Qu’est-ce qu’un MSSP (managed security service provider) ?

Un MSSP surveille, détecte et répond aux incidents de sécurité à la place ou aux côtés des équipes internes. Il ne remplace pas une DSI, ne développe pas d’applications et n’assume pas la gouvernance globale du système d’information : son périmètre reste centré sur la protection des systèmes, des réseaux et des données. Contrairement à un MSP, généraliste de l’infrastructure IT, le MSSP concentre son expertise sur la cybersécurité. Contrairement à un SOC, qui désigne une fonction ou une capacité opérationnelle, le MSSP est un prestataire qui peut héberger ou opérer ce SOC pour le compte de ses clients. Reste alors à savoir quand solliciter un tel partenaire, et surtout comment choisir le bon, sans se laisser guider par les seules promesses commerciales.

MSSP : définition et rôle en cybersécurité

Un MSSP, ou managed security service provider, est un fournisseur tiers auquel une organisation confie tout ou partie de la gestion quotidienne de sa sécurité informatique. Concrètement, cela signifie que des professionnels externes surveillent les systèmes, analysent les alertes et interviennent en cas d’incident, à la place d’une équipe interne qui n’existe pas toujours ou n’a pas les moyens de couvrir ce périmètre seule.

Une mission centrée sur la surveillance et la réponse

La mission première d’un MSSP en cybersécurité consiste à surveiller en continu les infrastructures, détecter les comportements suspects et déclencher une réponse adaptée. Cette approche repose sur l’analyse des journaux, la corrélation d’événements et la remontée d’alertes qualifiées, plutôt que sur un simple empilement d’outils. Le MSSP fournit également du renseignement sur les menaces, c’est-à-dire des informations contextualisées sur les attaques en cours ou émergentes, afin d’ajuster les défenses avant qu’un incident ne survienne.

Une réponse à un besoin structurel

Le recours à un MSSP répond à une réalité économique simple : recruter et conserver du personnel de sécurité qualifié coûte cher, et beaucoup de petites structures ne peuvent pas financer un poste dédié à plein temps. Pourtant, qu’une entreprise compte 5 ou 500 utilisateurs, elle a besoin d’un niveau de sécurité suffisant pour garantir la continuité d’activité et la reprise après sinistre. L’externalisation permet d’accéder à une expertise mutualisée sans supporter seul le coût d’une équipe complète.

Cette logique d’externalisation n’est pas nouvelle : dès les années 1990, des petites entreprises et des particuliers bénéficiaient déjà d’un soutien sécurité via leurs fournisseurs d’accès internet, qui installaient des pare-feu, sécurisaient la messagerie et assuraient un support technique lié à la connexion. Le modèle MSSP actuel a professionnalisé et structuré cette approche, mais l’idée de base reste identique. Pour comprendre concrètement ce que recouvre cette prestation, il faut examiner les briques techniques et les livrables qui composent une solution MSSP.

Que contient une solution MSSP : services, outils et livrables

Une solution MSSP ne se résume pas à un logiciel installé sur un serveur. Elle combine des technologies, des processus humains et des engagements contractuels précis.

Les services fondamentaux

• Pare-feu géré : surveillance continue, analyse du trafic réseau, définition des paramètres de sécurité, déclenchement d’alertes en cas d’écart et traitement de la menace détectée.
• Gestion de VPN : mise en place et supervision d’un réseau privé virtuel pour sécuriser les connexions distantes et limiter l’accès aux seuls utilisateurs autorisés, réduisant ainsi la surface d’attaque.
• Détection des intrusions : identification des tentatives d’accès non autorisées, avec pour objectif d’empêcher que des appareils ou systèmes compromis servent de rebond vers d’autres cibles internes ou externes.
• Gestion des antivirus : déploiement, mise à jour et supervision des solutions de protection des postes de travail.
• Analyse des vulnérabilités : recherche de failles dans le réseau, y compris des vulnérabilités indirectes, situées à un ou plusieurs degrés d’éloignement, qui pourraient mener à des systèmes ou données sensibles.

