La question revient à presque chaque premier rendez-vous : « Windows est livré avec sa propre protection, pourquoi faudrait-il en payer une autre ? ». Elle est légitime, et elle mérite mieux qu'une réponse commerciale. Microsoft Defender Antivirus est présent sur toutes les machines Windows récentes, il fonctionne sans intervention, il se met à jour avec le système, et il a considérablement progressé. Beaucoup de dirigeants du Bassin Genevois considèrent donc le sujet comme réglé, et ils n'ont pas complètement tort.
Nous déployons pourtant Bitdefender sur les parcs que nous administrons. Ce choix n'est pas un jugement sur la qualité de détection de l'un ou de l'autre, et vous ne trouverez dans cet article ni classement d'éditeur ni résultat de test chiffré. C'est une décision d'exploitation, prise en fonction de ce que nous devons pouvoir faire à distance sur un parc mixte. Voici les critères sur lesquels nous tranchons, y compris les cas où nous ne basculons pas. Le principe de la détection comportementale est expliqué dans votre antivirus ne voit plus tout, et notre usage quotidien de l'outil retenu dans ce que nous faisons de Bitdefender EDR.
Ce que la protection intégrée à Windows couvre déjà sans licence supplémentaire
Sur un poste à jour, dont l'utilisateur n'est pas administrateur de sa machine, Microsoft Defender Antivirus arrête une part importante des fichiers malveillants ordinaires. Il analyse en temps réel, il s'appuie sur la réputation des fichiers, il bloque des téléchargements douteux dans le navigateur de Microsoft, et il n'a rien à installer. Pour un indépendant ou une structure de trois personnes sans données particulièrement sensibles, cette base couplée à une double authentification sur la messagerie et à une sauvegarde hors ligne représente déjà un niveau honnête.
Deux conditions sont toutefois indissociables de ce constat, et elles ne sont presque jamais réunies dans les parcs que nous reprenons. La première est que le système soit réellement à jour, ce qui suppose un suivi des versions et un calendrier de mise à niveau tenu pour l'ensemble du parc. La seconde est que les utilisateurs ne disposent pas de droits d'administration permanents, alors que nous trouvons encore régulièrement des parcs entiers où chaque collaborateur peut installer ce qu'il veut.
Les paliers Microsoft et la question de la console
Il faut distinguer deux choses que le langage courant confond. La protection incluse dans Windows est un antivirus. Les offres de détection et de réponse sur les postes, désignées par le sigle EDR pour Endpoint Detection and Response, sont des produits distincts chez Microsoft, facturés séparément selon le plan d'abonnement et disponibles dans une variante destinée aux entreprises de taille moyenne.
Techniquement, ces offres tiennent la comparaison. Le débat ne porte donc pas sur la capacité du produit, mais sur trois conditions pratiques : il faut disposer des licences appropriées, ce qui implique souvent de monter d'un cran dans l'abonnement Microsoft 365, sujet traité dans Microsoft 365 Basic, Standard, Premium ; il faut administrer la console de sécurité, qui est un environnement à part entière avec ses propres logiques de configuration ; et il faut qu'une personne identifiée ouvre cette console et traite ce qu'elle contient. La troisième condition est celle qui manque le plus souvent. Nous avons plusieurs fois repris des parcs où un intégrateur avait activé la fonction dans l'abonnement, sans documentation, sans réglage et sans destinataire pour les alertes.
Pourquoi nous n'installons jamais deux agents de protection sur un poste
Ce point est technique et il n'est pas négociable. Deux logiciels de protection en temps réel sur la même machine s'observent mutuellement, analysent chacun les fichiers que l'autre manipule, et se disputent l'accès aux mêmes mécanismes du système. Le résultat se manifeste par des lenteurs à l'ouverture des fichiers, des analyses qui n'aboutissent pas, et parfois des alertes de l'un déclenchées par le fonctionnement normal de l'autre. L'utilisateur conclut que son poste est lent, et le service informatique passe du temps sur un faux problème.
