Le marché de la cybersécurité externalisée se développe rapidement au Maroc. Les acronymes se multiplient et les propositions commerciales s'accumulent sur les bureaux des directions informatiques et générales. Chacun propose de la sécurité ; le problème est que tous ne proposent pas la même chose. Et l'écart entre les offres se découvre généralement au moment où le service est réellement sollicité, c'est-à-dire pendant un incident.

De l'accompagnement d'entreprises marocaines dans le choix et l'évaluation de leurs prestataires, cinq questions ressortent comme déterminantes. Cinq questions à poser, et dont les réponses doivent figurer par écrit, avant toute signature.

D'abord, comprendre ce que vous achetez

Une clarification préalable s'impose sur les modèles proposés :

  • Le prestataire de services de sécurité gérés administre vos outils au quotidien : pare-feu, protection des postes, collecte des journaux. Il s'agit d'exploitation. Les alertes sont surveillées, mais la capacité à traiter un incident complexe n'est pas nécessairement incluse.
  • La détection et réponse managées va au-delà : technologie et équipe humaine sont associées pour identifier les menaces avancées et y répondre activement, avec une recherche proactive de compromission.
  • Le centre opérationnel externalisé assure surveillance continue, analyse des événements et corrélation des alertes. Cette appellation recouvre aussi bien un véritable centre qu'une offre d'exploitation présentée sous un autre nom, d'où l'utilité des questions qui suivent.
  • Le responsable sécurité externalisé intervient sur le pilotage, la gouvernance et la conformité. Cette prestation complète les précédentes plutôt qu'elle ne s'y substitue.

Ces catégories sont fréquemment employées de manière interchangeable. Une offre d'exploitation présentée comme une offre de détection et réponse ne produit pas le même service, tout en étant facturée dans les mêmes ordres de grandeur.

Question 1 : Que se passe-t-il à 3h du matin un samedi quand une alerte critique est déclenchée ?

Cette question révèle la nature réelle du service. La mention d'une couverture permanente recouvre en pratique des situations très différentes :

  • un analyste qualifié examine votre alerte en temps réel, ce qui correspond à la couverture annoncée ;
  • un système automatisé transmet un message à une personne d'astreinte qui en prendra connaissance à son réveil, ce qui correspond à une couverture en heures ouvrées ;
  • un centre situé dans un autre fuseau horaire traite l'alerte sans connaissance de votre environnement, ce qui privilégie le volume sur la pertinence.

Demandez : le détail des effectifs par tranche horaire, le nombre d'analystes affectés à votre compte, et les engagements de délai de première réaction par niveau de gravité, distincts des délais de résolution. Sollicitez également une visite du centre. Un refus sur ce point constitue une information en soi.

Question 2 : Quelles données quittent notre périmètre, et où sont-elles stockées ?

Pour fonctionner, un service externalisé accède à vos journaux, à vos flux réseau et à vos alertes, c'est-à-dire à des informations détaillées sur votre infrastructure. La question de leur destination se pose donc directement.

Dans le cadre de la loi 05-20 et des attentes de la DGSSI, ce point revêt une importance particulière pour les opérateurs concernés : les données relatives aux systèmes critiques ne peuvent être traitées en tout lieu ni par tout intervenant.

Demandez : la liste des données collectées, la localisation physique des serveurs, la politique de conservation et de suppression, et l'engagement contractuel que ces données ne seront ni exploitées à d'autres fins ni transmises à des tiers. Vérifiez enfin que le prestataire satisfait lui-même aux exigences applicables lorsqu'il traite des données d'opérateurs désignés.

Question 3 : Quels sont vos délais moyens de détection et de réponse, et sur quelles preuves ?

La détection en temps réel est annoncée par tous. Les données du secteur donnent une autre mesure : le rapport Cost of a Data Breach 2024 d'IBM relève un délai moyen d'identification de 194 jours, et l'édition 2025 fait état d'une amélioration sensible sans que l'ordre de grandeur change fondamentalement. Un prestataire qui se limite à réagir aux alertes, sans corrélation ni recherche proactive, n'améliore pas nécessairement ce chiffre.