Les technologies mobilisées

Derrière ces services se trouvent des outils spécifiques : un SIEM pour centraliser et corréler les journaux, un SOAR pour automatiser certaines réponses, des solutions EDR ou XDR pour surveiller les terminaux et croiser les signaux entre plusieurs sources, parfois complétées par du NDR pour l’analyse du trafic réseau. Certains prestataires proposent également des offres MDR, une forme de détection et réponse managée souvent plus légère qu’un SOC complet.

Les livrables concrets

Un client MSSP reçoit généralement des rapports périodiques, des tableaux de bord d’activité, des recommandations de durcissement et un historique des incidents traités. Ces livrables permettent de mesurer la valeur du service et d’orienter les investissements futurs. Reste à savoir comment ce type de prestataire se positionne par rapport à un MSP classique ou à un SOC interne, une distinction souvent mal comprise.

MSSP, MSP, SOC : quelles différences et qui fait quoi

La confusion entre ces trois termes est fréquente, alors que leurs périmètres sont bien distincts.

MSSP contre MSP : une question de spécialisation

Un MSP, managed service provider, couvre des services informatiques généraux : infrastructure, réseau, messagerie, services cloud, télécommunications gérées, solutions SaaS. Un MSSP, lui, se spécialise exclusivement dans la cybersécurité. Cette différence se retrouve dans l’organisation opérationnelle : un MSP s’appuie généralement sur un NOC, centre opérationnel réseau, tandis qu’un MSSP s’appuie sur un SOC, centre opérationnel de sécurité.

Le SOC : une fonction, pas un fournisseur

Le SOC désigne une capacité organisationnelle, pas une entreprise. Il peut être interne, entièrement externalisé auprès d’un MSSP, ou hybride, avec une équipe interne qui collabore avec un prestataire pour la couverture nocturne ou les pics d’activité. Ce modèle hybride séduit de plus en plus d’organisations qui souhaitent garder une expertise métier en interne tout en s’appuyant sur la puissance de traitement et la disponibilité continue d’un partenaire externe.

Choisir entre ces modèles dépend directement de la maturité de l’organisation et de son exposition aux risques, deux facteurs qui déterminent en grande partie l’opportunité de recourir à un MSSP.

Quand faire appel à un MSSP : besoins, cas d’usage et signaux d’alerte

Certains signaux indiquent qu’une organisation gagnerait à externaliser sa sécurité plutôt qu’à tenter de tout gérer en interne.

Les signaux organisationnels

• Absence de couverture en dehors des horaires de bureau, alors que les attaques surviennent souvent la nuit ou le week-end.
• Difficulté à recruter ou retenir des profils spécialisés en sécurité, un marché tendu où la concurrence salariale est forte.
• Multiplication des environnements à surveiller : postes distants, cloud public, applications SaaS, ce qui complique la visibilité globale.
• Obligations réglementaires croissantes, notamment RGPD, ISO 27001 ou NIS2, qui exigent une traçabilité et une réactivité difficiles à assurer sans outillage dédié.

Les cas d’usage typiques

Une PME sans équipe sécurité dédiée peut confier l’intégralité de ses opérations à un MSSP. Une entreprise de taille intermédiaire, dotée d’un début d’équipe interne, peut préférer un modèle de complément, où le MSSP gère la supervision 24/7 et l’escalade, pendant que l’équipe interne pilote la stratégie et la remédiation. Dans les deux cas, l’objectif reste d’alléger la charge des équipes IT internes et de leur libérer du temps pour d’autres projets et objectifs opérationnels. Une fois ce besoin identifié, encore faut-il comprendre précisément ce que le prestataire prendra en charge, et où s’arrêtent ses responsabilités contractuelles.

Périmètre, responsabilités et SLA : ce qu’un MSSP fait ou ne fait pas

Un contrat MSSP repose sur une répartition claire des rôles, formalisée dans des SLA précis. Sans cette clarté, les malentendus sont quasi garantis.

