Fiche repère — Antivirus, EDR, RMM : les différences en une page

Sur une facture de prestataire informatique, il n’est pas rare de voir cohabiter trois lignes — antivirus, EDR, RMM — sans qu’on sache toujours ce que chacune couvre réellement. Ce sont trois fonctions distinctes, qui se complètent mais ne se remplacent pas : confondre l’une avec l’autre est la façon la plus courante de découvrir, après coup, qu’un appareil n’était protégé par aucune d’elles.

Cette fiche définit chaque brique en langage de dirigeant, montre où elles se chevauchent et où elles ne se chevauchent pas, liste les angles morts fréquents, et donne les questions à poser pour vérifier que ce qui est écrit dans le contrat correspond à ce qui est réellement en place.

Trois fonctions, trois métiers

Un antivirus reconnaît des menaces déjà identifiées ailleurs — un fichier, une signature — et les bloque avant exécution. C’est une protection de première ligne, automatique, silencieuse, et aujourd’hui présente par défaut sur la plupart des systèmes. Elle ne surveille rien après coup et ne dit rien de ce qui se passe une fois qu’une menace inconnue est passée.

Un EDR (« Endpoint Detection and Response », détection et réponse sur les postes) observe en continu le comportement d’un poste ou d’un serveur — processus lancés, connexions, modifications de fichiers — pour repérer une activité anormale même si aucune signature connue ne la déclenche. Il permet aussi d’agir : isoler une machine du réseau, arrêter un processus, remonter une alerte à un humain qui décide de la suite. L’EDR suppose qu’un incident peut survenir malgré l’antivirus, et prépare la réaction.

Un RMM (« Remote Monitoring and Management », supervision et administration à distance) est l’outil du prestataire pour garder une vue d’ensemble du parc informatique : état des mises à jour, espace disque, sauvegardes effectuées, alertes matérielles, et pour intervenir à distance sans se déplacer. Le RMM n’est pas un outil de sécurité au sens strict — c’est un outil d’exploitation informatique. Il rend possible une supervision et une maintenance régulières, ce qui contribue indirectement à la sécurité, mais il ne détecte pas une intrusion comme le ferait un EDR.

Un dernier terme circule souvent à côté des trois précédents : le MDR (« Managed Detection and Response ») ou, plus largement, une supervision de type SOC (« Security Operations Center », centre d’opérations de sécurité). Il ne s’agit pas d’un outil supplémentaire mais d’une couche humaine : des analystes qui regardent les alertes remontées par l’EDR, jour et nuit ou pendant des plages définies, et qui décident ou déclenchent une réaction. Sans cette couche humaine — interne ou sous-traitée —, un EDR peut produire des alertes que personne ne regarde en dehors des heures ouvrées.

Ce qui se chevauche, ce qui ne se chevauche pas

Antivirus et EDR se recoupent partiellement : la plupart des EDR modernes intègrent un moteur antivirus. En revanche, un antivirus seul ne fait pas d’EDR : il bloque, il n’observe pas le comportement dans la durée et ne permet pas d’isoler une machine compromise. Le RMM, lui, ne recoupe ni l’un ni l’autre : il gère l’ensemble du parc (mises à jour, sauvegardes, tickets), avec ou sans lien direct avec la sécurité des postes. Trois outils peuvent donc être facturés séparément sans faire double emploi — ou, à l’inverse, un seul outil peut être vendu sous plusieurs noms marketing sans que ses fonctions réelles changent. Le contrat et la documentation technique, pas l’intitulé commercial, disent ce qui est réellement couvert.

Les angles morts découverts trop tard

• Appareils non enregistrés dans l’inventaire du prestataire : un poste acheté hors process, un ordinateur de remplacement, un appareil prêté — souvent sans agent installé.
• Serveurs traités différemment des postes de travail dans le contrat, alors qu’ils hébergent souvent les données les plus sensibles.
• Mobiles et tablettes professionnels, rarement couverts par les mêmes outils que les ordinateurs, alors qu’ils accèdent aux mêmes messageries et fichiers.
• Machines personnelles utilisées pour le travail (BYOD), en dehors du périmètre contractuel par construction.
• Sites secondaires ou télétravailleurs ajoutés après la signature du contrat, sans avenant explicite sur leur couverture.

Ce qu’un contrat devrait préciser

Un contrat qui mentionne « antivirus », « EDR » ou « supervision » sans autre précision laisse trop de place à l’interprétation. Cinq éléments devraient être écrits noir sur blanc, quel que soit le prestataire :

Questions à poser à un prestataire

Comment interpréter les réponses

Certaines réponses méritent d’être creusées plutôt qu’acceptées telles quelles. « Tout est couvert » sans chiffre précis signifie souvent qu’aucun inventaire à jour n’est disponible. « On regarde les alertes régulièrement » sans plage horaire nommée laisse ouverte la question des nuits et des week-ends — précisément les fenêtres où un incident a le temps de s’étendre avant qu’on le remarque. « Nos outils gèrent ça automatiquement » pour la question du « qui agit » peut être vrai pour des actions mineures, mais une isolation de machine engage une décision : savoir qui la prend, et sous quel délai, reste une information à obtenir explicitement.

À l’inverse, un prestataire capable de fournir un inventaire daté, une plage horaire nommée, un nom de personne ou d’équipe pour l’action, et un rapport périodique lisible, donne des signaux de maturité clairs — indépendamment de la marque des outils utilisés.