En cybersécurité, MDR signifie Managed Detection and Response, soit détection et réponse gérées. C’est un service externalisé : un prestataire installe ou exploite des outils de surveillance sur vos ordinateurs, serveurs et comptes cloud, puis une équipe d’analystes examine les alertes jour et nuit, confirme les vraies attaques et agit pour les contenir (isolement d’un poste, blocage d’un compte, conseils de remise en état). Vous achetez un résultat, une surveillance humaine permanente, et non un simple logiciel.
Le terme revient de plus en plus souvent dans les questionnaires des assureurs cyber et dans les offres des intégrateurs informatiques. Pour une PME ou un cabinet de quelques personnes, la question n’est pas technique mais pratique : qui regarde les alertes à 3 heures du matin, et qui décide de couper un ordinateur infecté avant que le rançongiciel ne chiffre le serveur ? Le MDR répond précisément à ce manque. Voici ce que recouvre ce service, ce qu’il ne fait pas, combien il coûte en 2026 et comment il pèse dans la négociation d’un contrat d’assurance.
Qu’est-ce que le MDR en cybersécurité, concrètement ?
Le MDR repose sur trois briques. La première est technologique : un agent de type EDR (Endpoint Detection and Response) installé sur chaque poste et serveur, parfois complété par la collecte des journaux de la messagerie, du pare-feu ou de Microsoft 365. La deuxième est humaine : des analystes, souvent organisés en centre d’opérations de sécurité, qui trient les signaux. La troisième est contractuelle : un engagement écrit sur ce que le prestataire a le droit de faire, dans quels délais, et ce qu’il vous transmet.
C’est cette combinaison qui distingue la détection et la réponse gérées d’un antivirus, même haut de gamme. Un logiciel bloque ce qu’il reconnaît. Un attaquant qui se connecte avec un mot de passe volé, puis utilise les outils d’administration légitimes de Windows, ne déclenche souvent aucun blocage automatique. Il laisse en revanche des traces inhabituelles : connexion depuis un pays inattendu, création d’un compte administrateur un dimanche, copie massive de fichiers. Repérer ces comportements et les interpréter demande un regard humain, et c’est ce que vend un service MDR.
Le mot « gérées » est donc central. Vous n’avez pas à embaucher un spécialiste ni à surveiller une console : le prestataire porte la charge opérationnelle, vous gardez la décision sur les actions les plus lourdes si le contrat le prévoit.
Le fonctionnement d’un service de détection et réponse gérées, étape par étape
Les offres varient d’un fournisseur à l’autre, mais le cycle suit généralement le même enchaînement :
- Déploiement et calibrage. Les agents sont installés, le prestataire apprend ce qui est normal chez vous (horaires, logiciels métier, accès à distance) pour limiter les fausses alertes.
- Surveillance continue. Les événements remontent vers la plateforme du fournisseur. Des règles et des modèles statistiques signalent ce qui sort de l’ordinaire.
- Qualification par un analyste. Chaque alerte jugée sérieuse est examinée : faux positif, comportement à risque ou attaque en cours.
- Réponse. Selon le niveau d’autorisation accordé, l’analyste isole la machine du réseau, tue un processus, désactive un compte ou vous appelle avec une recommandation précise.
- Compte rendu et remédiation. Vous recevez un rapport expliquant ce qui s’est passé, les éléments touchés et les actions restantes (réinstallation, changement de mots de passe, correctif à appliquer).
Beaucoup de prestataires ajoutent une activité de « threat hunting » : des recherches proactives de traces d’intrusion, même sans alerte, à partir des modes opératoires observés chez d’autres clients. C’est un vrai plus, mais il faut vérifier qu’il est inclus et pas facturé à part.
