Chaque CISO sud-africain fait face à la même question à un moment donné : faut-il construire notre propre Centre d'Opérations de Sécurité, externaliser auprès d'un MSSP, ou trouver un juste milieu hybride ? La réponse est moins évidente que ne l'admet chaque camp.
Par Neil Beulecke, Directeur Général — Layer7 Networking
Les Chiffres, Honnêtement
Commençons par ce que coûte réellement un SOC interne en Afrique du Sud en 2026.
Un SOC 24/7 minimum viable nécessite au moins huit analystes pour couvrir trois équipes avec redondance, plus un responsable SOC et un analyste en threat intelligence. Aux tarifs actuels du marché sud-africain, voici ce que cela représente :
- 8 x Analystes SOC (L1/L2) : R450 000 - R750 000 chacun par an
- 2 x Analystes Seniors (L3) : R850 000 - R1 200 000 chacun
- 1 x Responsable SOC : R1 000 000 - R1 500 000
- 1 x Analyste Threat Intelligence : R750 000 - R1 100 000
Cela représente R7,5 - R12,5 millions en salaires seuls — avant d'ajouter les licences SIEM (R1,5 - R4 millions), les outils SOAR, les flux de threat intelligence, la formation et l'infrastructure physique ou virtuelle pour tout faire fonctionner. Un coût réaliste entièrement chargé pour un SOC interne est de R12 - R20 millions par an.
Et c'est si vous pouvez effectivement recruter. Le déficit de compétences en cybersécurité en Afrique du Sud est bien documenté — nous comptons environ 12 000 professionnels qualifiés en cybersécurité pour une demande estimée à 40 000+. Vos analystes seront constamment débauchés, et chaque départ coûte six mois de productivité.
Quand Construire en Interne
Malgré les coûts, un SOC interne a du sens dans des circonstances spécifiques :
Industries fortement réglementées où les exigences réglementaires imposent un contrôle direct sur les opérations de sécurité — certaines exigences du secteur bancaire et des services financiers entrent dans cette catégorie.
Organisations avec des profils de menace uniques nécessitant une connaissance approfondie et spécialisée des systèmes propriétaires. Les opérations minières avec des environnements OT complexes, par exemple, peuvent avoir besoin d'analystes qui comprennent intimement les protocoles SCADA.
Très grandes organisations (5 000+ employés) où le coût par utilisateur d'un SOC interne approche le coût de l'externalisation, et l'organisation dispose de la notoriété de marque pour attirer et retenir les talents.
Quand Externaliser
L'externalisation vers un fournisseur de services de sécurité managés a du sens lorsque :
La rapidité de mise en œuvre compte. Un MSSP peut vous surveiller en quelques semaines. Construire un SOC interne prend 12 à 18 mois pour atteindre la maturité opérationnelle. Si vous avez une échéance de conformité imminente ou avez récemment subi un incident, l'externalisation vous fait gagner du temps.
Les contraintes budgétaires sont réelles. Un service SOC managé coûte généralement R150 000 - R400 000 par mois, selon le périmètre — nettement moins que l'alternative interne pour la plupart des organisations de taille intermédiaire.
Votre cœur de métier n'est pas la cybersécurité. Une chaîne de distribution, une entreprise de logistique, une entreprise manufacturière — leur avantage concurrentiel ne réside pas dans les opérations de sécurité. L'externalisation libère l'attention de la direction pour les activités métier essentielles.
Le Modèle Hybride
L'approche la plus efficace pour la plupart des organisations sud-africaines est un modèle hybride, et c'est ce que nous recommandons de plus en plus :
Interne : Gouvernance, risque et sécurité stratégique. Gardez votre CISO, votre architecte sécurité et une petite équipe focalisée sur les politiques, l'évaluation des risques, la gestion des fournisseurs et la direction stratégique. Ces rôles nécessitent une connaissance organisationnelle approfondie qu'un MSSP ne peut pas répliquer.
Externe : Surveillance et réponse opérationnelle de sécurité. Laissez un spécialiste gérer la routine 24/7 d'analyse de logs, de triage des alertes, de threat hunting et de réponse aux incidents. Ils ont l'envergure, les outils et le vivier de talents pour le faire efficacement.
Partagé : Réponse aux incidents et threat intelligence. Les incidents majeurs nécessitent une collaboration entre l'équipe interne (qui comprend le contexte métier) et le SOC externe (qui dispose de la profondeur technique et de la couverture 24/7). Des runbooks conjoints et des exercices réguliers maintiennent cette interface fluide.
Questions à Poser à Votre MSSP
Si vous évaluez des fournisseurs de SOC managé, ces questions distinguent les sérieux du marketing :
- Quel est votre ratio analyste/client ? Au-delà de 1:15, vos alertes sont en concurrence pour l'attention avec trop d'autres clients.
- Où sont situés vos analystes ? L'alignement des fuseaux horaires est crucial pour la réponse aux incidents. Un SOC dans un autre hémisphère introduit des délais de communication au pire moment possible.
- Quel est votre temps moyen de détection et temps moyen de réponse ? Obtenez des SLA contractuels, pas des chiffres marketing. Et demandez comment ils mesurent ces métriques.
- Comment gérez-vous les faux positifs ? Un SOC qui transmet chaque alerte à votre équipe ne fournit pas un service — il fournit du bruit. Renseignez-vous sur leur processus d'affinage et leur taux de faux positifs.
- Puis-je voir vos rapports d'incidents du dernier trimestre ? Anonymisés, bien sûr. Mais la qualité et la profondeur de leurs rapports en disent long sur leur capacité analytique.
Le Mot de la Fin
Il n'y a pas de réponse universellement correcte à construire versus acheter. Mais il y a une mauvaise réponse : ne faire ni l'un ni l'autre. Opérer sans surveillance de sécurité continue en 2026 n'est pas une acceptation du risque — c'est de la négligence. Que vous construisiez, achetiez ou combiniez, mettez la couverture en place. Le paysage des menaces n'attend pas les cycles d'approbation budgétaire.
Layer7 Networking fournit des services de sécurité managés adaptés au marché sud-africain. Nous ne sommes pas l'option la moins chère — nous sommes celle qui répond au téléphone à 2h du matin un dimanche quand vous faites face à un ransomware.