Journalisation et surveillance de la sécurité (SIEM, SOC, MDR) comme preuve

Un guide pratique de la journalisation de la sécurité, des SIEM et des services SOC ou MDR : quoi enregistrer, durée de conservation, cas d'usage de détection, triage des alertes et comment montrer aux autorités de contrôle que la détection fonctionne.

Ce guide s'adresse aux responsables informatiques et de sécurité, aux RSSI et aux prestataires de services gérés ou vCISO qui les conseillent et qui doivent mettre en place ou organiser la journalisation et la surveillance de la sécurité d'une manière qui résiste à un examen NIS2, CyFun ou DORA. Il couvre ce qu'il faut enregistrer, combien de temps le conserver, quelles détections mettre en place en priorité, comment les alertes doivent être traitées et comment choisir entre un SOC interne, un SOC externalisé et la détection et réponse gérées (MDR). À la fin, vous disposerez d'un registre et d'un moyen de démontrer que la détection fonctionne.

Avant de commencer

Vous avez besoin de trois éléments : une liste des services critiques et des systèmes qui les soutiennent (provenant de votre inventaire d'actifs ou d'une analyse d'impact métier), votre évaluation des risques actuelle et un aperçu de ce que vous collectez déjà. Impliquez le DPD dès le départ. Les journaux de sécurité contiennent des données à caractère personnel, de sorte que la finalité, la minimisation, l'accès et la conservation doivent être documentés en vertu du RGPD.^[7].

Étape 1 : Comprendre ce que les règles exigent réellement

L'article 21, paragraphe 2, point b), de la directive NIS2 exige des mesures de traitement des incidents, et vous ne pouvez pas traiter ce que vous ne détectez pas^[1]. Pour les prestataires d'infrastructure numérique et de services numériques, le règlement d'exécution 2024/2690 est spécifique. Le point 3.2 de l'annexe demande aux entités de surveiller et d'enregistrer l'activité pour détecter les événements qui pourraient être des incidents ; d'enregistrer, le cas échéant, le trafic réseau, les événements de compte et d'authentification, l'activité privilégiée, les modifications de la configuration critique et des fichiers de sauvegarde, ainsi que les événements des outils de sécurité ; d'automatiser la surveillance si possible et de l'ajuster pour limiter les faux positifs et les faux négatifs ; de conserver et de protéger les journaux pendant une période prédéfinie ; de synchroniser les sources de temps ; de rendre la journalisation redondante ; et d'examiner la configuration à intervalles réguliers et après les incidents importants^[2]. Le règlement d'exécution s'applique formellement uniquement à ces types de prestataires, mais il constitue un repère pratique pour toute entité, et les orientations techniques de l'ENISA expliquent chaque point.^[5].

Pour les entités financières, l'article 10 de DORA exige des mécanismes pour détecter rapidement les activités anormales, plusieurs niveaux de contrôle, des seuils d'alerte qui déclenchent la réponse aux incidents et des tests réguliers de la détection^[3]. Le règlement délégué 2024/1774 ajoute des précisions : les procédures de journalisation qui définissent les événements, la conservation et la protection (article 12), la synchronisation de l'horloge avec une source de temps fiable documentée, et les alertes sur les activités anormales au moins pour les actifs soutenant les fonctions critiques ou importantes, traitées pendant et en dehors des heures de travail (article 23).^[4].

Étape 2 : Définir d'abord les cas d'usage de détection

Un cas d'usage est une chose spécifique que vous voulez détecter, avec une réponse définie. Commencez par dix à quinze qui correspondent à vos risques ; les précurseurs de rançongiciel, la prise de contrôle de compte et l'abus d'accès privilégié sont des points de départ judicieux.

• Connexion depuis un pays inhabituel ou voyage impossible sur un compte privilégié.
• Fatigue MFA (refus de poussée répétés) ou méthode MFA modifiée, suivie d'une connexion.
• Nouvelle règle de transfert de boîte aux lettres vers une adresse externe.
• Membre ajouté à un groupe privilégié (administrateurs de domaine, administrateurs globaux).
• Protection des points de terminaison désactivée ou altérée ; comportement de rançongiciel détecté.
• Suppression ou modification des tâches de sauvegarde, des instantanés ou des dépôts de sauvegarde.
• Téléchargement ou chargement en masse de fichiers vers un stockage cloud inconnu.
• Connexions sortantes vers une infrastructure malveillante connue (correspondance de renseignement sur les menaces).
• Journalisation d'audit désactivée sur un système critique.

Mettez en correspondance chaque cas d'usage avec les sources de journaux dont il a besoin et enregistrez lesquelles vous pouvez détecter aujourd'hui. Cette vue des lacunes est votre document le plus utile.

