Quand l’antivirus signale une réussite, mais que personne ne sait vraiment ce qui s’est passé

Un lundi matin comme les autres dans n’importe quelle entreprise : l’antivirus signale qu’il a supprimé un fichier malveillant de l’ordinateur portable du service comptable. Statut : vert, coche, terminé. Mais deux questions plus tard, le malaise s’installe. Comment ce fichier s’est-il retrouvé sur cet appareil ? Et se trouvait-il peut-être également sur les onze autres appareils ayant reçu le même e-mail au cours de la même période ?

C’est
précisément là qu’interviennent les concepts représentés par les trois acronymes EDR, XDR et MDR. Ils ne désignent pas trois produits concurrents, mais plutôt trois solutions complémentaires à une même faille de sécurité. Cet article explique la signification de ces termes, où se situent les frontières entre eux, quel niveau correspond à quel point de départ, et ce qu’il faut rechercher dans une offre de produit pour ne pas finir par payer des fonctionnalités que vous ne pouvez pas utiliser.

Pourquoi un logiciel antivirus traditionnel ne peut-il pas vous dire ce qui s’est passé après une attaque ?

Parce qu’ils ne sont pas conçus pour cela. Un produit de protection des terminaux — c’est-à-dire un logiciel antivirus traditionnel doté d’une analyse comportementale, d’un pare-feu et d’un filtre Web — est conçu pour prévenir une attaque. S’il y parvient, l’affaire est close de son point de vue. Une entrée de journal est enregistrée — horodatage, nom de fichier, action — mais pas la séquence d’événements qui a conduit à ce fichier.

La différence peut se résumer en une phrase : l’antivirus détecte ; l’EDR reconstitue. Après un incident, vous n’avez pas besoin de savoir que quelque chose a été bloqué. Ce dont vous avez besoin, c’est de la chaîne d’événements qui l’ont précédé et qui l’ont suivi. Quel processus a créé le fichier ? Une macro a-t-elle été exécutée auparavant ? L’ordinateur s’est-il connecté à une adresse inconnue par la suite ? Et surtout : la même séquence d’événements s’est-elle également produite sur d’autres appareils, sans toutefois déclencher de détection sur ceux-ci parce que le fichier avait été légèrement modifié ?

Sans journalisation, vous répondrez à ces questions par « nous n’en sommes pas sûrs ». C’est à ce moment-là que de nombreuses entreprises, par mesure de sécurité, réinstallent tous leurs appareils — non pas parce que c’est nécessaire, mais parce qu’elles ne peuvent pas exclure cette possibilité.

Que signifie l’acronyme EDR, et que consigne réellement un agent EDR ?

EDR signifie « Endpoint Detection and Response » (détection et réponse au niveau des terminaux). L’agent consigne en continu l’activité du système : quel processus a lancé quel autre processus, quels fichiers ont été modifiés ou renommés, quelles clés de registre ont été modifiées et quelles connexions réseau ont été établies. Ce journal est stocké dans la console de gestion et reste disponible même longtemps après la fin de l’événement déclencheur.

Il en résulte trois fonctions essentielles au quotidien. L’analyse des causes profondes affiche la chaîne sous forme d’arborescence des processus : Outlook ouvre un document, le document lance PowerShell, et PowerShell charge un fichier. Kaspersky appelle cela l’analyse des causes profondes ; Bitdefender parle de « détection et visualisation inter-appareils » ; Sophos crée un dossier de menace dans Sophos Central.

La deuxième fonctionnalité est la recherche rétroactive sur l’ensemble de l’infrastructure. Vous disposez d’un hachage de fichier ou d’un domaine issu d’une alerte et pouvez interroger simultanément tous les appareils pour vérifier s’il y est déjà apparu auparavant. Chez Kaspersky, cette fonctionnalité s’appelle « IoC Search » ; chez WithSecure, « Event Search » ; et chez ThreatDown, « Flight Recorder Search ». En cas d’urgence, cette requête remplace plusieurs jours de travail manuel.

