Ce que contiennent vraiment vos logs
Ce que les logs racontent vraiment
Avant de parler d'hébergement, rappelons ce qu'on héberge : les journaux d'authentification, les requêtes DNS, l'activité des postes et des serveurs. Agrégés, ces logs décrivent l'organigramme réel de l'entreprise, ses horaires, ses outils, ses failles.
Pourquoi l'hébergement n'est pas un détail
C'est pour cela que la question « où vivent-ils ? » mérite mieux qu'un réflexe, dans un sens comme dans l'autre.
Quatre questions qui tranchent
Lire le tableau des quatre critères
| Critère | Penche on-premise | Penche SaaS |
|---|---|---|
| Réglementaire | Secteur régulé, données de défense, exigence contractuelle de localisation stricte | Pas de contrainte de localisation au-delà de l'UE |
| Coût complet à 3 ans | Volumétrie forte et stable ; le SaaS facturé au Go ingéré devient vite cher | Volumétrie modeste ou variable, pas de CAPEX possible |
| Équipe d'exploitation | Des compétences infra disponibles pour patcher, dimensionner, superviser | Personne pour maintenir une plateforme de plus |
| Délai de mise en route | Peut attendre quelques semaines | Besoin d'être opérationnel ce mois-ci |
L'équipe qui tient la plateforme
Le critère le plus sous-estimé est le troisième. Un SIEM on-premise sans personne pour l'exploiter devient en six mois une dette : non patché, sous-dimensionné, et finalement moins souverain qu'un SaaS bien contractualisé, parce qu'une plateforme à l'abandon protège mal ce qu'elle héberge.
La réversibilité
Poser la sortie avant l'entrée
Quel que soit le mode choisi, posez la question de sortie avant d'entrer : format d'export des logs, des règles de détection, des playbooks ; durée de restitution ; coût. Un SIEM dont on ne peut pas sortir n'est pas un outil, c'est une dépendance. C'est un engagement que nous prenons contractuellement sur ARTEFACT dans les deux modes : vos logs, vos règles et vos playbooks restent exportables en format ouvert.
Deux modes, un horizon de calcul
La bonne réponse n'est donc ni « on-premise parce que souveraineté » ni « SaaS parce que simplicité » : c'est celle qui sort du tableau ci-dessus appliqué à votre contexte. Si vous hésitez entre les deux, c'est généralement que la contrainte réglementaire ne tranche pas, et c'est alors l'équipe d'exploitation disponible qui doit décider.
Le même débat, deux conclusions opposées
Le tableau ci-dessus n'est utile que s'il tranche. Voici deux situations réelles, volontairement opposées, pour montrer que le « bon » mode n'existe pas hors contexte.
PME industrielle, 180 postes, pas de SOC interne
Contrainte réglementaire faible (pas de données de défense, pas d'obligation de localisation stricte). Une personne IT polyvalente, zéro ingénieur plateforme. Volumétrie encore modestes, mais un EDR à brancher dans les six mois. Ici le SaaS gagne : le CAPEX et la charge d'exploitation d'un SIEM on-premise seraient payés par la seule personne qui tient déjà le reste. La souveraineté se joue alors dans le contrat (hébergement France, export, réversibilité), pas dans le rack.
ETI régulée, données sensibles, équipe infra de quatre
Localisation exigée, audits fréquents, volumétrie déjà haute et stable. Quatre personnes savent patcher, dimensionner, superviser. Ici l'on-premise gagne : le SaaS au Go devient une taxe sur la couverture, et les auditeurs veulent voir la machine, pas une clause. Le risque n'est plus « où vivent les logs », c'est de laisser la plateforme sans propriétaire nommé après la mise en service.
Ce qui fait signer le mauvais contrat
Ces deux erreurs reviennent dans presque tous les arbitrages que nous voyons. Elles ne sont pas techniques : elles sont dans la façon de comparer.
Comparer le prix du Go au prix du serveur
Le tarif SaaS affiché et le devis matériel on-premise ne mesurent pas la même chose. D'un côté : ingestion, rétention, support, mises à jour. De l'autre : serveurs, plus le temps d'exploitation, plus le dimanche où personne ne patch. Un calcul honnête à trois ans aligne les deux colonnes — ou on décide en connaissance de cause de ne pas aligner, ce qui est déjà mieux qu'un tableur tronqué.
Croire que le mode règle la réversibilité
Un SaaS « souverain » dont on ne peut pas extraire les règles est une cage. Un on-premise dont les playbooks ne vivent que dans l'interface du produit aussi. Posez le format d'export et le délai de restitution avant le bon de commande, dans les deux modes. Si le fournisseur élude, vous avez déjà la réponse.