MDR, EDR, XDR, SOC : ne pas confondre les sigles
Le vocabulaire de la cybersécurité entretient la confusion, et certains vendeurs en jouent. Le tableau ci-dessous remet chaque terme à sa place.
| Sigle | Nature | Ce qu’il fait | Qui agit ? |
|---|---|---|---|
| Antivirus (EPP) | Logiciel | Bloque les fichiers malveillants connus | Automatique |
| EDR | Logiciel | Enregistre l’activité des postes et détecte des comportements suspects | Vous ou votre informaticien, s’il surveille la console |
| XDR | Logiciel | Étend la détection aux e-mails, au réseau, au cloud et aux identités | Vous ou votre informaticien |
| SOC | Organisation | Équipe qui surveille la sécurité d’une ou plusieurs entreprises | Analystes internes ou externes |
| MDR | Service | Associe un outil EDR ou XDR et un SOC externalisé avec réponse active | Les analystes du prestataire |
Retenez une règle simple : l’EDR et le XDR sont des outils, le MDR est un service qui les fait fonctionner pour vous. Acheter un EDR sans personne pour lire ses alertes revient à installer une alarme dont la sirène ne sonne que dans un local vide. Quant au SOC managé classique, il se limite parfois à la surveillance et à la notification, alors que le MDR inclut par définition une capacité d’intervention.
Pourquoi le MDR intéresse aussi les petites structures
Longtemps réservée aux grands comptes, la détection et la réponse gérées s’est démocratisée avec des offres facturées au poste. Les attaques récentes montrent que la taille ne protège pas : notre analyse Atos cyberattaque rappelle que les groupes criminels visent aussi les prestataires et sous-traitants, par lesquels ils remontent vers des cibles plus importantes. Une agence comptable, un cabinet d’architectes ou une entreprise de transport qui détient des données clients devient un point d’entrée intéressant.
Le secteur financier illustre bien l’enjeu. Comme l’explique notre dossier Cyberattaque banques françaises, les établissements disposent de moyens de surveillance importants, mais les fraudes réussissent souvent en passant par le poste d’un client professionnel compromis. Un service MDR réduit justement le délai entre l’intrusion et sa découverte, qui se compte en jours ou en semaines dans une entreprise sans surveillance.
Trois situations rendent le MDR particulièrement pertinent : une activité qui ne peut pas s’arrêter plus de quelques heures, des données sensibles (santé, juridique, financier), ou une informatique gérée par un prestataire qui n’assure pas de permanence la nuit et le week-end.
Prix d’une offre MDR en 2026 : comment se construit le tarif
Les fournisseurs publient rarement des grilles complètes, et les montants dépendent du périmètre. À titre indicatif, les offres destinées aux PME observées sur le marché français se situent souvent entre une dizaine et une trentaine d’euros hors taxes par poste et par mois, avec fréquemment un minimum de facturation mensuel. Les serveurs, les comptes Microsoft 365 ou Google Workspace et la surveillance du réseau peuvent être comptés séparément.
Plusieurs éléments font varier la facture :
- le niveau de réponse autorisé (simple alerte téléphonique ou intervention directe sur les machines) ;
- l’inclusion ou non de l’accompagnement en cas d’incident majeur, parfois facturé au jour d’expert ;
- la durée de conservation des journaux, utile pour une enquête ou une déclaration de sinistre ;
- la langue et la localisation des analystes, un critère qui compte pour échanger en pleine crise ;
- l’engagement de durée, souvent d’un à trois ans.
Ces chiffres restent des repères : seul un devis précis, établi après inventaire de votre parc, permet de comparer deux propositions. Mettez-les en regard du coût d’un arrêt d’activité de plusieurs jours, de la reconstitution des données et des éventuelles franchises de votre assurance.
MDR et assurance cyber : ce que regarde l’assureur
Depuis la hausse des sinistres liés aux rançongiciels, les assureurs cyber examinent les mesures de protection avant de proposer une garantie. Les questionnaires de souscription demandent désormais régulièrement si l’entreprise dispose d’un EDR et si ses alertes sont surveillées en permanence. Un service MDR permet de répondre oui aux deux questions avec un justificatif contractuel.
Concrètement, cela peut faciliter l’accès à une couverture, limiter certaines exclusions ou peser dans la discussion sur la franchise. Aucun assureur ne s’engage toutefois automatiquement à baisser la prime : chaque compagnie applique sa propre politique, et le MDR n’est qu’un élément parmi d’autres (sauvegardes déconnectées, double authentification, formation des équipes). Sur ce dernier point, notre guide Sensibilisation cybersécurité détaille comment documenter les efforts de formation pour les présenter à votre courtier.