La troisième fonctionnalité concerne la réponse depuis la console : isoler un appareil du réseau, mettre fin à un processus, placer un fichier en quarantaine ou ouvrir un shell à distance. Sur ce point, les produits se distinguent beaucoup plus nettement qu’en matière de détection. ThreatDown offre également la possibilité de restaurer les données endommagées par un rançongiciel jusqu’à sept jours en arrière, tandis qu’ESET Inspect permet un accès PowerShell à distance aux ordinateurs gérés.

Quels sont les coûts d’exploitation récurrents de l’EDR qui ne figurent dans aucun devis ?

Le temps de travail. Un logiciel antivirus signale « supprimé », tandis qu’un EDR signale « inhabituel — veuillez vérifier ». Il ne s’agit pas d’un défaut de conception, mais bien de l’objectif recherché : l’agent signale les activités qui semblent suspectes mais qui ne sont pas définitivement malveillantes. Quelqu’un doit lire, évaluer et résoudre ces alertes.

Concrètement, il faut compter plusieurs heures par semaine jusqu’à ce que les politiques et les exceptions adaptées à votre environnement soient configurées : les logiciels spécifiques à un secteur d’activité qui exécutent des scripts en temps réel génèrent inévitablement des faux positifs au début. Par la suite, vous aurez besoin d’un créneau horaire fixe chaque jour. Si vous ne pouvez pas assumer ce rôle, vous achetez un outil de journalisation qui s’avère utile en cas d’urgence, mais qui ne sert à rien dans le cadre des opérations quotidiennes. Dans ce cas de figure, il existe les options gérées décrites ci-dessous, qui sont généralement plus rentables qu’un pack de licences plus complet qui resterait inutilisé.

Quelle est la différence entre l’EDR et le XDR ?

XDR signifie « Extended Detection and Response » (détection et réponse étendues). Ce n’est pas la réponse qui est étendue, mais l’ensemble de données. Outre la télémétrie des terminaux, d’autres sources alimentent la même analyse : les événements de connexion provenant du service d’annuaire, les événements liés aux e-mails et au cloud issus de Microsoft 365, les journaux de pare-feu et les charges de travail dans le cloud.

La raison est d’ordre pratique : une grande partie des incidents actuels ne commence pas par un logiciel malveillant, mais par un mot de passe valide. Une personne se connectant avec des identifiants valides ne déclenche dans un premier temps aucune alerte sur le terminal. Ce n’est que la combinaison de ces éléments qui fait lever un signal d’alerte : une connexion depuis un pays inhabituel, suivie peu après par une nouvelle règle de redirection dans la boîte mail, puis un accès au stockage de fichiers. Pris isolément, chaque signal est anodin. Ce n’est que lorsqu’ils sont mis en relation qu’un incident est identifié, et c’est exactement ce que fait le XDR.

La mise en œuvre technique
de l’XDR varie selon les éditeurs. Bitdefender déploie des capteurs pour les identités, le réseau et les applications de productivité dans sa solution Business Security Enterprise et appelle le résultat « Defense XDR ». Sophos regroupe les données des terminaux, des serveurs, des pare-feu, de la messagerie et du cloud dans un niveau de licence distinct. Elements XDR de WithSecure couvre les terminaux, l’identité, Microsoft 365 et le cloud via un agent unique. Kaspersky propose XDR sous forme d’édition distincte au-delà des niveaux EDR. ESET positionne Inspect comme un composant XDR s’intégrant aux systèmes SIEM et de gestion des tickets.

Le XDR en vaut-il la peine si vous ne disposez pas de votre propre équipe de sécurité ?

À une seule condition : vous devez réellement disposer de ces sources de données supplémentaires, et qu’actuellement, personne ne les analyse de manière systématique. Ceux qui utilisent Microsoft 365, exploitent un pare-feu Sophos et ont jusqu’à présent surveillé ces deux éléments séparément en verront des avantages concrets. Ceux qui ne disposent que d’appareils sur site et d’aucun service cloud paient pour des capteurs qui ne servent à rien.

Le deuxième point est souvent négligé : le XDR augmente la valeur des alertes, mais aussi leur nombre et leur complexité. Sans équipe dédiée, la combinaison d’un EDR et d’un service de surveillance tiers est généralement plus rentable qu’une plateforme XDR que personne n’analyse pleinement.

