Security Services Retainer : Service Units et périmètre du catalogue

Le Sophos Security Services Retainer permet de planifier des prestations de sécurité à l’aide des Service Units (SU). Le catalogue présente des prestations d’investigation et de préparation aux incidents, de tests de sécurité et de mise en œuvre. Pour préparer un achat, trois questions sont essentielles : quel niveau de Retainer a réellement été commandé, combien de SU restent disponibles pour l’année d’abonnement concernée et quelle mission précisément délimitée le prestataire doit-il réaliser en contrepartie ?

Catalogue vérifié le 11 octobre 2026. Les valeurs ci-dessous sont une aide à la planification, pas une offre ni une preuve du droit d’un client à bénéficier d’une prestation. Avant tout achat ou toute commande de prestation, il faut confirmer séparément la version actuelle du catalogue, les droits du client et le périmètre précis de la prestation.

Ce que le catalogue ne permet pas de déduire : cet article ne comporte aucun engagement concernant les SLA, les délais de réponse ou de début d’intervention, la disponibilité, l’assistance sur site, la Breach Warranty ou un résultat d’investigation garanti. Le Retainer ou un solde de SU n’entraîne pas non plus une surveillance MDR automatique. Ces attentes doivent être clarifiées avant l’achat, sur la base des accords applicables au client.

Service Units et les quatre niveaux du Retainer

Les SU sont l’unité utilisée par le catalogue pour indiquer les ressources nécessaires à une prestation. Elles ne représentent ni un montant monétaire ni un nombre générique d’heures de travail. Seule la ligne DFIR expliquée ci-dessous indique une conversion en heures ; celle-ci ne s’applique pas automatiquement aux évaluations ou à la mise en œuvre.

Cette attribution s’applique par année d’abonnement, et non une seule fois pour toute la durée d’un contrat pluriannuel. Le tableau n’indique toutefois pas le solde actuellement utilisable par un client donné. La planification doit tenir compte des prestations déjà commandées, de l’année d’abonnement concernée et de l’attribution confirmée. Cet article ne définit aucune règle d’expiration, de report, de remboursement, de renouvellement ou d’attribution sur plusieurs années.

Le choix du niveau ne se résume donc pas au nombre le plus élevé. Il faut d’abord décrire le besoin, puis comparer la valeur du catalogue et la commande confirmée au solde disponible. Une valeur adaptée dans le tableau ne suffit pas, à elle seule, à autoriser la commande d’une prestation.

Exemples de prestations dans les trois catégories du catalogue

Les exemples suivants montrent les différences entre les catégories. Ils ne constituent pas une liste exhaustive et ne décrivent pas en détail les livrables de chaque service.

Pour les trois catégories : les valeurs en SU sont des minimums indiqués dans le catalogue. Des adaptations supplémentaires ou une demande de réalisation sur site peuvent augmenter le besoin en SU. La possibilité de proposer une telle réalisation pour la commande concernée doit être confirmée séparément ; la règle des valeurs minimales ne constitue pas un engagement d’intervention sur site.

DFIR et préparation aux incidents

Digital Forensics and Incident Response (DFIR) désigne l’investigation forensique et la réponse aux incidents de sécurité. Le catalogue propose également des prestations de préparation aux incidents, dites de « Readiness ».

La ligne DFIR mentionne aussi une facturation à l’heure comme alternative, mais sans prix dans une devise. Aucun tarif horaire ne peut en être déduit. De même, trois heures de DFIR ne constituent ni un délai de réponse ni un engagement à traiter entièrement un incident dans ce laps de temps.

Condition importante pour le Level 1 : le tableau des niveaux ne prévoit l’utilisation des SU pour le DFIR au Level 1 qu’avec un Standalone DFIR Retainer. Pour les Level 2 à 4, cette ligne du catalogue indique « Yes ». Ces mentions ne remplacent pas non plus la confirmation des droits propres au client et de la commande. En particulier, il ne faut pas considérer le Level 1 comme un accès général au DFIR au seul motif qu’il comprend 2 SU.

Tests et évaluations de sécurité

Une évaluation (« Assessment ») est une analyse de sécurité commandée au prestataire. L’intitulé du catalogue aide à choisir une prestation, mais ne définit pas encore les systèmes examinés, les méthodes de test ou les résultats.

Pour l’AI LLM Security Assessment, chaque cible supplémentaire est comptabilisée séparément. La valeur standard ne comprend pas un périmètre supplémentaire illimité. Ce qui constitue une cible dans la commande concernée doit être défini avec le prestataire avant la commande. Pour l’évaluation Entra ID également, les 15 SU ne permettent pas de déduire une couverture forfaitaire d’un nombre quelconque de tenants ou d’identités.