Étape 3 : Prioriser les sources de journaux

Travaillez par niveaux. Les sources de niveau 1 sont celles où la plupart des attaques deviennent visibles et sont généralement peu coûteuses à collecter. Les sources de niveau 2 ajoutent de la profondeur pour les services critiques.

Domaine	Niveau 1 (commencez ici)	Niveau 2 (ajouter pour les services critiques)
Identité	Journaux de connexion et d'audit Entra ID ou autre IdP, événements de sécurité Active Directory, événements MFA	Sessions de gestion des accès privilégiés, utilisation des comptes de service
Points de terminaison et serveurs	Alertes et télémétrie EDR, journaux de sécurité et PowerShell Windows sur les serveurs	Télémétrie détaillée Sysmon ou équivalente, journaux d'audit Linux
Cloud et SaaS	Journaux d'audit Microsoft 365 ou Google Workspace, journaux du plan de contrôle cloud (AWS CloudTrail, Azure Activity, GCP Audit)	Journaux d'accès au stockage, accès au coffre-fort de clés, journaux d'administrateur SaaS pour les applications critiques pour l'entreprise
Réseau	Journaux de pare-feu autorisés et refusés, VPN et accès à distance, requêtes DNS	Journaux de proxy, NetFlow, détection et réponse réseau, surveillance du réseau OT
Applications critiques	Actions d'administration, authentification, modifications de configuration	Transactions métier avec pertinence pour la fraude, audit de base de données
Outils de sécurité et de sauvegarde	Modifications et défaillances de la console de sauvegarde, alertes de sécurité de messagerie, constats du scanner de vulnérabilités	Prévention de la perte de données, outils de déception

Étape 4 : Définir la conservation, l'intégrité et la synchronisation de l'heure

Ni la NIS2 ni le Règlement d'exécution ne fixent un nombre de mois pour la conservation des journaux. L'exigence est une période prédéfinie et justifiée. Basez-la sur la durée pendant laquelle les attaquants restent généralement indétectés dans votre environnement, sur les besoins de conservation légale et d'enquête, et sur toute règle sectorielle. Une conception courante est une période « chaude » qui peut être recherchée rapidement et une archive moins coûteuse pour le reste de la période. Documentez la justification.

• Protégez les journaux contre la modification et la suppression : stockage séparé, droits d'administration restreints, immuabilité si disponible.
• Surveillez le pipeline de journalisation lui-même : alertez quand une source devient silencieuse.
• Synchronisez tous les systèmes sur une source de temps fiable documentée (NTP depuis une source interne de confiance ou une source nationale) et enregistrez en UTC ou avec les informations de fuseau horaire.

Étape 5 : Choisissez votre modèle opérationnel : interne, service SOC ou MDR

La question est : qui surveille les alertes à 3 heures du matin et qui a l'autorité d'agir.

Modèle	Ce que vous obtenez	Convient à	À surveiller
SOC interne	Contrôle total, connaissance approfondie de votre environnement	Grandes entités disposant d'un budget pour une permanence 24/7	Assurer une permanence 24/7 nécessite plusieurs analystes ; risque de dépendance à une personne clé
SOC externalisé / SIEM géré	Le prestataire surveille votre SIEM et remonte les alertes	Entités qui souhaitent posséder la plateforme et les données	Remontée sans réponse : quelqu'un en interne doit toujours agir
MDR	Le prestataire surveille principalement la télémétrie EDR et d'identité et peut contenir (isoler un hôte, désactiver un compte)	Petites et moyennes entités	Périmètre limité aux outils du prestataire ; confirmez quels journaux sont couverts et qui décide du confinement
Hybride	MDR pour une couverture 24/7, équipe interne pour les cas d'usage et les investigations	Organisations en croissance	Répartition claire des responsabilités dans une matrice RACI

Quel que soit votre choix, le prestataire est un fournisseur TIC et relève de vos mesures de gestion de la chaîne d'approvisionnement. Les contrats doivent couvrir les niveaux de service pour le triage et l'escalade, l'autorité de confinement, la propriété des journaux et la restitution à la sortie, la localisation des données et le soutien pour vos délais de signalement des incidents.

Étape 6 : Aborder la résidence des données dans l'UE et la surveillance des employés

Les journaux de sécurité contiennent des noms d'utilisateurs, des adresses IP, des identifiants d'appareils et parfois des métadonnées de messages, de sorte que le RGPD s'applique intégralement. En vertu du chapitre V du RGPD, les transferts de données à caractère personnel en dehors de l'EEE nécessitent une base juridique telle qu'une décision d'adéquation ou des garanties appropriées^[7]. L'accès à distance aux journaux stockés dans l'UE par des analystes situés dans un pays tiers peut également constituer un transfert.