Qu’est-ce que j’achète exactement lorsque j’opte pour un service MDR ?

Du personnel et un changement de paradigme. MDR signifie « Managed Detection and Response » (détection et réponse gérées) ; il ne s’agit pas d’une technologie, mais d’un service : les analystes du fournisseur surveillent vos alertes 24 heures sur 24, les examinent et prennent eux-mêmes les mesures nécessaires dans le cadre défini par le contrat.

L’avantage réside dans le gain de temps, et non dans les fonctionnalités. Les attaques par chiffrement sont généralement lancées la nuit, le week-end et les jours fériés, car c’est à ces moments-là que personne n’est devant son ordinateur. Une alerte EDR déclenchée à 2 h du matin et qui n’est lue qu’à 8 h du matin représente un gaspillage de six heures — soit exactement le temps qu’il faut généralement à une attaque pour se propager du premier appareil au serveur de fichiers.

Au moment de faire son choix, une question est primordiale : le prestataire de services est-il autorisé à intervenir, ou seulement à appeler ? Cela se reflète dans les niveaux de service. Sophos distingue les offres « MDR Essentials » et « MDR Complete ». ESET propose « PROTECT MDR » pour les petites entreprises et « MDR Ultimate » avec assistance en matière d’analyse forensic. Bitdefender distingue les offres « MDR » et « MDR PLUS », le niveau supérieur incluant en outre la surveillance du dark web. Chez ThreatDown, la détection et la réponse gérées sont incluses à partir de l’offre « Elite ».

ThreatDown Elite Corporate

Voir ThreatDown Elite Corporate ⧉

Elite correspond à l’offre Advanced et la complète par une détection et une réponse gérées 24 h/24 et 7 j/7 par les analystes de Malwarebytes. Pour les entreprises ne disposant pas de leur propre équipe de sécurité, c’est à ce niveau qu’un outil devient un service. Les serveurs font l’objet d’une licence distincte avec ThreatDown.

Existe-t-il une étape intermédiaire entre l’EDR et le MDR ?

Oui, et pour les entreprises de taille moyenne, c’est souvent le bon choix. Entre « nous faisons tout nous-mêmes » et « nous externalisons tout », il existe une assistance d’experts payante à la demande, sans contrat de service complet.

WithSecure a établi une distinction très claire entre ces différents niveaux. La formule « Elevate » permet aux utilisateurs d’Elements EDR d’accéder, en cas de besoin, à des analystes qui évaluent un incident spécifique et orientent la réponse. Le service de « Co-Monitoring » vient compléter votre propre équipe par une surveillance 24 heures sur 24, au cours de laquelle des chasseurs de menaces examinent les alertes à haut risque et transmettent les incidents confirmés à votre équipe. Ce n’est qu’au-delà de ce niveau que l’on trouve le MDR complet, avec sa propre équipe d’intervention. Un modèle similaire existe chez ThreatDown, où la recherche de menaces gérée est déjà incluse dans l’offre « Advanced » et rend compte des découvertes critiques, tandis que le service d’intervention n’est inclus qu’à partir du niveau « Elite ».

Service de co-surveillance WithSecure

Découvrez le service de co-surveillance WithSecure ⧉

Idéal pour les organisations qui ont déployé une solution EDR mais ne peuvent pas assurer une couverture la nuit et le week-end, tout en souhaitant conserver la gestion des incidents en interne.

WithSecure Elevate

Découvrez WithSecure Elevate ⧉

L'option allégée : une assistance d'experts pour les cas individuels complexes, gérée soit par votre partenaire attitré, soit directement par votre propre entreprise. Cette solution est pertinente si votre équipe informatique gère généralement les alertes de manière autonome et n'a besoin d'un deuxième avis que pour les incidents complexes.

En quoi les solutions antivirus, EDR, XDR et MDR diffèrent-elles lorsqu’on les compare côte à côte ?