Ce que couvre généralement un SLA

Les engagements de service portent typiquement sur trois délais : le temps de détection d’un événement suspect, le temps de prise en charge une fois l’alerte qualifiée, et le temps d’escalade vers le client ou vers une équipe de niveau supérieur. Ces délais sont documentés dans des runbooks, des procédures opérationnelles qui décrivent précisément les actions à mener selon le type d’incident rencontré.

Les limites fréquentes du service

• La remédiation technique sur le système d’information du client reste souvent à la charge de ce dernier, sauf accord explicite de co-gestion.
• La gestion de crise globale, incluant communication de crise et décisions stratégiques, demeure une responsabilité interne.
• L’investigation forensique approfondie peut nécessiter une prestation complémentaire, distincte de la surveillance courante.

Les points de friction courants

La qualité de la relation dépend fortement de la qualité des données transmises. Des journaux incomplets, des accès mal configurés ou une architecture mal documentée freinent la performance du MSSP, même le plus compétent. Ces frictions doivent être anticipées dès la phase de sélection du prestataire, un moment clé qui mérite une grille d’évaluation rigoureuse.

Comment choisir un MSSP : critères de sélection et questions à poser

Le choix d’un MSSP ne doit pas reposer sur des slogans commerciaux, mais sur des critères vérifiables et des preuves concrètes de performance.

Les critères opérationnels incontournables

• Couverture réelle 24 heures sur 24, avec vérification du nombre d’analystes présents la nuit et le week-end, pas seulement en journée.
• Expertise sectorielle : un prestataire ayant déjà travaillé sur des environnements similaires comprendra mieux les enjeux métier spécifiques.
• Transparence sur les outils utilisés : SIEM, SOAR, EDR, XDR, NDR, avec possibilité d’audit ou de démonstration.
• Localisation et souveraineté des données, un point sensible pour les organisations soumises au RGPD ou à des exigences sectorielles strictes.
• Certifications du prestataire et conformité à des référentiels reconnus comme ISO 27001.

Les questions à poser avant signature

Il convient de demander des exemples concrets d’incidents traités, des indicateurs de performance passés, et le détail exact des livrables inclus dans l’offre de base. Un bon prestataire accepte de partager des références vérifiables et ne se contente pas d’arguments génériques sur la puissance de ses outils.

Le modèle tarifaire

Les tarifs varient selon le nombre d’utilisateurs, le volume de journaux traités, le niveau de couverture horaire et les technologies incluses. Un devis pour 5 utilisateurs ne sera évidemment pas comparable à celui pour 500 utilisateurs, la structure de coût évoluant selon la volumétrie et la complexité de l’environnement. Une fois le prestataire sélectionné, reste l’étape souvent sous-estimée du déploiement et du pilotage dans la durée.

Déploiement et pilotage : onboarding, indicateurs et amélioration continue

La signature du contrat ne marque que le début du travail réel. L’onboarding conditionne largement la qualité du service dans les mois suivants.

Les étapes de mise en œuvre

• Collecte et intégration des journaux depuis les différentes sources : pare-feu, serveurs, postes de travail, applications cloud.
• Déploiement des connecteurs techniques entre les systèmes du client et la plateforme du MSSP.
• Rédaction conjointe des runbooks, adaptés au contexte métier et aux contraintes internes.
• Définition des chaînes d’escalade, avec identification des contacts et des seuils de criticité.

Les indicateurs à suivre dans la durée

Le pilotage repose sur des métriques précises : le MTTD, temps moyen de détection, le MTTR, temps moyen de réponse, le taux de faux positifs, et la couverture effective des systèmes surveillés. Ces indicateurs doivent être présentés régulièrement lors de comités de suivi, l’occasion de réajuster les règles de détection et d’identifier les angles morts. Un MSSP sérieux ne se contente pas de surveiller : il gère aussi les mises à niveau, changements et modifications des systèmes de sécurité, afin de maintenir des mesures efficaces face à des menaces qui évoluent chaque jour. Cette dynamique d’amélioration continue trouve sa traduction concrète dans les différents types d’offres proposées sur le marché.