Demandez : les indicateurs de détection et de réponse sur les douze derniers mois, appuyés par des rapports, avec un détail par type d'incident et par gravité. Un prestataire structuré mesure ces éléments et les communique. Une réponse qui reste générale et sans chiffres indique généralement l'absence de processus formalisé.

Fixez ensuite des objectifs contractuels : un délai de détection de quelques heures pour les alertes critiques et un délai de première mesure de confinement inférieur à l'heure constituent des repères raisonnables. Un refus de s'engager sur ces valeurs mérite d'être interprété.

Question 4 : Que se passe-t-il si nous voulons changer de prestataire ?

Cette question est rarement posée à la signature et se révèle déterminante deux ans plus tard. La réversibilité constitue le meilleur indicateur de l'équilibre du contrat.

Trois difficultés reviennent :

  • Dépendance technologique : le prestataire déploie sa propre plateforme. En cas de départ, l'historique, les règles de détection et les procédures de réponse restent chez lui.
  • Durée d'engagement : des périodes longues assorties de pénalités de sortie rendent le changement économiquement impraticable.
  • Restitution des données : vos journaux ne vous sont pas rendus, ou le sont contre un coût qui dissuade de les demander.

Demandez : un plan de réversibilité annexé au contrat, la propriété explicite de vos données et de vos règles personnalisées, un préavis raisonnable et un engagement d'assistance à la transition. Évitez par ailleurs les durées d'engagement trop longues au regard de l'évolution du marché.

Question 5 : Avez-vous une expertise OT/industrielle démontrable ?

Si votre entreprise exploite un environnement industriel, ce qui concerne une grande partie du tissu économique marocain, cette question ne souffre pas d'exception. Sécurité informatique et sécurité industrielle constituent deux métiers distincts.

Un centre habitué aux alertes bureautiques et aux tentatives d'hameçonnage n'interprétera pas correctement une anomalie sur un protocole industriel. Un analyste qui n'a jamais travaillé sur un automate ne distinguera pas un comportement normal d'une action malveillante sur votre réseau de production.

Demandez : les certifications industrielles de l'équipe, des références dans votre secteur, et la capacité effective à superviser les protocoles employés sur votre site. Complétez par un exercice sur table : soumettez un scénario d'incident industriel et appréciez la réponse. Un interlocuteur qui ramène systématiquement la discussion aux pare-feu et à la protection des postes n'a pas cette expérience.

Le coût de la non-question

Les difficultés rencontrées après signature suivent des schémas récurrents. Lors d'un incident réel, des organisations découvrent que leur prestataire ne disposait d'aucun analyste le week-end, que les journaux étaient conservés hors du pays sans que cela ait été porté à leur connaissance, qu'aucun exercice de réponse n'avait jamais été conduit, que la notion d'automate programmable lui était étrangère, ou que les conditions de sortie rendaient tout changement plus coûteux que le maintien de la relation.

Aucune de ces situations n'apparaît dans la proposition commerciale, et toutes se seraient révélées à la lecture des réponses aux cinq questions ci-dessus. Le contrat le plus coûteux n'est pas celui dont la mensualité est la plus élevée, mais celui qui ne produit pas le service attendu au moment où il est sollicité.

Conseil pratique : avant de signer, demandez une phase d'essai d'une trentaine de jours sur un périmètre restreint. Un prestataire confiant dans son service y consentira. Un refus assorti d'une demande de signature immédiate constitue une réponse à la question que vous posiez.

Construire une relation, pas un contrat

L'externalisation de la sécurité ne s'apparente pas à un achat de prestation ordinaire. Elle repose sur une relation dans laquelle le prestataire accède aux informations les plus sensibles de l'entreprise, et où sa connaissance de votre environnement détermine directement la qualité de son intervention.

Les cinq questions présentées ici ne couvrent pas tout, mais elles constituent le socle. Un prestataire qui ne peut y répondre clairement, par écrit et avec des éléments à l'appui, vous renseigne déjà sur ce que sera la relation une fois le contrat signé.