Deux champs sont volontairement laissés vides. Avec MDR, la gestion des données des terminaux uniquement ou également des signaux d’identité et du cloud dépend de l’étendue de l’abonnement. Un journal de protection antivirus a une valeur probante limitée, car il ne retrace pas la chronologie des événements mais se contente de répertorier les détections individuelles.

Quel niveau est adapté à quelle situation ?

La décision dépend moins du nombre d’employés que de la personne chargée d’examiner les alertes au sein de votre organisation et de la durée pendant laquelle une interruption du système serait tolérable.

Les entreprises spécifiquement soumises à des obligations de déclaration — et le moment où les grands clients commencent à exiger des preuves — dépendent du secteur d’activité et de la taille de l’entreprise, et non du niveau de sécurité choisi. Cette distinction dépasse le cadre du présent sujet.

Quelles obligations s’appliquent à partir de quelle taille d’entreprise ?
Déterminez à partir de quand les obligations de déclaration, les exigences des clients et les obligations de documentation prennent réellement effet pour une entreprise.

Quels produits EDR sont comparables, et en quoi diffèrent-ils ?

Les offres comparables sont celles qui intègrent effectivement un composant EDR et qui sont destinées aux entreprises ne disposant pas de leur propre centre de sécurité. Le tableau les compare. Les solutions purement préventives telles que Sophos Intercept X Essentials ou ThreatDown Core sont délibérément exclues car elles n’intègrent pas de capacités de détection et de réponse ; il en va de même pour les plateformes destinées aux grands services de sécurité, telles que la Kaspersky Anti Targeted Attack Platform, qui s’adressent à un public cible différent.

Concernant les champs vides : avec ESET, Inspect est un composant dont l’étendue dépend du niveau PROTECT sélectionné ; les fonctionnalités supplémentaires incluses sont donc déterminées par le niveau et non par Inspect lui-même. Seul Bitdefender publie la durée de conservation des données télémétriques sous la forme d’un module clairement défini ; pour les autres fournisseurs, celle-ci dépend du type de déploiement et du contrat, et est donc incluse dans l’offre. La question de savoir si les serveurs font l’objet d’une licence distincte varie également : Sophos et ThreatDown répertorient les serveurs comme des éléments distincts, tandis que pour les autres, cela dépend du forfait et du rapport entre le nombre de serveurs et celui des postes de travail.

Quel produit correspond à quel besoin ?

La recommandation repose sur la situation spécifique, et non sur la marque. Quatre scénarios types :

Kaspersky Next EDR Optimum

Voir Kaspersky Next EDR Optimum ⧉

Le niveau à partir duquel le composant EDR est effectivement inclus, ainsi que la gestion des correctifs, la gestion du chiffrement, la détection adaptative des anomalies et la protection pour Microsoft 365. Peut être exploité aussi bien dans le cloud qu’en local. Une solution adaptée aux entreprises qui souhaitent regrouper plusieurs modules dans une seule console plutôt que de gérer trois produits distincts en parallèle.

Bitdefender GravityZone Business Security Enterprise

Voir Bitdefender GravityZone Business Security Enterprise ⧉

Le niveau proposant une détection multi-appareils, des analyses avec réponse en un clic, la recherche active de menaces et la possibilité d’étendre la durée de conservation des données à 90, 180 ou 365 jours. Peut être étendu à Defense XDR via des capteurs pour l’identité, le réseau et les applications de productivité sans changer d’agent.

SOPHOS Central Intercept X Advanced avec XDR

Voir SOPHOS Central Intercept X Advanced avec XDR ⧉

Consolide les données des terminaux, des serveurs, du pare-feu, de la messagerie et du cloud dans Sophos Central. Cette solution offre un avantage maximal lorsque le pare-feu Sophos et Microsoft 365 sont déjà utilisés, car la corrélation fonctionne alors sans nécessiter d’intégration supplémentaire.

ESET Inspect

Voir ESET Inspect ⧉

Le composant de détection et de réponse
d’ESET, doté d’une intégration via API avec les systèmes SIEM, SOAR et de gestion des tickets, ainsi que d’un accès PowerShell à distance aux ordinateurs gérés. Le choix idéal pour les environnements qui effectuent déjà une analyse centralisée des journaux et souhaitent y collecter les alertes plutôt que d’utiliser une interface supplémentaire.