• Demandez où les journaux sont stockés, traités et sauvegardés, et où travaillent les analystes du SOC.
• Privilégiez une région de l'UE pour le SIEM et les outils d'analyse du prestataire, et vérifiez les sous-traitants du prestataire.
• Documentez une analyse d'impact relative à la protection des données lorsque la surveillance est étendue ou systématique.
• Respectez les règles nationales de surveillance des employés : en Belgique, la Convention collective de travail n° 81 sur la surveillance des communications électroniques en ligne ; aux Pays-Bas, le droit de consentement du conseil d'entreprise en vertu de l'article 27 de la Loi sur les conseils d'entreprise ; au Luxembourg, les règles du Code du travail sur la surveillance sur le lieu de travail.

Étape 7 : Définir le triage et la remontée des alertes

Une alerte qui n'est traitée par personne constitue une preuve à charge. Définissez les niveaux de gravité, les délais de réponse et qui fait quoi, et liez les alertes de haute gravité à votre plan de réponse aux incidents et à votre décision de signalement NIS2.

• Niveaux de gravité avec délais cibles pour l'accusé de réception et la remontée (par exemple, alertes critiques avec accusé de réception dans les 30 minutes, 24h/24 et 7j/7).
• Étapes de triage par cas d'usage : ce qu'il faut vérifier, quand classer comme faux positif, quand remonter.
• Chaîne de remontée avec personnes nommées et suppléants, y compris en dehors des heures de bureau.
• Un point clair où une alerte devient un incident et l'horloge pour l'alerte précoce de 24 heures en vertu de l'article 23 de NIS2 peut commencer^[1].

Étape 8 : Prouvez que la détection fonctionne

C'est là que la plupart des organisations échouent. Une configuration modeste qui est testée et s'améliore est plus convaincante qu'une configuration coûteuse que personne ne peut expliquer. Le référentiel CyFun 2025 est aligné sur le NIST CSF 2.0 et suit sa structure, y compris la fonction Détecter^[6].

• Testez chaque cas d'usage prioritaire au moins une fois par an avec une simulation sûre (créez une règle de transfert de test, ajoutez un compte de test à un groupe d'administrateurs, exécutez un outil de simulation d'attaque bénigne) et enregistrez si l'alerte s'est déclenchée et a été traitée à temps.
• Couverture des rapports : pourcentage de systèmes critiques envoyant des journaux, pourcentage de cas d'usage prioritaires testés au cours des 12 derniers mois, délai moyen d'accusé de réception et d'escalade.
• Incluez la détection dans vos exercices de simulation ; le guide opérationnel d'exercice de simulation montre comment.

Dans Secrato, le registre des sources de journaux et des cas d'usage peut être joint comme preuves aux contrôles de surveillance dans le Moteur de conformité, de sorte qu'un seul résultat de test soutient NIS2, CyFun, ISO/IEC 27001 et DORA en même temps.

Le modèle d'accompagnement comprend un registre des sources de journalisation, un registre des cas d'usage de détection avec 30 cas pré-remplis et un journal de test de détection.

Comment cela se connecte à d'autres référentiels

ISO/IEC 27001:2022 Annexe A couvre la journalisation (8.15), le suivi des activités (8.16) et la synchronisation de l'horloge (8.17) ; le même registre atteste les trois. Dans NIST CSF 2.0 et CyFun, ce travail se situe dans la fonction Detect. En vertu de DORA, l'article 10 et le règlement délégué rendent les tests de détection explicites. Le registre que vous constituez une fois les sert tous.

Questions fréquemment posées

Avons-nous besoin d'un SIEM pour être conforme à NIS2 ?

Aucune loi ne nomme un produit. Vous devez collecter les journaux pertinents, détecter les activités suspectes et réagir à temps. Une petite organisation peut satisfaire à cela avec un service MDR sur les points de terminaison et l'identité plus les journaux d'audit cloud centralisés. Les entités plus grandes ou plus complexes ont généralement besoin d'un SIEM pour corréler les sources.

Combien de temps devons-nous conserver les journaux de sécurité ?

Il n'existe pas de durée fixe à l'échelle de l'UE en vertu de NIS2. Choisissez une période qui vous permet d'enquêter sur les incidents découverts tardivement, justifiez-la par écrit et vérifiez les règles sectorielles et les contrats. Ne conservez pas les données à caractère personnel plus longtemps que ce que cette finalité exige.

La surveillance 24/7 est-elle obligatoire ?

NIS2 ne le stipule pas explicitement. Le règlement délégué de DORA exige que les alertes pour les fonctions critiques ou importantes soient traitées pendant et en dehors des heures de travail. Pour les entités disposant de services critiques, une couverture en dehors des heures de travail est une nécessité pratique.