Un antivirus mal choisi laisse passer ce qu’il devait bloquer, ou ralentit tellement les postes que les équipes finissent par le désactiver. Entre offres grand public reconditionnées pour l’entreprise et suites EDR complexes à administrer, le choix mérite une grille de lecture claire. Voici les critères qui séparent une protection réellement opérationnelle d’un logiciel installé pour cocher une case.
En bref
Choisir un antivirus pour son entreprise revient à évaluer quatre points : la capacité de détection comportementale (au-delà des simples signatures), l’administration centralisée du parc, l’impact réel sur les performances des postes, et la conformité RGPD des données remontées vers l’éditeur. Un antivirus seul ne couvre ni le phishing ni les erreurs humaines : il doit s’intégrer à une politique de sécurité plus large.
Pour une PME de 10 à 50 postes, le budget réaliste se situe entre 20 et 60 euros par poste et par an selon le niveau de détection retenu (antivirus classique ou EDR). Le critère qui pèse le plus lourd sur le terrain n’est pas le prix affiché, mais le temps d’administration que la solution va réellement demander à l’équipe IT.
Antivirus classique ou EDR : ce qui a changé
Le terme désigne aujourd’hui deux familles de produits très différentes. La première repose sur des bases de signatures : elle reconnaît un fichier malveillant déjà répertorié et le bloque avant exécution. La seconde, dite EDR (Endpoint Detection and Response), observe le comportement des processus en continu et réagit à une activité suspecte même si le fichier n’a jamais été vu ailleurs.
Cette distinction compte parce que les attaques actuelles contournent largement la détection par signature : scripts générés à la volée, outils d’administration légitimes détournés, exécution en mémoire sans fichier écrit sur le disque. L’Agence nationale de la sécurité des systèmes d’information rappelle que la sécurisation des postes de travail passe par une combinaison de mesures, pas par un seul outil installé une fois pour toutes[1]. Une solution purement signature reste utile contre le volume de menaces courantes, mais elle ne suffit plus seule face à une attaque ciblée.
Les critères techniques à vérifier avant de signer
Quatre points techniques méritent d’être vérifiés avant tout engagement, au-delà de la fiche commerciale de l’éditeur. Le taux de détection annoncé varie selon les laboratoires de test indépendants et selon la fraîcheur des échantillons utilisés : demander un rapport récent plutôt qu’un score générique. Le taux de faux positifs pèse tout autant, un outil trop bavard finit ignoré par les équipes. La charge sur les postes se mesure en conditions réelles, pas sur un poste de démonstration neuf. Enfin, la fréquence des mises à jour du moteur de détection, distincte des mises à jour de signatures, indique si l’éditeur suit réellement l’évolution des techniques d’attaque.
| Critère | Protection par signatures | EDR / XDR moderne |
|---|---|---|
| Détection | Fichiers déjà répertoriés | Comportement des processus en temps réel |
| Réaction à une menace inconnue | Faible | Isolement automatique du poste |
| Administration | Console basique | Console centralisée avec alertes priorisées |
| Charge d’analyse pour l’équipe IT | Faible | Nécessite un temps de tri des alertes |
| Budget indicatif par poste et par an | 15 à 30 euros | 40 à 90 euros |
Le bon choix dépend de la taille de l’équipe IT disponible pour exploiter les alertes. Un EDR mal suivi vaut moins qu’une protection plus simple correctement administrée.
Déploiement et administration du parc
Une console centralisée conditionne la valeur réelle du produit sur la durée. Elle doit permettre de déployer sur l’ensemble du parc informatique en une seule opération, de visualiser l’état de chaque poste, et d’isoler à distance une machine compromise sans déplacement physique. Sur les postes en télétravail ou connectés via VPN, vérifier que l’agent reste actif et se met à jour même hors du réseau de l’entreprise : c’est un point souvent négligé au moment du test initial, réalisé sur des postes tous connectés au bureau.
La gestion des exceptions mérite aussi une attention particulière. Chaque exclusion ajoutée dans la console, un logiciel métier qui déclenche de fausses alertes par exemple, doit être documentée et datée, sinon le parc accumule des trous de couverture invisibles au bout de quelques mois.
Budget et modèle de licence
Le prix par poste affiché ne représente qu’une partie du coût réel. S’ajoutent le temps d’administration, le coût d’un module EDR souvent vendu séparément, et parfois une option de réponse à incident facturée à part. Comparer deux devis nécessite donc de vérifier ce qui est inclus dans le prix de base et ce qui relève d’une option.