Combien de temps les données enregistrées doivent-elles être conservées ?

Au moins aussi longtemps qu’une attaque pourrait, de manière réaliste, rester indétectée dans votre environnement. C’est le facteur le plus souvent négligé lors de l’achat d’une solution. Si un incident n’est détecté que soixante jours plus tard, mais que les données télémétriques ne sont conservées que pendant trente jours, vous avez payé pour une solution EDR sans pour autant obtenir de réponse.

À titre indicatif : une période de trente jours couvre un incident de chiffrement typique, qui se révèle rapidement. Pour un accès furtif aux données que personne ne remarque immédiatement, une période de quatre-vingt-dix jours ou plus est appropriée. Avec Bitdefender, cette extension est un module payant disponible par tranches de 90, 180 et 365 jours, à partir du forfait Business Security Enterprise. Veillez à demander expressément cette précision dans chaque devis : elle est rarement incluse par défaut.

La console de gestion doit-elle fonctionner dans le cloud, et les serveurs sont-ils inclus dans la licence ?

Il existe de réelles différences quant à l’emplacement d’hébergement du service. ThreatDown est géré exclusivement via les consoles cloud Nebula ou OneView ; l’installation dans votre propre centre de données n’est pas prise en charge. Sophos Central est également un service exclusivement cloud. Kaspersky Next EDR Optimum peut être exploité soit depuis le cloud, soit sur site, tandis que Bitdefender et ESET proposent une installation sur site en plus des options basées sur le cloud. Pour les organisations ayant des exigences spécifiques liées à leur emplacement, il s’agit là d’un critère déterminant, et non d’un simple détail.

En ce qui concerne les serveurs, il convient d’examiner de plus près les descriptions des produits. Sophos et ThreatDown proposent des licences serveur sous forme de produits distincts qui doivent être commandés en plus des licences pour postes de travail. Une solution EDR qui exclut le serveur de fichiers passe à côté du dispositif même où le préjudice se produit : lors d’une attaque par chiffrement, le serveur est la cible, et le poste de travail n’est qu’un moyen d’y accéder.

SOPHOS Central Intercept X Advanced for Server avec XDR

Voir SOPHOS Central Intercept X Advanced for Server avec XDR ⧉

La version serveur du même niveau. Si vous protégez vos postes de travail avec XDR, vous devez mettre à niveau les serveurs vers le même niveau ; sinon, la chaîne se rompt précisément là où cela compte le plus.

ThreatDown Advanced Corporate

Voir ThreatDown Advanced Corporate ⧉

Solution
EDR avec restauration des données endommagées par un rançongiciel pendant sept jours, gestion des correctifs et recherche active des menaces gérée qui signale les découvertes critiques sans nécessiter de contrat de service complet. Une version distincte est disponible pour les serveurs.

Pourquoi certains produits comportent-ils la mention « EDR » dans leur nom alors qu’ils n’intègrent pas de fonctionnalités EDR ?

Parce que les noms de produits sont des termes marketing, et non des descriptions de fonctionnalités. Voici trois exemples qui conduisent régulièrement à des achats inappropriés.

Dans la présentation officielle des éditions de Kaspersky, la fonctionnalité « Endpoint Detection and Response » (détection et réponse au niveau des terminaux) n’est mentionnée que pour Next EDR Optimum. Next EDR Foundations inclut l’analyse des causes profondes — c’est-à-dire l’identification de la cause — mais pas le composant EDR complet avec recherche d’IoC et réponse guidée. Sont également disponibles uniquement à partir de l’édition Optimum : la gestion des correctifs, la gestion du chiffrement, la détection adaptative des anomalies et la protection pour Microsoft 365.

Kaspersky Next EDR Foundations

Voir Kaspersky Next EDR Foundations ⧉

Il s’agit
néanmoins d’une offre utile, mais destinée à un autre objectif : une protection robuste avec gestion centralisée, évaluation des vulnérabilités, contrôle des appareils et des applications, et analyse des causes profondes. Si vous choisissez délibérément de ne pas encore utiliser l’analyse EDR, c’est le choix qui s’impose. Si vous recherchez une solution EDR au sens strict du terme, optez pour Optimum.

