- Le choix d’un EDR ne se résume pas à comparer des prix : couverture technique, mode de gestion et qualité du support pèsent au moins autant.
- Le mode « managé » (MDR) est souvent le plus adapté aux PME sans équipe sécurité dédiée.
- Une phase pilote sur un groupe de postes limité est fortement recommandée avant généralisation.
Le marché des EDR compte aujourd’hui plusieurs dizaines d’éditeurs, des géants historiques de l’antivirus aux pure players nés avec cette technologie. Pour un dirigeant de PME sans culture cybersécurité poussée, ce choix peut vite devenir un mur. Ce guide propose une méthode en 7 étapes pour trancher sereinement.
1. Cartographier précisément votre parc
Avant de comparer des solutions, listez ce qu’il faut réellement protéger : nombre de postes Windows, Mac, éventuels serveurs Linux, matériel ancien encore en service, appareils des prestataires externes connectés au réseau. Certains EDR couvrent mal ou pas du tout certains systèmes d’exploitation anciens — un point à vérifier avant toute démonstration commerciale.
2. Choisir le mode de gestion : autonome ou managé (MDR)
| Mode | Avantages | Limites |
|---|---|---|
| Autonome (self-managed) | Coût généralement plus bas, contrôle total | Nécessite une surveillance active en interne, 24/7 idéalement |
| Managé (MDR) | Surveillance externalisée continue, expertise mutualisée | Coût plus élevé, dépendance à un prestataire |
Pour une PME sans équipe sécurité dédiée — la majorité des cas — le mode managé (MDR) est en pratique le choix le plus réaliste : un EDR non surveillé perd une grande partie de sa valeur, car ses alertes ne servent à rien si personne ne les traite dans un délai raisonnable.
3. Évaluer la couverture technique réelle
- Systèmes d’exploitation supportés (versions précises, pas seulement « Windows »).
- Compatibilité avec les environnements virtualisés ou serveurs de fichiers.
- Fonctionnement hors connexion (postes nomades, sites distants avec réseau instable).
- Impact mesuré sur les performances (CPU, RAM) en usage réel.
4. Vérifier les capacités de réponse, pas seulement de détection
Deux EDR peuvent détecter la même menace, mais offrir des capacités de réponse très différentes. Vérifiez concrètement : l’isolation réseau est-elle automatisable ? Existe-t-il une fonction de restauration de fichiers chiffrés (rollback) ? Peut-on tuer un processus à distance en un clic depuis la console ou faut-il une intervention physique ?
5. Ne pas négliger le support et la langue
En cas d’incident réel, un support technique disponible en français, joignable rapidement et capable d’expliquer clairement la situation à un non-spécialiste fait une différence considérable. C’est un critère souvent sous-estimé lors du choix initial, et regretté au premier incident sérieux.
6. Comprendre la structure de coût
| Poste de coût | Ce qu’il faut anticiper |
|---|---|
| Licence par poste/mois | Le prix affiché inclut-il l’antivirus, ou est-ce une option séparée ? |
| Service MDR | Souvent facturé en supplément de la licence EDR seule |
| Déploiement initial | Temps de configuration, éventuel accompagnement facturé |
| Montée en charge | Le tarif par poste évolue-t-il en fonction du volume ? |
7. Tester avant de généraliser
Un déploiement pilote sur 5 à 10 postes représentatifs (différents services, différents usages) pendant 3 à 4 semaines permet de mesurer l’impact réel sur les performances, le volume d’alertes générées (et de faux positifs), et la réactivité du support avant d’engager tout le parc.
📋 Checklist de sélection
- J’ai cartographié tous les postes, OS et serveurs à couvrir.
- J’ai tranché entre mode autonome et mode managé (MDR).
- J’ai vérifié la compatibilité avec mes systèmes les plus anciens.
- J’ai demandé les délais moyens de détection/réponse (MTTD/MTTR) au prestataire.
- J’ai testé le support client (ticket, délai de réponse) avant signature.
- J’ai compris la structure de coût complète (licence + MDR + déploiement).
- J’ai prévu une phase pilote avant généralisation.
❓ FAQ
❓ Faut-il toujours privilégier le mode MDR pour une PME ?
Dans la majorité des cas oui, sauf si l’entreprise dispose déjà d’une ressource interne capable de surveiller la console quotidiennement, y compris les jours fériés et week-ends.
❓ Combien de temps dure un déploiement pilote raisonnable ?
Généralement 3 à 4 semaines, le temps de couvrir un cycle d’activité complet et d’observer le comportement réel du parc.
❓ Le moins cher est-il toujours un mauvais choix ?
Pas nécessairement, mais le prix seul ne dit rien de la couverture technique ni de la qualité du support — les deux points qui comptent le plus en cas d’incident réel.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.