Exemples de prestations MSSP et modèles d’offre

Les offres MSSP se déclinent sous plusieurs formats, adaptés à des besoins et des budgets différents.

Des prestations ciblées

• SOC 24/7 externalisé, incluant surveillance, triage et escalade des incidents.
• Gestion managée d’EDR ou XDR, avec configuration, maintenance et réponse aux alertes remontées par les agents installés sur les terminaux.
• Supervision d’environnements cloud, particulièrement utile lors de migrations, avec gestion des utilisateurs, contrôles de sécurité, sauvegardes et configurations.
• Gestion des vulnérabilités en continu, avec scans réguliers et priorisation des correctifs.
• Accompagnement à la conformité, pour aider à structurer une infrastructure de cybersécurité adéquate face aux exigences réglementaires.

Les modèles d’engagement

Trois approches coexistent sur le marché : le modèle tout-en-un, où le MSSP prend en charge l’intégralité des opérations de sécurité, le modèle modulaire, où le client choisit des briques spécifiques selon ses besoins, et le co-management, où le prestataire complète une équipe interne existante plutôt que de la remplacer. Le coût varie fortement selon le nombre d’appareils surveillés, le volume de données ingérées et le niveau d’automatisation attendu via SOAR. Quel que soit le modèle retenu, certaines erreurs reviennent régulièrement et méritent d’être anticipées.

Erreurs fréquentes et bonnes pratiques pour une relation MSSP efficace

La réussite d’une collaboration avec un MSSP dépend autant du prestataire que du client. Plusieurs écueils reviennent régulièrement.

Les erreurs les plus courantes

• Attendre une protection totale et instantanée, alors qu’aucun dispositif ne peut éliminer tout risque.
• Fournir des journaux incomplets ou mal structurés, ce qui limite mécaniquement la qualité de la détection.
• Négliger la rédaction de runbooks précis, laissant place à l’improvisation lors d’un incident réel.
• Sous-estimer la gouvernance interne nécessaire pour piloter la relation avec le prestataire.
• Créer une dépendance totale, sans conserver de compétences internes minimales pour dialoguer efficacement avec le MSSP.

Les bonnes pratiques à adopter

Établir une matrice RACI dès le démarrage permet de clarifier qui fait quoi entre le client et le prestataire. Organiser des exercices d’escalade réguliers, simulant un incident réel, permet de vérifier que les procédures fonctionnent sous pression. Réviser périodiquement les règles de détection évite l’accumulation de faux positifs et maintient la pertinence des alertes. Cette rigueur méthodique, appliquée dans la durée, transforme un simple contrat de service en véritable partenariat de sécurité.

FAQ

Qu’est-ce qu’un MSSP ?

Un MSSP est un fournisseur tiers qui gère tout ou partie des opérations de sécurité quotidiennes d’une entreprise, comme la surveillance des pare-feu, la détection des intrusions ou l’analyse des vulnérabilités.

Qu’est-ce qu’un MSSP en cybersécurité ?

En cybersécurité, un MSSP surveille en continu les systèmes, détecte les menaces et coordonne la réponse aux incidents, souvent via un SOC opérant 24 heures sur 24, tout en fournissant du renseignement sur les menaces.

Qu’est-ce qu’une solution MSSP ?

Une solution MSSP combine des outils techniques comme le SIEM, le SOAR ou l’EDR, des processus d’investigation et de réponse, et des livrables réguliers tels que rapports, tableaux de bord et recommandations de sécurité.

Quelle est la différence entre un MSSP et un MSP ?

Un MSP gère l’infrastructure informatique générale d’une entreprise, tandis qu’un MSSP se spécialise exclusivement dans la cybersécurité, s’appuyant sur un SOC plutôt que sur un NOC.

Faire appel à un MSSP revient à déléguer une fonction critique, à condition de définir précisément le périmètre, les SLA et les indicateurs de suivi dès le départ. Une sélection rigoureuse, appuyée sur des preuves concrètes plutôt que sur des promesses, conditionne la réussite de cette collaboration sur le long terme.