Le deuxième cas concerne Bitdefender : « Premium » semble être le niveau le plus élevé, mais selon le comparatif du fabricant, il n’inclut ni la détection multi-appareils ni la recherche de menaces. Ces deux fonctionnalités ne sont disponibles qu’à partir de la version Business Security Enterprise. « Premium » correspond au niveau de prévention robuste avec un bac à sable et une analyse forensic, et non au niveau de détection et de réponse.

Bitdefender GravityZone Business Security Premium

Voir Bitdefender GravityZone Business Security Premium ⧉

C’est
le bon choix lorsque la prévention et l’analyse en sandbox sont nécessaires, mais que personne en interne n’évaluera les alertes. Si vous avez besoin d’un EDR par la suite, vous pouvez passer au niveau « Enterprise » depuis la même console.

Le troisième scénario concerne Sophos : sans la mention « avec XDR », vous bénéficierez du niveau de prévention. L’ancienne version « avec EDR » a été reclassée dans le niveau XDR, ce qui explique pourquoi les anciens devis et les noms de produits actuels ne correspondent plus. Lorsque vous comparez deux offres, vérifiez bien que le même niveau a effectivement été utilisé dans le calcul.

Par ailleurs, certains changements de nom sont purement symboliques et n’entraînent aucune modification fonctionnelle : ESET Inspect s’appelait auparavant ESET Enterprise Inspector, et la gamme destinée aux entreprises de Malwarebytes est commercialisée sous le nom de ThreatDown depuis novembre 2023. Si vous effectuez une recherche avec les anciens noms, vous ne trouverez souvent pas les produits actuels.

Puis-je ajouter une solution EDR à ma protection antivirus existante ?

Au sein d’une même famille de fournisseurs, c’est généralement possible ; entre différents fournisseurs, c’est pratiquement impossible. La présence de deux agents provenant de fournisseurs différents sur un même appareil entraîne des problèmes de performances et des interférences mutuelles, et en cas de problème, chaque équipe d’assistance vous renverra vers l’autre.

Au sein d’une même gamme de produits d’un éditeur, deux options s’offrent à vous : passer à un niveau de forfait supérieur ou ajouter un module complémentaire. Bitdefender propose la fonctionnalité « Detection and Response » à la fois dans le cadre de Business Security Enterprise et en tant que produit autonome. Outre ses éditions « Next », Kaspersky propose également des produits EDR distincts, dont certains sont des modules complémentaires nécessitant un produit de base compatible. La combinaison autorisée pour votre licence existante dépend du forfait de base : cela doit être clarifié avant la commande, sinon vous risquez d’acheter un module qui ne pourra pas être activé.

En règle générale : passer à un niveau supérieur auprès du même fournisseur est presque toujours plus rentable et plus facile à gérer que d’utiliser deux fournisseurs différents en parallèle.

La
possibilité d’activer un article commandé dépend de sa désignation dans la boutique. La question de savoir lesquels de ces articles nécessitent une licence existante est un autre sujet.

Base, Base Plus, Add-On ou Renouvellement : que signifient
ces termes ? Explique comment interpréter les noms des packs dans la boutique et lesquels d’entre eux nécessitent une licence existante.

Quelle licence de base un service MDR nécessite-t-il ?

Presque toujours une licence spécifique, ce qui modifie considérablement le calcul des coûts. Selon sa propre description de service, Sophos exige que Sophos XDR ou le capteur XDR soit en cours d’exécution sur les appareils gérés. ESET exige les niveaux PROTECT Elite ou Enterprise pour PROTECT MDR et MDR Ultimate. Bitdefender base ses services gérés sur GravityZone Business Security Enterprise.

Par conséquent,
le prix MDR par appareil ne correspond jamais au prix total. Calculez toujours le coût de la licence de base plus celui du service, puis comparez uniquement avec les offres d’autres fournisseurs. Sinon, une offre qui suppose tacitement que la licence de base est déjà acquise peut sembler bon marché.