Mise en œuvre

La valeur ITDR ne définit pas un périmètre de mise en œuvre universel. Pour l’entrée MDR, l’unité par intégration est déterminante : une commande portant sur plusieurs intégrations n’est pas automatiquement couverte par une seule SU. La configuration reste par ailleurs distincte des droits d’utilisation du produit et du service. L’article sur les intégrations MDR et XDR traite de la configuration technique et de sa vérification, pas de l’autorisation d’achat de ce Retainer.

Vérifier le besoin avant de commander une prestation

La démarche suivante est une recommandation Avanet pour préparer l’achat, pas une procédure de portail documentée. Elle évite de confondre une ligne du catalogue avec une commande prête à être exécutée.

1. Nommer la prestation et son objectif. Consigner l’intitulé exact du catalogue et le résultat souhaité, par exemple un Tabletop Exercise ou la configuration d’une intégration MDR précise. Ne pas traiter un incident en cours comme un projet de planification ordinaire ; utiliser le contact déjà convenu pour les incidents et la procédure interne de gestion des incidents.
2. Délimiter le périmètre. Indiquer les tenants, appareils, intégrations ou cibles d’évaluation concernés, ainsi que les quantités pertinentes. N’utiliser une unité de quantité comme « par intégration » que lorsque le catalogue la mentionne effectivement ; en l’absence d’unité, demander au prestataire de définir clairement le périmètre.
3. Confirmer la situation du client. Relever le niveau commandé, l’année d’abonnement concernée, le solde de SU disponible et les commandes déjà planifiées. Pour le DFIR au Level 1, clarifier également l’existence du Standalone DFIR Retainer et le périmètre utilisable confirmé sur cette base.
4. Demander confirmation des écarts. Mentionner explicitement les adaptations, les souhaits d’intervention sur site et les autres particularités. Obtenir le besoin en SU confirmé pour cette commande précise et une offre distincte, au lieu de traiter le minimum comme un prix fixe.
5. Comparer avant d’autoriser la commande. Le périmètre de la prestation, les droits du client, le besoin en SU confirmé et l’offre doivent concorder. En cas d’écart, la commande reste en attente jusqu’à ce que le prestataire l’ait clarifié et que la personne compétente ait autorisé la commande.

Exemple : un besoin compatible avec le solde ne constitue pas encore une commande

Supposons que 15 SU aient été confirmées comme disponibles pour l’année d’abonnement en cours. Un Tabletop Exercise à 12 SU et deux intégrations MDR à 1 SU chacune sont prévus. Le calcul à partir du catalogue donne 14 SU, avec un reste théorique de 1 SU.

Ce calcul sert uniquement à une première estimation. Il ne correspond à la commande que si le prestataire délimite les deux intégrations en conséquence et confirme le besoin sans adaptations supplémentaires. Une augmentation liée à des exigences particulières peut épuiser la marge restante. Les 14 SU n’impliquent ni une licence MDR, ni un périmètre de surveillance, ni une date de livraison, ni la réussite de la réception technique.

Recommandation Avanet : documenter le besoin en SU confirmé avec la commande et résoudre les questions de périmètre encore ouvertes avant son autorisation. Un niveau supérieur ne remplace pas ces clarifications.

Corriger les idées reçues courantes

• « Mon niveau comprend 15 SU, je peux donc commander pour 15 SU. » Confirmer d’abord l’année d’abonnement concernée et le solde réellement disponible. L’attribution annuelle du catalogue ne correspond pas automatiquement au solde restant actuel.
• « Une SU représente toujours trois heures. » La conversion n’est indiquée que pour la ligne DFIR du catalogue. Pour les autres prestations, c’est la valeur propre au service qui s’applique.
• « La valeur du tableau couvre tous les projets de ce type. » Vérifier le minimum, l’unité de quantité et le périmètre confirmé. Clarifier les limites non définies concernant les tenants, les appareils ou les objectifs avant toute commande.
• « Avec le Retainer, le fonctionnement du MDR est également configuré. » Vérifier séparément l’achat et l’exploitation. Par exemple, MDR Threat Feeds sur Sophos Firewall traite d’une fonction d’exploitation précise avec ses propres prérequis, pas des droits liés au Retainer.

La décision d’achat n’est suffisamment préparée que lorsque le client, l’année d’abonnement, la prestation, son périmètre et le besoin en SU confirmé sont clairement identifiés et associés. La mise en œuvre proprement dite et la réception technique suivent ensuite le guide opérationnel du produit concerné et la commande autorisée séparément.