Un dirigeant signe un contrat de cybersécurité qui mentionne un SOC, un EDR et une supervision permanente. Rassuré par ces termes, il considère le sujet réglé. Six mois plus tard, un incident survient un samedi soir. Personne n’intervient avant le lundi matin.
Ces sigles ne sont pas interchangeables, et la différence entre eux détermine concrètement ce qui se passe le jour où un problème survient. Cet article explique ce que chacun recouvre réellement, ce que l’État français distingue lui-même officiellement dans ce domaine, et les questions à poser pour savoir précisément ce que vous achetez.
L’antivirus, le socle que tout le monde connaît déjà
Un antivirus protège en comparant chaque fichier à une base de signatures, une liste de menaces déjà identifiées. Si le fichier y figure, il est bloqué. Si la menace est nouvelle ou légèrement modifiée, rien ne se déclenche. C’est un socle nécessaire, mais il ne voit que ce qu’il connaît déjà.
EDR, la détection qui observe le comportement
EDR signifie Endpoint Detection and Response, détection et réponse sur les postes de travail et serveurs. Contrairement à l’antivirus, l’EDR ne cherche pas à reconnaître une signature. Il observe en continu le comportement des processus : un fichier qui se met soudainement à en chiffrer des centaines d’autres, un script qui tente d’accéder à une zone qu’il n’a aucune raison de toucher. Ce comportement anormal suffit à déclencher une alerte, que la menace soit déjà répertoriée ou totalement inédite.
L’EDR reste un outil. Il détecte, et selon sa configuration, il peut isoler automatiquement un poste compromis. Mais une alerte qui s’accumule sans que personne ne l’analyse n’apporte pas plus de protection réelle qu’un antivirus qu’on installe puis qu’on oublie.
MDR, quand la détection devient un service surveillé
MDR signifie Managed Detection and Response, détection et réponse gérées. À la différence de l’EDR, le MDR n’est pas un outil que l’entreprise installe et configure elle-même. C’est un service : un prestataire surveille en continu les alertes générées par les outils de détection, les analyse pour écarter les fausses alertes, et engage une action lorsque la menace est confirmée.
C’est cette présence humaine derrière l’outil qui change la donne. Un EDR peut détecter une anomalie à trois heures du matin un dimanche. Ce qui détermine si cette détection se transforme en protection réelle, c’est de savoir si quelqu’un la reçoit, la qualifie, et agit dans un délai qui a du sens pour votre activité.
SOC, la structure qui centralise la surveillance
Le SOC, Security Operations Center, désigne l’équipe ou le centre qui centralise cette surveillance, qu’il s’agisse des postes de travail, des serveurs, du réseau ou de la messagerie. Un SOC peut couvrir un périmètre plus ou moins large, et rendre un service plus ou moins complet. Certains se limitent à faire remonter les alertes à l’entreprise, qui doit ensuite décider et agir seule. D’autres qualifient chaque alerte et engagent directement les premières actions de réponse.
C’est précisément cette distinction, entre recevoir une alerte et voir une action engagée, qui explique pourquoi deux offres portant le même nom de SOC peuvent couvrir des réalités très différentes.
Replacés les uns par rapport aux autres, ces termes décrivent une même chaîne, du plus basique au plus complet : l’antivirus reconnaît une menace déjà connue, l’EDR détecte un comportement suspect même inconnu, le MDR garantit qu’une personne analyse cette détection en continu, et le SOC est la structure, interne ou externalisée, qui porte cette surveillance. Un contrat peut mentionner n’importe lequel de ces mots sans que les trois questions qui comptent réellement, qui surveille, qui décide, qui agit, soient tranchées noir sur blanc.
Ce que l’État distingue déjà officiellement
Cette distinction n’a rien d’anecdotique. Elle est suffisamment structurante pour que l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, l’ait organisée en deux qualifications séparées, destinées aux prestataires qui souhaitent démontrer leur niveau d’exigence.
La qualification PDIS, Prestataire de Détection d’Incidents de Sécurité, s’adresse aux prestataires qui opèrent un service de détection : collecte des journaux d’événements, corrélation des alertes, qualification des incidents. Le référentiel de l’ANSSI est explicite sur ce point : la remédiation technique, c’est-à-dire l’isolement d’un poste ou le blocage d’une menace, ne relève pas du périmètre PDIS.
Cette action relève d’une seconde qualification, la PRIS, Prestataire de Réponse aux Incidents de Sécurité, qui couvre la recherche d’indicateurs de compromission, l’investigation numérique et le pilotage de la réponse à l’incident.
Ces qualifications, exigeantes, sont pensées avant tout pour les opérateurs d’importance vitale et les organisations les plus critiques. Une PME n’a pas besoin d’exiger un prestataire qualifié PDIS ou PRIS pour se sécuriser correctement. Mais le principe qui structure cette distinction reste valable à toute échelle : détecter un problème et agir dessus sont deux étapes distinctes, et un contrat qui ne précise pas clairement qui fait quoi laisse cette question sans réponse jusqu’au jour où elle devient urgente.
Point de contexte
Point de contexte : la qualification PDIS précise explicitement que la remédiation technique, comme l’isolement d’un poste ou le blocage d’un processus, ne relève pas de son périmètre. Elle relève d’une qualification distincte, la PRIS. Cette séparation, définie par l’ANSSI, illustre concrètement pourquoi détecter une menace et y répondre sont deux services différents, même lorsqu’ils sont vendus sous une appellation commune. (Source : ANSSI, cyber.gouv.fr.)
Ce que Faciliteam apporte concrètement
Ces sigles ne servent à rien si personne ne les traduit en décision utile pour vous. C’est le rôle que nous tenons chez Faciliteam : nous nous appuyons sur des technologies de détection reconnues, nous veillons à ce que chaque alerte soit reçue et qualifiée par une personne compétente à toute heure, nuit et week-end compris, et nous ne vous sollicitons que lorsqu’une décision vous revient réellement. Vous gardez la visibilité sur ce qui se passe, sans jamais devoir juger seul, à trois heures du matin, si une alerte mérite d’être prise au sérieux.
Les questions à poser avant de signer
- Qui reçoit l’alerte, et à quelle heure ? Une détection un vendredi soir ne protège rien si personne ne la traite avant le lundi matin.
- Qui décide de l’action à mener, vous ou votre prestataire ? Si la réponse est vous, vérifiez que vous avez les compétences et le temps pour le faire dans l’urgence.
- La couverture annoncée s’applique-t-elle de la même façon la nuit et le week-end ? Les modalités varient fortement d’un contrat à l’autre, et ce point mérite d’être écrit noir sur blanc plutôt que sous-entendu.
- Le contrat distingue-t-il clairement la détection et la réponse ? Un prestataire capable de répondre précisément à cette question connaît son propre service.
Vous ne savez pas exactement ce que couvre votre contrat de sécurité actuel ?
Un point rapide permet de clarifier qui fait quoi dans votre dispositif actuel, et d’identifier les zones qui mériteraient d’être précisées avant qu’un incident ne s’en charge à votre place.
Contactez-nous