ESET PROTECT Elite

Voir ESET PROTECT Elite ⧉

Le niveau qui inclut déjà ESET Inspect et sert également de base au service géré. Si vous prévoyez d’utiliser les deux, cette option est plus économique que d’acheter Inspect et la protection de base séparément.

Comment l’EDR aide-t-il à respecter l’obligation de déclaration en Suisse ?

Depuis le 1er avril 2025, la Suisse impose une obligation de déclaration des cyberattaques visant les infrastructures critiques. La base légale de cette obligation est la loi révisée sur la sécurité de l’information, ainsi que l’ordonnance sur la cybersécurité. Cette obligation s’applique aux agences gouvernementales et aux organisations telles que définies à l’article 74b de la loi sur la sécurité de l’information (LSI), notamment les services publics d’énergie et d’eau potable, les entreprises de transport, les hôpitaux désignés, les fournisseurs de services cloud et les centres de données, ainsi que les administrations cantonales et communales. L’ordonnance prévoit des exceptions pour les petites organisations et pour les attaques ayant des conséquences mineures.

Le délai est court : un rapport initial doit être transmis à l’Office fédéral de la cybersécurité dans les 24 heures suivant la découverte ; les informations manquantes peuvent être fournies dans un délai de 14 jours. Le rapport initial doit comporter des détails sur l’heure de la découverte, le type d’attaque et la zone touchée. En l’absence de données télémétriques enregistrées, vous devrez fournir vos meilleures estimations ; si vous disposez de données enregistrées, vous devrez indiquer les horodatages, les systèmes affectés et un compte rendu détaillé de la chronologie des événements. Le délai de 14 jours imparti pour compléter le rapport correspond précisément à la période durant laquelle une analyse rétrospective de l’ensemble du parc d’appareils s’avère la plus utile.

Ce
que ces produits ne peuvent pas faire : ils ne peuvent pas déterminer si votre organisation est soumise à des obligations de déclaration, ils ne remplissent aucun formulaire et ils ne remplacent pas une personne désignée comme responsable ni une procédure d’intervention d’urgence bien rodée. Un EDR sans responsabilités clairement définies et sans chaîne de signalement testée ne répond à aucune exigence organisationnelle.

Que prévoit la directive NIS 2, et quels aspects de celle-ci l’EDR couvre-t-il ?

Pour les organisations disposant de sites ou de clients dans l’Union européenne, la directive NIS 2 constitue la norme de référence. Aucun produit ne garantit à lui seul la conformité, car la directive exige des catégories de mesures plutôt qu’un logiciel spécifique. Celles-ci comprennent l’analyse des risques et les politiques de sécurité, la réponse aux incidents, la continuité des activités et la gestion des sauvegardes, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, les cadres d’évaluation de l’efficacité, la formation, ainsi que le contrôle d’accès et l’authentification multifactorielle.

Cela
permet de prendre en charge la réponse aux incidents, la gestion des vulnérabilités (à condition que l’évaluation des vulnérabilités et la gestion des correctifs soient incluses) et le contrôle d’accès au niveau des terminaux. Le système de notification à plusieurs niveaux prévu par la directive — une alerte précoce dans les 24 heures, un rapport dans les 72 heures et un rapport final dans un délai d’un mois — repose sur les mêmes exigences en matière de conservation des données que l’obligation de notification suisse.

Ne sont
pas couverts : la sauvegarde et la restauration, la gestion des fournisseurs, la formation des employés, l’auto-évaluation de l’efficacité et la responsabilité de la direction. Quiconque cherche à traiter ces points via un logiciel de gestion des terminaux ne satisfera pas à ces exigences.

Les
entreprises dont le siège social est situé en Suisse et qui ont des clients dans l’UE doivent se conformer simultanément aux deux réglementations. Une comparaison complète dépasse le cadre du présent article et est disponible séparément.

Comparaison
des obligations en matière de cybersécurité en Suisse et dans l’UE Cet article compare les exigences suisses en matière de déclaration à celles de la directive NIS 2 et met en évidence leurs différences.

Que doivent savoir les acheteurs concernant les évaluations réglementaires de Kaspersky ?

