Ce que contiennent vraiment vos logs
Avant de parler d'hébergement, rappelons ce qu'on héberge : les journaux d'authentification, les requêtes DNS, l'activité des postes et des serveurs. Agrégés, ces logs décrivent l'organigramme réel de l'entreprise, ses horaires, ses outils, ses failles. C'est pour cela que la question « où vivent-ils ? » mérite mieux qu'un réflexe, dans un sens comme dans l'autre.
Quatre questions qui tranchent
| Critère | Penche on-premise | Penche SaaS |
|---|---|---|
| Réglementaire | Secteur régulé, données de défense, exigence contractuelle de localisation stricte | Pas de contrainte de localisation au-delà de l'UE |
| Coût complet à 3 ans | Volumétrie forte et stable ; le SaaS facturé au Go ingéré devient vite cher | Volumétrie modeste ou variable, pas de CAPEX possible |
| Équipe d'exploitation | Des compétences infra disponibles pour patcher, dimensionner, superviser | Personne pour maintenir une plateforme de plus |
| Délai de mise en route | Peut attendre quelques semaines | Besoin d'être opérationnel ce mois-ci |
Le critère le plus sous-estimé est le troisième. Un SIEM on-premise sans personne pour l'exploiter devient en six mois une dette : non patché, sous-dimensionné, et finalement moins souverain qu'un SaaS bien contractualisé, parce qu'une plateforme à l'abandon protège mal ce qu'elle héberge.
La réversibilité
Quel que soit le mode choisi, posez la question de sortie avant d'entrer : format d'export des logs, des règles de détection, des playbooks ; durée de restitution ; coût. Un SIEM dont on ne peut pas sortir n'est pas un outil, c'est une dépendance. C'est un engagement que nous prenons contractuellement sur ARTEFACT dans les deux modes : vos logs, vos règles et vos playbooks restent exportables en format ouvert.
La bonne réponse n'est donc ni « on-premise parce que souveraineté » ni « SaaS parce que simplicité » : c'est celle qui sort du tableau ci-dessus appliqué à votre contexte. Si vous hésitez entre les deux, c'est généralement que la contrainte réglementaire ne tranche pas, et c'est alors l'équipe d'exploitation disponible qui doit décider.