Il est 3 heures du matin, un samedi. Sur le poste d'un comptable, un logiciel de rançon commence à chiffrer les fichiers partagés. Personne ne le voit. Lundi matin, l'entreprise découvre que sa comptabilité, ses devis et ses sauvegardes récentes sont inaccessibles. Ce scénario n'a rien d'exceptionnel : de nombreuses attaques réussies se déclenchent délibérément la nuit, le week-end ou pendant les congés, précisément parce qu'il n'y a personne pour réagir.
C'est tout le sujet de la détection et de la réponse en continu, le fameux « 24/7 ». Longtemps réservée aux grands groupes disposant d'un centre opérationnel de sécurité (SOC) et d'analystes de garde, cette capacité se démocratise sous forme de services managés, dits MDR. La promesse est séduisante : externaliser la surveillance de son parc informatique à un prestataire qui veille en permanence. Mais est-ce vraiment à la portée — et surtout, est-ce vraiment le besoin — d'une PME de vingt ou de deux cents personnes ?
Cet article pose les choses simplement : ce qu'est un SOC, ce qu'apporte un service MDR, ce qu'il coûte, et pourquoi, pour beaucoup de PME, ce n'est pas encore la première marche à franchir.
SOC et MDR : de quoi parle-t-on vraiment ?
Un SOC (Security Operations Center) est une fonction, pas un logiciel : c'est l'équipe et les procédures chargées de surveiller le système d'information, de repérer les signaux d'attaque et d'y répondre. Dans un grand groupe, c'est une salle avec des analystes qui se relaient, des outils de collecte de journaux (SIEM) et des règles de détection.
Le MDR (Managed Detection and Response, « détection et réponse managées ») est la version externalisée et packagée de cette fonction. Un prestataire déploie des sondes sur vos postes et serveurs (souvent un agent EDR), collecte les signaux, les analyse en continu et — c'est la vraie valeur — intervient : isoler un poste compromis, bloquer un compte, vous alerter avec une consigne claire à 3 heures du matin.
La distinction utile pour un dirigeant :
- Un antivirus ou un EDR détecte et bloque des menaces connues, de façon automatique.
- Un SIEM centralise les journaux mais ne « réagit » pas seul : il faut quelqu'un pour lire.
- Un service MDR ajoute l'humain qui manque : des analystes qui trient les alertes, écartent les fausses et déclenchent la réponse.
Autrement dit, le MDR ne vend pas d'abord un outil, mais du temps d'analyste et une capacité de réaction, en continu.
Pourquoi une PME n'a (presque) jamais de SOC interne
Faire tourner un SOC 24/7 en interne suppose des analystes de garde la nuit et le week-end. Une couverture réellement continue réclame, en pratique, plusieurs personnes qualifiées rien que pour tenir les rotations — un profil rare et cher, dans un marché en tension. Pour une PME, monter cette équipe est hors de portée, et la maintenir occupée à plein temps n'aurait guère de sens : le volume d'alertes ne le justifie pas.
Résultat : dans la quasi-totalité des PME, « le SOC », c'est le DSI, l'informaticien maison ou le prestataire d'infogérance — disponible aux heures ouvrées, pas à 3 heures du matin. C'est exactement la fenêtre que visent les attaquants.
Le MDR répond à ce problème structurel : mutualiser des analystes entre de nombreux clients pour offrir une veille continue à un coût partagé, au lieu de l'assumer seul.
Ce qu'un service managé apporte — et ce qu'il ne fait pas
Ce qu'un bon service managé apporte :
- Une surveillance réellement continue, y compris nuits, week-ends et jours fériés.
- Un tri des alertes : moins de bruit, des signaux qualifiés plutôt qu'un tableau de bord que personne ne lit.
- Une capacité de réaction rapide : isoler, contenir, guider vos équipes pendant l'incident.
- Une trace et un reporting utiles pour vos obligations (assurance, exigences clients, cadres comme NIS2).
