Choisir un EDR pour une PME : la grille de critères

Ce guide ne classe aucun produit et n'en cite aucun. Les comparatifs de produits vieillissent en quelques mois et dépendent d'un environnement de test qui n'est pas le vôtre. Ce qui dure, c'est la grille de questions. Elle sert à comparer deux ou trois offres sur la même base et de repérer ce qu'un commercial préférerait ne pas détailler.

Un EDR (endpoint detection and response) observe ce qui se passe sur les postes et les serveurs, détecte des comportements suspects, et donne les moyens de réagir : isoler une machine, arrêter un processus, remonter la chronologie d'une attaque. La différence avec un antivirus classique est dans l'observation continue et la capacité de réponse. C'est aussi ce qui en fait un outil à très hauts privilèges : il voit tout et peut agir sur tout. Gardez cette idée en tête pendant toute la lecture.

Avant la grille : trois décisions à prendre chez vous

Qui regarde les alertes ? Un EDR produit des alertes. Si personne n'est formé à les traiter, l'outil détecte et ne protège pas. Trois configurations existent : vous traitez en interne, vous confiez la surveillance à un prestataire (service managé, souvent appelé MDR), ou vous vous contentez du blocage automatique. Chacune a un coût et une exposition différente. Décidez avant de comparer des produits, parce que le meilleur outil pour une équipe qui traite elle-même n'est pas le meilleur pour une équipe qui n'a pas le temps.

Quel parc ? Postes Windows seuls, ou aussi macOS, Linux, serveurs, machines virtuelles, postes mobiles, anciens systèmes qui ne sont plus mis à jour ? Un EDR qui ne couvre pas la moitié de votre parc ne vaut rien sur cette moitié.

Quelle obligation externe ? Exigence d'un client, d'un assureur, d'un cadre réglementaire : elle peut imposer des fonctions ou des preuves précises. Demandez-la par écrit avant d'acheter.

Critères de décision

1. Couverture et prise en charge de votre parc

Listez vos systèmes d'exploitation et leurs versions, y compris les plus anciennes. Faites confirmer par écrit la prise en charge de chacun, ainsi que celle des serveurs, des environnements virtualisés et du télétravail hors réseau d'entreprise.

Question à poser : que se passe-t-il sur un système non pris en charge ? Une réponse honnête est « rien, il n'est pas protégé ». Mieux vaut le savoir avant.

2. Détection : ce qu'elle voit, et comment vous le vérifiez

La détection se juge sur la visibilité (ce que l'agent collecte), sur la méthode (signatures, comportement, apprentissage) et sur la qualité du résultat (faux positifs, faux négatifs). Ce dernier point est le plus difficile à évaluer.

Méfiez-vous des chiffres de performance fournis par l'éditeur. Demandez en revanche à pouvoir faire un essai sur un échantillon représentatif de votre parc pendant une période suffisante, avec des scénarios d'attaque simulés que vous aurez définis avec votre prestataire ou votre équipe. Ce que vous mesurez : le bruit généré sur vos applications métier, ce qui est détecté, ce qui ne l'est pas, le temps entre l'action et l'alerte.

3. Réponse et remédiation

Qu'est-ce que l'outil permet de faire à distance : isoler un poste du réseau, tuer un processus, supprimer un fichier, restaurer un état antérieur, collecter des éléments pour l'investigation ? L'isolation fonctionne-t-elle même si la machine est hors du réseau d'entreprise ? Y a-t-il une validation par un humain avant les actions de masse ?

Question à poser : une action déclenchée par erreur sur un serveur critique, comment l'annule-t-on, et qui en porte la responsabilité ?

4. Impact sur les machines et sur les utilisateurs

Consommation de ressources, ralentissements, conflits avec les logiciels métier, mises à jour qui redémarrent les postes. Un EDR trop intrusif finit désactivé par les utilisateurs ou mis en exception au point de ne plus protéger. Faites tester sur vos applications les plus sensibles, notamment les anciennes.

5. Gestion et administration

Console unique ou plusieurs, gestion des droits, séparation des rôles, journalisation des actions des administrateurs, authentification forte sur la console. Rappelez-vous que la console d'un EDR est un point d'entrée de premier ordre : qui la compromet peut agir sur l'ensemble du parc. Vérifiez comment elle est protégée et comment l'accès des équipes du fournisseur à votre locataire est encadré.

6. Données collectées, localisation et juridiction

L'agent remonte de la télémétrie : processus lancés, fichiers, connexions, parfois du contenu. Où est-elle stockée ? Par qui est-elle accessible, support du fournisseur compris ? Sous quelle juridiction ? Est-ce compatible avec vos obligations de protection des données personnelles, sachant que cette télémétrie peut contenir des informations sur les salariés ?

Question à poser : existe-t-il une option d'hébergement dans l'Union européenne, et que couvre-t-elle exactement : le stockage seulement, ou aussi l'administration et le support ?

