications techniques définies par l'ANSSI.

NIS2 (article 21) impose la surveillance continue et la gestion des événements de sécurité pour les entités essentielles et importantes. La capacité de détection (SOC interne ou PDIS) est un prérequis pour respecter les délais de notification des incidents (24h/72h/1 mois). Une organisation sans capacité de surveillance en temps réel ne peut pas détecter et notifier les incidents dans les délais imposés.

SOC interne vs PDIS : faire ou faire-faire

Le choix entre un SOC interne et un PDIS externalisé dépend de plusieurs facteurs : taille de l'organisation et volume de logs à analyser, capacité à recruter et retenir des analystes SOC qualifiés, exigences de souveraineté des données (certains secteurs préfèrent un SOC interne pour éviter de confier leurs logs à un tiers), et budget. Un SOC interne offre plus de contrôle et de contexte métier, mais nécessite des investissements significatifs en personnes et en outils.

Pour les PME et les entités de taille intermédiaire, un PDIS externalisé ou mutualisé est souvent l'option la plus économique et la plus réaliste pour accéder à des analystes SOC expérimentés disponibles 24/7. Des solutions de SOC as a Service (SOCaaS) ou MDR (Managed Detection and Response) proposées par des éditeurs de cybersécurité offrent une alternative aux PDIS qualifiés ANSSI pour les entités non soumises à la LPM.