Autre intérêt souvent sous-estimé : en cas de sinistre, les rapports du prestataire MDR fournissent une chronologie précise de l’attaque. L’assureur et l’expert mandaté s’appuient sur ces éléments pour évaluer le préjudice. Pensez à vérifier que votre contrat d’assurance autorise l’intervention de votre propre prestataire et ne l’oblige pas à passer uniquement par l’équipe de réponse désignée par la compagnie, faute de quoi certains frais pourraient ne pas être pris en charge.
Choisir un prestataire MDR : les pièges qui coûtent cher
Le premier écueil consiste à acheter une offre « MDR » qui n’en est pas une. Certains contrats se limitent à transférer des alertes automatiques par e-mail, sans analyste ni action. Demandez noir sur blanc qui qualifie l’alerte, en combien de temps, et quelles actions le prestataire peut lancer sans vous joindre.
Deuxième erreur fréquente : déployer les agents sur une partie seulement du parc. L’ordinateur portable du dirigeant, le poste de la comptabilité en télétravail ou le vieux serveur de fichiers restent souvent oubliés, alors qu’ils sont des portes d’entrée privilégiées. Exigez un inventaire et un taux de couverture vérifiable.
Troisième piège, ne pas préparer la relation en amont. Le prestataire doit disposer d’une liste de contacts joignables jour et nuit, savoir quels systèmes sont critiques et connaître les règles de décision : qui peut autoriser la coupure d’un serveur de production ? Sans ces éléments, la réponse tarde alors même que la détection a fonctionné.
Enfin, le MDR ne dispense pas des réflexes de base. Les accès en ligne aux espaces bancaires professionnels, par exemple, restent exposés à l’hameçonnage : notre fiche Cyberplus Alsace montre comment sécuriser ce type de connexion. De même, les salariés qui commandent du matériel en ligne doivent garder une vigilance élémentaire, comme le rappelle l’article Sécurité et bons réflexes pour naviguer sur adivak.com et effectuer un achat. La surveillance gérée intervient quand ces barrières ont cédé, elle ne les remplace pas.
Avant de signer, posez ces questions au fournisseur :
- Quel est le délai moyen entre une alerte critique et la première action ?
- Les analystes sont-ils joignables en français, et où sont hébergées les données collectées ?
- Que comprend l’abonnement en cas d’incident grave, et à partir de quand la facturation devient-elle additionnelle ?
- Quels rapports recevez-vous chaque mois, et sous quel format pour votre assureur ?
- Comment récupérez-vous vos journaux si le contrat s’arrête ?
Un service MDR remplace-t-il l’antivirus installé sur les postes ?
Dans la plupart des offres, l’agent fourni intègre une protection antivirale de nouvelle génération, ce qui permet de retirer l’ancien logiciel. Vérifiez-le avec le prestataire : faire cohabiter deux protections sur un même poste provoque souvent des ralentissements et des conflits.
Une entreprise de moins de dix salariés a-t-elle intérêt à souscrire un MDR ?
Oui si l’activité dépend fortement de l’informatique, si elle manipule des données sensibles ou si l’assureur l’exige. Pour une très petite structure peu exposée, des sauvegardes testées, la double authentification et un antivirus récent constituent un socle prioritaire, le MDR venant ensuite.
Le prestataire MDR peut-il isoler un ordinateur sans accord préalable ?
Uniquement si le contrat l’y autorise. La plupart des fournisseurs proposent plusieurs niveaux : notification seule, action après validation téléphonique ou intervention immédiate sur les menaces confirmées. Le niveau le plus réactif limite les dégâts, à condition d’avoir listé les machines à ne jamais couper sans échange.
Souscrire un MDR fait-il baisser la prime d’une assurance cyber ?
Ce n’est pas garanti. Le MDR améliore le profil de risque et répond à une exigence fréquente des questionnaires de souscription, ce qui peut aider à obtenir une couverture ou de meilleures conditions. L’effet réel sur la prime dépend de chaque assureur et de l’ensemble de vos mesures de sécurité.
Que se passe-t-il si le prestataire MDR ne détecte pas une attaque ?
Les contrats prévoient en général une obligation de moyens et non de résultat, avec des plafonds de responsabilité souvent limités au montant de l’abonnement. Lisez attentivement ces clauses et, en cas de doute, faites-les relire par un conseil juridique. C’est l’assurance cyber qui couvre le plus souvent les conséquences financières d’un incident.