7. Rétention et accès à l'historique

La télémétrie sert à enquêter après coup. Combien de temps est-elle conservée, en recherche rapide et en archive ? À quel coût supplémentaire ? La CNIL recommande de conserver les événements de journalisation sur une période glissante comprise entre six mois et un an, hors obligation particulière, et de ne pas les conserver indéfiniment. Cette fourchette est un repère pour la discussion : vérifiez si la durée par défaut de l'offre est plus courte, et ce qu'il faut payer pour l'allonger.

8. Intégration avec votre environnement

Annuaire, messagerie, pare-feu, outils de supervision, SIEM ou SOC existant. L'EDR peut-il exporter ses événements dans un format ouvert vers un autre outil, ou seulement vers sa propre console ? C'est là que se joue l'essentiel de la dépendance.

9. Support, disponibilité et exploitation

Horaires du support, langue, délais de réponse engagés par contrat, procédure en cas de panne du service. Que se passe-t-il si le service cloud de l'éditeur est indisponible ou si une mise à jour défectueuse perturbe les postes ? L'agent continue-t-il de protéger en mode local ? Comment sont testées et déployées les mises à jour, avec quelle possibilité de les différer sur les serveurs critiques ?

10. Sortie et réversibilité

Que récupérez-vous à la fin du contrat : vos règles, vos exceptions, vos journaux, vos configurations ? Dans quel format ? Comment désinstalle-t-on l'agent sur l'ensemble du parc, et en combien de temps ? Combien de temps le service reste-t-il actif après la fin du contrat ? Que devient la télémétrie chez le fournisseur, et avec quelle attestation de suppression ?

Questions à poser au fournisseur, en bloc

Quels systèmes sont pris en charge, versions comprises, et jusqu'à quand ?
Peut-on faire un essai sur notre parc réel, avec nos scénarios ?
Où est stockée la télémétrie, qui y accède, et sous quelle juridiction ?
L'agent protège-t-il hors ligne ? Que se passe-t-il si votre service est indisponible ?
Comment les mises à jour de l'agent sont-elles contrôlées et différables ?
Quelles actions de réponse sont possibles à distance, et lesquelles exigent une validation humaine ?
Comment sont protégés les accès à la console et ceux de vos équipes à notre locataire ?
Quels formats d'export pour les événements et les configurations ?
Que se passe-t-il à la fin du contrat, point par point ?
Si un incident survient chez nous, quel est votre rôle contractuel ?

Signaux d'alerte

Aucun essai possible sur votre parc. Un produit qui ne tient que sur la plaquette est un risque.

Réponses évasives sur la localisation et l'accès du support. Demandez-les par écrit ; l'évitement est une réponse.

Pas de chiffrage séparé des services managés. Si le prix de la surveillance est noyé dans la licence, vous ne pourrez pas comparer ni négocier.

Engagement long avec sortie coûteuse. Surtout si les données et règles ne sont pas exportables.

Discours centré sur l'intelligence artificielle sans détail. Demandez ce que le modèle voit, où il tourne, et ce que vous pouvez contrôler. Une fonction que le fournisseur ne sait pas expliquer ne se vérifie pas.

Détection présentée comme infaillible. Aucun outil ne l'est. Un fournisseur qui le prétend ne parlera pas franchement du reste.

Console accessible sans authentification forte, ou accès du fournisseur non journalisé. Pour un outil de ce niveau de privilège, c'est rédhibitoire.

Ce qu'il faut faire chiffrer

Demandez à chaque candidat un devis sur la même base, avec ces lignes séparées :

Licence par poste et par serveur, avec les paliers de volume et les conditions de révision au renouvellement.
Surveillance et réponse managées, si vous n'avez pas d'équipe, avec plages de couverture et délais engagés.
Rétention de la télémétrie au-delà de la durée par défaut.
Déploiement et paramétrage initial, y compris la période d'ajustement des exceptions.
Formation de vos équipes.
Heures de réponse à incident, incluses ou non, et taux au-delà.
Support étendu, si le support standard ne couvre pas vos horaires.
Sortie : assistance à la désinstallation et à l'export.
Votre propre temps : qui traite les alertes, combien d'heures par semaine, et ce que cela remplace dans leur agenda.

Ce dernier poste est le plus souvent oublié, et c'est lui qui fait que l'outil le moins cher à l'achat devient le plus coûteux à l'usage.

Décider

Retenez les offres qui passent l'essai sur votre parc et qui répondent par écrit aux questions de localisation et de sortie. Entre elles, la différence tient rarement à la détection brute, que vous ne pourrez pas comparer finement, et plus souvent à la qualité de l'exploitation, au contrôle que vous gardez sur vos données et au coût réel de partir. Choisissez l'outil que votre équipe fera vraiment tourner.