Le modèle de licence par poste reste le plus courant en PME, avec des paliers qui font baisser le prix unitaire au-delà de 25 ou 50 postes. Pour un parc mixte (postes fixes, portables, serveurs), certains éditeurs facturent les serveurs à un tarif distinct, généralement supérieur : un point à clarifier avant signature pour éviter une facture qui double en cours de contrat.
Données, conformité et ce que l’outil remonte
Un agent de protection des postes collecte nécessairement des données : hachages de fichiers, journaux de connexion, parfois des extraits de mémoire lors d’une analyse approfondie. La CNIL rappelle que tout traitement de données doit respecter les principes de minimisation et de sécurité prévus par le RGPD, y compris pour les outils de cybersécurité eux-mêmes[2]. Vérifier où sont hébergées ces données (Union européenne ou non) et la durée de conservation prévue dans le contrat fait partie des questions à poser avant signature, au même titre que la gestion des accès à la console d’administration elle-même.
Les erreurs qui affaiblissent une protection déjà en place
La plupart des incidents ne viennent pas d’une absence de protection, mais d’une protection mal suivie. Licence expirée sans renouvellement automatique, agent désinstallé par un utilisateur pour gagner en performance, exclusion ajoutée sans limite de temps : ces trous se créent en silence. Un audit régulier du parc reste le seul moyen de les repérer avant qu’un incident ne les révèle.
Note terrain Lead4you
Sur les parcs que nous avons audités, le problème n’est presque jamais l’absence d’outil : une licence tourne quasiment partout. Le vrai point faible, c’est la console jamais consultée après l’installation initiale. Des alertes s’accumulent pendant des mois sur des postes isolés du réseau, sans que personne ne les traite, jusqu’à ce qu’un incident révèle que la protection était en fait désactivée sur trois ou quatre machines depuis une mise à jour Windows. Sans revue d’alertes régulière, la solution équivaut en pratique à une absence de protection sur les postes concernés.
Checklist rapide avant de choisir
- Demander un rapport de détection indépendant récent, pas un score marketing
- Tester la charge sur un poste réellement utilisé, pas une machine neuve
- Vérifier le comportement de l’agent hors réseau d’entreprise (VPN, télétravail)
- Clarifier le tarif serveurs versus postes avant signature
- Confirmer l’hébergement des données collectées et leur durée de conservation
- Prévoir qui, dans l’équipe, consulte la console et à quelle fréquence
- Documenter chaque exclusion ajoutée dans la console
Faire un diagnostic technique de votre parc avec Lead4you
À lire ensuite
Sources et repères utiles
FAQ
Quelle différence entre un antivirus classique et un EDR ?
Un antivirus classique bloque les fichiers déjà répertoriés dans une base de signatures. Un EDR (Endpoint Detection and Response) observe le comportement des processus en continu et réagit à une activité suspecte même sur une menace jamais identifiée ailleurs. Le second demande davantage de suivi côté équipe IT.
Combien coûte un antivirus pour une PME de 20 postes ?
Comptez entre 15 et 30 euros par poste et par an pour une protection par signatures, et entre 40 et 90 euros pour un module EDR complet. À 20 postes, l’écart annuel entre les deux options se situe généralement entre 500 et 1 200 euros, hors coût d’administration.
Un antivirus suffit-il face au phishing ?
Non. Un antivirus bloque des fichiers ou processus malveillants, pas un email qui pousse un utilisateur à saisir ses identifiants sur une fausse page. La protection contre le phishing passe par un filtrage des emails, une double authentification et une sensibilisation des équipes, en complément de l’antivirus.
Faut-il un antivirus sur les serveurs en plus des postes ?
Oui, et le tarif diffère souvent de celui appliqué aux postes de travail. Un serveur compromis expose davantage de données et de services que le piratage d’un seul poste isolé : sa protection mérite le même niveau d’attention, voire un module EDR dédié si le serveur héberge des données sensibles.
Comment vérifier qu’un antivirus respecte le RGPD ?
Demander à l’éditeur la localisation d’hébergement des données collectées, la nature exacte de ce qui est remonté (métadonnées, hachages, contenu de fichiers) et la durée de conservation. Ces informations figurent normalement dans la documentation contractuelle ou peuvent être demandées directement au support technique.
Que faire si l’antivirus génère trop de faux positifs ?
Documenter chaque alerte erronée avant de créer une exclusion, plutôt que de désactiver une fonction de détection entière. Un taux de faux positifs élevé et persistant justifie de revoir le paramétrage avec l’éditeur, voire de reconsidérer la solution si le problème touche plusieurs postes du parc.