Lorsque nous déployons un agent tiers, la protection en temps réel intégrée à Windows se met normalement en retrait d'elle-même. Nous vérifions néanmoins l'état effectif de chaque poste après le déploiement, parce qu'un réglage hérité d'une ancienne stratégie de groupe peut maintenir les deux actifs. Notre règle est constante : un seul agent de protection actif par poste, et une seule console où les alertes sont lues.
Les cinq critères sur lesquels nous tranchons
Voici la grille que nous appliquons lors d'un audit, dans cet ordre.
- La composition du parc. Si l'entreprise mélange Windows et macOS, un outil couvrant les deux systèmes dans une console unique nous fait gagner un temps considérable. Les conséquences d'un parc mixte Windows et Mac se paient surtout en organisation.
- La personne qui traite les alertes. Si vous disposez d'un service informatique interne compétent sur l'écosystème Microsoft et prêt à tenir la console, la solution de Microsoft devient cohérente. Si l'exploitation nous revient, nous privilégions l'outil sur lequel notre équipe est réellement entraînée, parce que la vitesse de lecture d'un incident dépend de l'habitude.
- Les licences déjà détenues. Une entreprise disposant du plan Microsoft le plus complet a déjà payé une partie de la solution, et l'ignorer serait une erreur. Nous regardons l'abonnement avant de proposer quoi que ce soit.
- Les logiciels métier particuliers. Un progiciel ancien demande des exceptions précises. Nous vérifions que l'outil retenu permet de les poser proprement, sur un chemin et un exécutable nommés, et non en désactivant un module entier.
- Le mode de facturation souhaité. Dans notre contrat d'infogérance à partir de 120 HT / mois, en euros comme en francs, les licences de protection sont comprises et l'exploitation est incluse. Cela évite une ligne d'abonnement supplémentaire à suivre séparément, et cela évite surtout le cas d'un outil payé mais inexploité.
Les situations où nous ne basculons pas le parc
Nous conseillons de rester sur l'outil de Microsoft dans trois configurations. Lorsque l'entreprise est entièrement sous Windows, dispose du plan d'abonnement incluant déjà la fonction, et compte une personne interne qui administre la console, changer d'outil ajouterait un coût sans bénéfice mesurable. Lorsque le parc est trop petit pour justifier une exploitation dédiée, nous préférons investir le budget disponible dans la sauvegarde et la double authentification, qui produisent un effet plus net. Et lorsque le chantier prioritaire est ailleurs, nous le disons : un accès distant publié sur Internet ou l'absence de filtrage des messages en amont de la boîte constituent des écarts plus déterminants que le choix de l'agent installé sur les postes.
Comment nous basculons un parc sans laisser un poste sans protection
La bascule se prépare. Nous établissons l'inventaire des protections réellement actives, poste par poste, y compris les licences oubliées qui expirent dans six mois. Nous préparons les politiques par groupe de machines avant de toucher au premier poste. Nous déployons ensuite par lots, en dehors des heures de production, en désinstallant l'ancien agent et en installant le nouveau dans la même opération, afin qu'aucune machine ne reste sans protection pendant plusieurs heures.
Nous contrôlons l'état effectif de chaque poste après le passage, nous rattrapons les absents et les portables restés hors du réseau, puis nous tenons une revue après quelques semaines de trafic réel pour écarter les faux positifs. L'intervention se fait à distance dans la majorité des cas, avec déplacement possible dans le Bassin Genevois lorsqu'une machine ne répond plus.
La décision utile n'est donc pas de désigner un vainqueur entre deux éditeurs, mais de garantir qu'un seul agent est actif sur chaque poste et qu'une personne identifiée lit les alertes. Si vous ne savez pas répondre à ces deux questions pour votre parc, demandez-nous un état des lieux : nous ouvrons les consoles existantes avant de proposer un changement.