Ce qu'il ne fait pas, et qu'il faut entendre clairement :
- Il ne remplace pas les bases : sauvegardes testées, MFA, correctifs, cloisonnement. Un MDR sur un système sans sauvegarde, c'est une alarme sur une maison sans porte.
- Il ne couvre bien que ce sur quoi il a de la visibilité : les actifs oubliés, non déclarés ou hors périmètre restent des angles morts.
- Il ne réduit pas votre surface d'attaque : il vous prévient quand on y touche. Réduire l'exposition en amont reste votre travail.
C'est une nuance décisive. Un service de détection est d'autant plus efficace que le terrain a d'abord été nettoyé.
Combien ça coûte, et pour qui c'est vraiment utile
Le coût d'un MDR dépend surtout du nombre de postes et de serveurs à couvrir, du périmètre (postes seuls, ou aussi cloud, messagerie, identités) et du niveau de réponse attendu (simple alerte ou intervention active). C'est un abonnement récurrent, pas un achat ponctuel — à mettre en regard du coût d'une seule journée d'arrêt total de l'activité.
Toutes les PME n'en ont pas le même besoin. Quelques repères honnêtes :
- Le besoin est réel et prioritaire si vous manipulez des données sensibles, êtes soumis à des obligations (secteur régulé, NIS2, exigences clients ou d'assurance), ou avez déjà subi un incident.
- Le besoin est réel mais n'est pas la première marche si vos fondamentaux ne sont pas encore solides : commencez par les sauvegardes, le MFA généralisé, les mises à jour et la réduction de la surface exposée.
- Le besoin peut attendre pour une très petite structure, au système simple et bien tenu — à condition de savoir précisément ce qui est exposé sur Internet.
La bonne question n'est donc pas « ai-je un SOC ? » mais « qui regarde, et quand, si quelque chose tourne mal cette nuit ? ». Si la réponse est « personne », le MDR mérite d'être étudié — après avoir sécurisé les bases.
Votre plan d'action
Avant de signer un contrat de détection managée, déroulez cet ordre : il vous évitera de payer pour surveiller un terrain mal préparé.
- Cartographiez ce qui est exposé sur Internet : domaines, sous-domaines, ports ouverts, services publics, configuration e-mail (SPF, DKIM, DMARC).
- Vérifiez vos sauvegardes : existent-elles, sont-elles hors ligne et hors site, et surtout, avez-vous déjà testé une restauration ?
- Généralisez le MFA (idéalement des passkeys, résistantes au hameçonnage) sur la messagerie, le VPN et les accès administrateurs.
- Appliquez les correctifs sur ce qui est exposé, en priorité les vulnérabilités connues activement exploitées.
- Réduisez la surface : fermez ce qui n'a pas à être public, retirez les services oubliés, le « shadow IT » et les accès dormants.
- Définissez qui fait quoi en cas d'incident, même simplement : qui appelle-t-on, dans quel ordre, avec quelles coordonnées disponibles hors ligne ?
- Alors seulement, évaluez un service managé : demandez le périmètre couvert, le délai de réaction garanti et ce qui est réellement inclus dans la « réponse ».
Comment Sedona peut aider
Sedona ne fournit pas de service de détection 24/7 : pour cela, il faut un prestataire spécialisé et un outillage dédié (EDR, MDR). En revanche, la première marche décrite plus haut — connaître et réduire votre surface d'attaque — est exactement notre métier. Sedona Radar cartographie votre exposition Internet (ports, DNS et messagerie, TLS, vulnérabilités connues, sous-domaines) et vous en donne une lecture claire, assortie d'un score de conformité indicatif sur plusieurs référentiels. Pour aller plus loin, un audit de surface manuel ou une recherche OSINT ciblée révèlent ce qui traîne au-delà de l'automatique. Un terrain assaini, c'est un futur service de détection à la fois moins coûteux et bien plus efficace.
Commencez par mesurer votre exposition : un premier scan est gratuit sur /radar. Pour prioriser vos chantiers ou cadrer un audit, parlons-en via /contact.
