Une entreprise équipe ses ordinateurs d’un outil de détection avancée et découvre ensuite une console remplie d’alertes. Le logiciel fonctionne peut-être, mais la protection attendue dépend aussi de ce qui se passe après le signalement. Un EDR collecte et exploite des informations sur les postes pour aider à détecter, examiner et traiter des activités suspectes. Sa présence ne garantit pas qu’une personne prend la décision utile à temps. Pour une PME, l’achat doit donc décrire une organisation de réponse, et pas seulement une licence par ordinateur.
En bref : examinez couverture, surveillance, qualification et actions autorisées. Un outil de détection et un service qui traite les incidents sont deux éléments complémentaires à définir.
Ne pas comparer deux étiquettes comme deux protections complètes
Les solutions regroupent différentes fonctions : prévention, détection, investigation ou actions de réponse. Les mots antivirus et EDR ne décrivent pas toujours des ensembles strictement séparés dans les produits commercialisés. Consultez les fonctions réellement incluses, les systèmes compatibles et les options activées. Une dénomination seule ne permet pas d’établir la couverture de votre parc.
Un EDR peut notamment aider à relier des événements observés sur un poste et à examiner leur contexte. Les documentations de solutions comme Microsoft Defender distinguent alertes, incidents et investigation des appareils. Ce mécanisme apporte des informations utiles ; il demande ensuite une interprétation et une procédure adaptée. La richesse de la console n’est pas une mesure du travail réellement effectué.
Commencez par un inventaire : ordinateurs, serveurs concernés, machines nomades et systèmes particuliers. Certaines ressources peuvent rester hors de portée de l’outil choisi. Une couverture annoncée de tous les postes mérite d’être confrontée aux références et versions présentes. Les appareils exclus doivent avoir une réponse explicite, pas disparaître du dossier.
Une alerte ne devient pas automatiquement une action
Une activité inhabituelle peut être malveillante, légitime ou insuffisamment décrite pour trancher immédiatement. La qualification doit examiner le contexte sans ignorer les signaux ni bloquer toute activité sur la première anomalie. Demandez qui effectue cette tâche, pendant quelles plages et avec quelles informations sur votre organisation. Un service proposé en journée ne se lit pas comme une surveillance continue.
Le délai de lecture et le délai de traitement ne sont pas la même promesse. Une notification envoyée rapidement ne prouve pas qu’un analyste a pris en charge le cas. Le contrat ou la description de service doit préciser l’étape couverte : accusé de réception, qualification, recommandation ou action. Cette distinction aide à comparer les offres sans supposer une réponse humaine derrière chaque message automatique.
La communication avec la PME doit être préparée. Désignez un contact capable de confirmer une opération légitime et un relais lorsqu’il est absent. Une alerte peut concerner un utilisateur indisponible ou un prestataire externe. Sans interlocuteur et sans contexte, le service perd du temps au moment où il doit prendre une décision prudente.
Définir les actions avant l’incident
Certaines solutions permettent des actions de réponse, comme l’isolement d’un appareil, selon leurs capacités et les autorisations prévues. Ces opérations peuvent perturber une activité. Il faut préciser lesquelles le prestataire peut exécuter, dans quelles situations et comment l’entreprise est informée. Une promesse générale « nous intervenons » laisse trop de place à des attentes différentes.
Distinguez aussi l’action immédiate et la remise en état. Réduire une exposition ne garantit pas que tous les accès compromis ou toutes les conséquences ont été traités. La suite peut nécessiter une investigation complémentaire, un changement d’identifiants ou une reconstruction maîtrisée. Le périmètre du service doit indiquer ce qu’il comprend et quand une autre expertise est nécessaire.
Les outils de protection ne remplacent pas les mises à jour, les accès correctement gérés et les copies de sécurité. Demandez comment le prestataire relie ces éléments à son observation des postes. Une entreprise peut améliorer la détection tout en conservant une faiblesse ailleurs ; la décision d’achat doit garder cette vue d’ensemble.
L’investigation technique complète le travail humain sur les incidents. Notre dossier sur la sensibilisation des employés à la cybersécurité aborde ce deuxième volet : les signalements et les comportements restent importants, même lorsqu’un outil de détection est déployé.
Vérifier le service avec un scénario encadré
Avant le déploiement général, choisissez un petit périmètre représentatif et un essai convenu avec le fournisseur. Le but est de contrôler le parcours de notification et de prise en charge, sans lancer une attaque improvisée. Vérifiez que les appareils remontent correctement, que les contacts reçoivent les informations et que les responsabilités sont comprises.
Un compte rendu périodique devrait expliquer la couverture effective, les événements traités et les points qui demandent une décision. Le nombre d’alertes seul peut être trompeur : davantage de signaux n’est pas automatiquement davantage de protection. Cherchez les éléments qui permettent de suivre les actions et leurs limites.
L’EDR apporte sa valeur dans une chaîne où collecte, qualification et réponse sont reliées. Pour une PME, cette chaîne doit rester lisible et praticable. Acheter un outil devient alors une décision de protection organisée, avec une couverture connue et des personnes responsables des étapes qui suivent l’alerte.