Les produits Kaspersky étant mentionnés dans cet article, ce point est pertinent au regard du sujet. Depuis le 15 mars 2022, l’Office fédéral allemand de la sécurité de l’information met en garde contre l’utilisation des logiciels antivirus de Kaspersky et recommande de remplacer ces applications par des produits alternatifs. La justification invoquée est la nécessité de pouvoir se fier à la fiabilité et à la capacité d’action d’un fabricant, ce qui est essentiel compte tenu des droits d’accès étendus que ces logiciels confèrent. Cette mise en garde reste en vigueur et est réglementée en Allemagne depuis le 6 décembre 2025, en vertu de l’article 13 de la BSIG. Aux États-Unis, le ministère du Commerce a émis une interdiction en juin 2024 : toute nouvelle transaction est interdite depuis le 20 juillet 2024 ; de plus, à compter du 29 septembre 2024, les mises à jour des signatures et du code source ne pourront plus y être fournies, et le Kaspersky Security Network ne pourra plus être exploité.

Kaspersky conteste cette évaluation. L’entreprise souligne qu’elle est gérée comme une société privée active à l’international ; que, selon ses propres déclarations, elle n’est pas tenue de divulguer des données aux agences gouvernementales ; et que ses mesures de transparence font l’objet d’audits externes depuis des années. Elle a engagé une action en justice contre cet avertissement.

Concrètement
, cela signifie qu’il n’existe pas d’avertissement officiel ni de restriction de vente correspondante en Suisse. Néanmoins, cette question prend toute son importance dans trois cas de figure : les marchés publics, les politiques d’entreprise des sociétés mères internationales et les questionnaires des grands clients destinés aux fournisseurs, qui s’enquièrent de l’origine et de la localisation des logiciels de sécurité utilisés. Toute personne confrontée à l’un de ces cas de figure devrait clarifier les exigences avant de prendre une décision. Celles qui ne le font pas devraient se décider, comme pour tout autre achat, en fonction des fonctionnalités, des coûts d’exploitation et du prix.

Toute
personne ayant besoin d’une chronologie de toutes les déclarations officielles — par exemple, pour étayer une justification interne ou répondre à un questionnaire destiné aux fournisseurs — peut trouver un compte rendu détaillé ailleurs.

Aperçu
des mises en garde réglementaires concernant Kaspersky : ce document récapitule quelles agences ont publié des déclarations et à quelle date, quelles réglementations restent en vigueur et à quels acheteurs cela s’adresse.

Que ne couvrent pas les solutions EDR, XDR et MDR ?

Une part importante de ce qui compte en cas d’urgence. Aucun de ces niveaux ne remplace une sauvegarde de données opérationnelle accompagnée d’une procédure de restauration testée — et c’est la restauration qui détermine la durée de l’indisponibilité, pas la détection. Ils ne remplacent pas non plus la protection des e-mails au niveau de la boîte de réception, la gestion adéquate des droits d’accès, l’authentification multifactorielle ou la formation de sensibilisation des employés.

Il est
donc logique d’inverser l’ordre : d’abord, la sauvegarde des données avec un test de restauration, l’authentification multifactorielle et des logiciels à jour ; ensuite, l’EDR. Quiconque achète une solution EDR alors que sa sauvegarde reste non testée sur un disque dur accessible via un lecteur réseau a déployé le produit le plus coûteux au mauvais endroit : un logiciel de chiffrement détectera sans faute ce disque.

Comment prendre ma décision finale ?

Un logiciel antivirus vous indique si quelque chose a été bloqué. L’EDR vous explique comment la menace s’est introduite et où elle pourrait se trouver ailleurs. Le XDR répond à la même question, même si l’attaque a débuté par un mot de passe valide plutôt que par un fichier. Le MDR vous indique qui intervient à trois heures du matin.

Par conséquent, ne
vous demandez pas quelle technologie est la meilleure, mais plutôt à quelles questions vous devrez répondre en cas d’urgence et qui, au sein de votre organisation, est en mesure d’y répondre. C’est cela qui détermine le niveau de protection — et ce n’est qu’ensuite que l’on choisit le fournisseur.