Antivirus, EDR ou MDR : quelle protection pour vos postes ?
Antivirus, EDR ou MDR : détection, intervention, surveillance 24/7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.
Faits vérifiés : octobre 2026Ce comparatif n’est pas commandité.
Notre recommandation selon votre situation
Bureau de 10 employés sur Microsoft 365, avec un fournisseur TI à temps partiel
EDR
L'EDR est déjà inclus si vous êtes sur Microsoft 365 Business Premium. Exigez par écrit que votre fournisseur TI reçoive les alertes et précise son délai d'intervention, fin de semaine comprise.
Cabinet de 50 employés à Laval, sans personne dédiée à la sécurité
MDR
À cette taille, personne n'a le temps de trier des alertes, encore moins la nuit. Le MDR apporte la surveillance 24/7 ; gardez à l'interne une personne qui connaît vos systèmes et peut autoriser une intervention.
Manufacturier de 150 employés de la Beauce, avec une petite équipe TI interne
MDR
L'équipe interne garde la main sur les postes et les correctifs ; le MDR couvre les soirs, les fins de semaine et l'analyse des alertes. Le Centre canadien présente justement ce renfort comme un avantage des services gérés.
Comparaison point par point
Critère
Antivirus traditionnel
EDR
MDR
Approche de détection
Signatures de codes malveillants connus
Analyse continue du comportement des postes et des serveurs
Outil de détection (souvent un EDR) et analystes qui valident les alertes
Repère une intrusion sans code malveillant connu
Peu probable
Oui, par l'activité anormale
Oui, avec en plus l'analyse humaine
Capacité d'intervention
Quarantaine ou suppression du fichier détecté
Confinement et correction du poste, à déclencher ou à automatiser
Les analystes interviennent ou vous avisent, selon le contrat
Qui surveille les alertes 24/7
Personne, sauf si l'antivirus est géré de façon centrale
Votre équipe ou votre fournisseur TI, selon ses heures
Le centre des opérations de sécurité du fournisseur
Compétences requises à l'interne
Faibles : vérifier que la protection est active et à jour
Élevées : configurer, trier les alertes, enquêter
Modérées : une personne qui connaît vos systèmes et peut autoriser une intervention
Traces pour l'enquête et le signalement
Limitées aux détections
Journaux d'activité des postes (journaux EDR)
Journaux EDR et rapports d'incident du fournisseur
Modèle de coût typique
Inclus dans le système d'exploitation, ou licence par appareil
Licence par appareil ou par utilisateur, parfois incluse dans le forfait bureautique
Abonnement de service sur soumission
Position des autorités
Contrôle de base pour toutes les PME (Centre canadien)
Recommandé par la CISA ; à envisager selon le Centre canadien
Surveillance 24/7 citée par le Centre canadien parmi les avantages des services gérés
Risque principal
Une intrusion sans code connu passe inaperçue
Des alertes que personne ne lit la nuit ou la fin de semaine
Un contrat flou sur ce que le fournisseur fait vraiment
Détection et réponse sur les terminaux : un agent qui surveille en continu le comportement des postes et des serveurs, et qui permet d'intervenir à distance.
Idéal pour
Les PME qui ont une ressource TI, interne ou externe, capable de lire les alertes et d'agir vite.
Prix
Licence par appareil ou par utilisateur ; incluse dans certains forfaits, comme Microsoft 365 Business Premium (Defender for Business)
Points forts
Repère une activité anormale, même sans fichier malveillant connu
Permet d'intervenir sur le poste et, selon le produit, de le ramener à son état d'avant l'infection
Produit des journaux d'activité utiles à l'enquête et au signalement d'un incident
Limites
Classé par le Centre canadien parmi les contrôles avancés, qui demandent des ressources supplémentaires
Quelqu'un doit configurer l'outil et trier les alertes
Sans surveillance 24/7, une alerte du samedi attend le lundi
Détection et réponse gérées : une équipe externe surveille vos outils de détection jour et nuit, enquête et intervient selon le contrat.
Idéal pour
Les PME sans équipe de sécurité qui veulent qu'une alerte de 2 h du matin soit traitée avant l'ouverture des bureaux.
Prix
Abonnement de service, généralement sur soumission, qui s'ajoute à l'outil de détection ou l'inclut
Points forts
Surveillance 24/7 par un centre des opérations de sécurité, sans embauche
Des analystes valident les alertes avant de vous déranger
Renforce une petite équipe TI interne au lieu de la remplacer
Limites
Un coût que le Centre canadien juge prohibitif pour certaines organisations
Vous confiez la surveillance à un tiers, mais le risque et la responsabilité de l'intervention restent les vôtres
Des analystes externes connaissent moins bien vos systèmes qu'une équipe interne (NCSC)
« On a un antivirus, on est corrects. » C'est souvent la première réponse d'un dirigeant de PME quand on parle de protection des postes. Le problème, c'est que les attaques actuelles passent rarement par un fichier que l'antivirus reconnaît. L'intrus se connecte avec un mot de passe volé, utilise les outils d'administration déjà présents sur le réseau et prend son temps.
Antivirus, EDR et MDR ne sont pas trois marques concurrentes : ce sont trois niveaux de protection qui s'empilent. Ce comparatif vous aide à choisir le bon niveau selon votre taille et vos ressources. Pour comparer les produits EDR eux-mêmes, consultez notre comparatif des EDR pour PME.
Notre méthode
Nous comparons des approches, pas des produits. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, de la CISA et du NCSC britannique, consultées en octobre 2026.
Critères retenus : approche de détection, capacité d'intervention, surveillance 24/7, compétences requises, traces pour l'enquête, modèle de coût et position des autorités.
Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.
Un antivirus reste indispensable. Les contrôles de base du Centre canadien pour la cybersécurité demandent à toutes les PME un logiciel antimaliciel qui se met à jour et analyse les postes automatiquement. Bonne nouvelle : l'antivirus intégré à Windows et à macOS, s'il est activé et à jour, peut remplir ce rôle. Le NCSC britannique juge d'ailleurs qu'il répond aux besoins de bien des organisations.
Sa limite tient à sa méthode. L'antivirus traditionnel compare les fichiers à des signatures de codes malveillants connus, une approche dont le NCSC constate qu'elle a perdu en efficacité avec l'évolution des menaces. La CISA, de son côté, observe que beaucoup d'organisations n'ont pas les capacités nécessaires pour détecter les attaquants qui se servent des outils légitimes déjà présents sur le système (la technique dite living off the land). Un antivirus ne voit pas grand-chose de ce scénario.
L'EDR surveille en continu ce qui se passe sur les postes et les serveurs : processus lancés, connexions, modifications de fichiers. Le Centre canadien recommande d'envisager l'EDR, ou le XDR, pour détecter une activité anormale et y réagir, et il range les journaux EDR parmi les journaux de sécurité utiles en cas d'incident. Selon le produit, l'EDR peut aussi ramener un poste à son état d'avant l'infection. La CISA, dans son guide sur les rançongiciels, recommande l'EDR ou la liste d'applications autorisées sur tous les actifs.
Le revers : le Centre canadien classe l'EDR parmi les contrôles avancés, qui exigent des ressources supplémentaires. Un EDR mal configuré, ou dont personne ne lit les alertes, rassure sans protéger. Relisez l'anatomie d'une attaque par rançongiciel : il suffit d'une alerte qui sonne à 23 h un vendredi et que quelqu'un lit le lundi matin.
Le MDR répond à cette question : qui regarde ? Une équipe externe surveille vos outils de détection 24 heures sur 24, valide les alertes et intervient ou vous avise, selon le contrat. Le Centre canadien cite cette surveillance continue parmi les avantages des fournisseurs de services de sécurité gérés, tout comme la réduction des coûts d'embauche de spécialistes.
Il en nomme aussi les limites. Le coût peut être prohibitif pour certaines organisations. Vous confiez la surveillance à un tiers, mais le risque reste le vôtre, tout comme la responsabilité de l'intervention. Le NCSC britannique ajoute qu'une équipe externe connaît moins bien vos systèmes et peut réagir moins vite qu'une équipe interne. D'où l'importance du contrat : délais garantis, mode d'avis, gestes autorisés sans votre accord, lieu de conservation des journaux.
Partez d'une question simple : si une attaque commence samedi à 2 h, qui s'en aperçoit, et quand ?
Moins de 15 employés, un fournisseur TI à temps partiel : un EDR, souvent déjà payé dans votre forfait Microsoft 365, dont les alertes sont transmises au fournisseur TI avec un délai d'intervention écrit.
De 25 à 100 employés, sans personne dédiée à la sécurité : un MDR. Le temps nécessaire pour trier les alertes dépasse vite ce qu'un fournisseur TI généraliste peut offrir.
Plus de 100 employés avec une équipe TI : un MDR qui renforce l'équipe le soir, la fin de semaine et pendant les vacances.
Partout : l'antivirus intégré reste actif sur tous les appareils, y compris ceux que l'EDR ne couvre pas.
Avant de signer avec un fournisseur MDR, posez au minimum ces questions : agissez-vous ou vous contentez-vous d'alerter ? En combien de minutes ? Qui joignez-vous chez nous, la nuit ? Où nos journaux sont-ils stockés ? Les réponses vous serviront aussi pour réussir le questionnaire d'assurance cyber.
Vous ne savez pas si votre EDR couvre réellement tous vos postes et serveurs, ni qui reçoit ses alertes ? Notre audit de cybersécurité le vérifie, poste par poste, et vous remet un plan priorisé.
Questions fréquentes
Quelle est la différence entre un antivirus et un EDR ?+
L'antivirus cherche surtout des codes malveillants connus et les met en quarantaine. L'EDR surveille en continu le comportement des postes pour repérer une activité anormale, même sans fichier malveillant connu, et permet d'intervenir à distance. Évitez d'installer deux antivirus sur un même poste : le NCSC britannique prévient qu'ils peuvent entrer en conflit. Vérifiez auprès du fabricant comment l'EDR cohabite avec l'antivirus intégré.
Microsoft Defender suffit-il pour une PME ?+
L'antivirus Microsoft Defender intégré à Windows couvre le contrôle de base. Pour l'EDR, il faut Microsoft Defender for Business, inclus dans Microsoft 365 Business Premium ou vendu séparément. Dans les deux cas, la question clé reste la même : qui lit les alertes, et en combien de temps ?
Un service MDR remplace-t-il notre fournisseur TI ?+
Non. Le MDR surveille les menaces et intervient ; votre fournisseur TI continue de gérer les postes, les correctifs et les sauvegardes. Le Centre canadien rappelle que votre organisation reste responsable de l'intervention en cas d'incident : le contrat doit préciser les délais, la façon dont vous êtes avisé et ce que le fournisseur peut faire sans votre accord.
Le XDR est-il meilleur qu'un EDR ?+
Le XDR étend la détection au-delà des postes : courriel, comptes infonuagiques, réseau. Le Centre canadien le mentionne aux côtés de l'EDR, mais il n'existe pas de définition officielle unique et le contenu varie d'un fabricant à l'autre. Demandez quelles sources sont réellement couvertes plutôt que de vous fier à l'étiquette.