Combien coûte un MDR ? Modèles de tarification, exemples et facteurs de coût

La détection et réponse managées (MDR) est généralement facturée par terminal, par utilisateur ou par identité et par mois. Les prix catalogue publiés pour la détection managée sur les terminaux démarrent sous 10 $ par terminal et par mois, tandis que les services à périmètre complet couvrant cloud, identités et journaux sont chiffrés après cadrage. Votre total dépend du nombre d'actifs, de la couverture, du pouvoir de réponse et des outils que vous possédez déjà.

Points clés

• Le MDR est un abonnement. La plupart des prestataires facturent par terminal, par utilisateur ou par identité, avec des frais supplémentaires pour les sources de journaux ou les données du SIEM.
• Les prix catalogue publiés sont rares. Un exemple : Huntress affiche l'EDR managé à un prix public conseillé de 8,99 $ par terminal et par mois.
• Le niveau de service compte plus que le nombre d'appareils. Une simple surveillance par alertes coûte bien moins cher que des analystes 24h/24 et 7j/7 autorisés à isoler des machines et à désactiver des comptes.
• Réutiliser des outils déjà sous licence (Microsoft Defender, CrowdStrike, un SIEM) réduit généralement la redevance MDR.
• Un SOC interne 24h/24 et 7j/7 demande environ cinq analystes par poste rien que pour couvrir toutes les heures de la semaine, avant les outils.
• Comparez la redevance annuelle du MDR au coût d'un incident : IBM chiffre la violation moyenne mondiale 2026 à 4,99 millions de dollars.

Qu'est-ce que le MDR ?

Le MDR est un service managé dans lequel une équipe de sécurité externe surveille votre environnement en continu, examine les alertes et réagit aux menaces confirmées. Vous payez des personnes et un processus, pas seulement un logiciel.

Un service MDR type associe quatre éléments :

• Télémétrie : agents de détection et réponse sur les terminaux (EDR), journaux d'identité (par exemple Entra ID), journaux cloud (AWS CloudTrail, journaux d'activité Azure) et parfois des sondes réseau.
• Détection : règles, analyses comportementales et renseignement sur les menaces qui transforment des événements bruts en alertes.
• Analystes : un centre d'opérations de sécurité (SOC) qui trie les alertes, traque les menaces que les règles manquent et décide de ce qui est réel.
• Réponse : des actions de confinement comme isoler un ordinateur portable, arrêter un processus, réinitialiser des identifiants ou bloquer une adresse IP, suivies d'un rapport d'incident écrit.

La différence entre le MDR et un service de simple surveillance tient au dernier point. Si le prestataire se contente de vous envoyer une alerte par e-mail à 03h00, vous achetez de la détection. S'il contient la menace puis vous appelle, vous achetez de la réponse. Si vous voulez les analystes mais préférez exploiter vous-même les outils, un fournisseur de SOC en tant que service convient mieux.

Comment le MDR est-il facturé ?

Le MDR est facturé par une redevance récurrente, mensuelle ou annuelle, par unité protégée. L'unité varie selon le prestataire ; demandez donc très tôt laquelle sert de base au devis.

De nombreux devis mélangent ces modèles. Une configuration courante : une redevance par terminal pour la couverture EDR, une redevance par identité pour la détection des menaces sur les identités et une redevance par source ou par Go pour la surveillance des journaux du SIEM.

Combien coûtent les services MDR ? Exemples publiés

Les grands éditeurs de MDR publient rarement leurs prix ; considérez donc tout chiffre isolé comme un point de départ. Ces prix catalogue étaient publiés sur les pages des éditeurs en octobre 2026 :

• Huntress affiche l'EDR managé à un prix public conseillé de 8,99 $ par terminal et par mois, et la détection managée des menaces sur les identités (ITDR) à 4,80 $ par identité sous licence et par mois. La page précise que le tarif unitaire baisse avec le volume.
• CrowdStrike publie ses licences de terminaux Falcon à 59,99 $, 99,99 $ et 184,99 $ par appareil et par an (Go, Pro et Enterprise). Son offre MDR, Falcon Complete, n'est disponible que sur contact commercial.

Les chiffres de CrowdStrike rappellent utilement que les licences d'outils et le service managé sont des lignes de coût distinctes. Si vous payez déjà un EDR, un prestataire qui exploite vos agents existants facture surtout les analystes et la réponse.

Un exemple chiffré : 300 terminaux et 50 serveurs cloud

Prenons une entreprise avec 300 ordinateurs portables, 50 serveurs sur AWS et Azure et 320 utilisateurs Microsoft 365. Aux prix catalogue Huntress ci-dessus, la seule couverture des terminaux représenterait 350 × 8,99 $ = environ 3 150 $ par mois, et la couverture des identités 320 × 4,80 $ = environ 1 540 $ par mois. Cela fait environ 4 700 $ par mois avant remises de volume, surveillance des journaux ou frais d'intégration.

L'intérêt de l'exemple est la structure, pas le total. Le devis d'un autre prestataire peut être plus bas ou plus haut, mais il se décomposera presque toujours en mêmes lignes : terminaux, identités, sources de journaux, palier de service et intégration ponctuelle.

Qu'est-ce qui fait monter ou baisser le coût du MDR ?

Cinq facteurs expliquent l'essentiel de l'écart entre deux devis MDR pour une même entreprise.

1. Nombre et type d'actifs. Les ordinateurs portables sont les moins chers. Les serveurs, charges de travail cloud, conteneurs et systèmes industriels (OT) demandent plus de réglages et coûtent plus cher.
2. Périmètre de couverture. Le MDR limité aux terminaux est le point d'entrée. Ajouter les identités, la messagerie, les plans de contrôle cloud et les journaux de pare-feu augmente le prix et comble les failles que les attaquants exploitent le plus.
3. Pouvoir de réponse. Demandez si les analystes peuvent isoler des machines et désactiver des comptes sans vous appeler d'abord. Un confinement pré-approuvé coûte plus cher mais raccourcit le temps dont dispose un attaquant.
4. Votre environnement existant. Un prestataire indépendant des éditeurs qui travaille avec votre EDR et votre SIEM actuels évite la double licence. Un prestataire qui impose son propre agent intègre la licence dans la redevance.
5. Reporting de conformité. Les organisations relevant de NIS2 doivent envoyer une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important et une notification plus complète dans les 72 heures (directive NIS2, article 23). Si vous voulez que le prestataire prépare ces éléments, prévoyez un budget.

L'intégration est la ligne cachée. Déployer les agents, connecter les sources de journaux et régler les détections pour votre environnement prend généralement quelques semaines et se facture souvent une seule fois.

MDR ou SOC interne

Pour la plupart des entreprises de taille moyenne, le MDR coûte moins cher qu'un SOC interne 24h/24 et 7j/7, car le prestataire mutualise analystes, outils et renseignement sur les menaces entre de nombreux clients.

Le calcul des effectifs est simple. Une semaine compte 168 heures. Un analyste en travaille environ 40 ; un seul poste tenu en continu demande donc plus de quatre personnes à temps plein, et plutôt cinq une fois les congés, les arrêts maladie et la formation pris en compte. Ajoutez un responsable de SOC, des compétences en ingénierie de détection et en réponse aux incidents, ainsi que des licences SIEM et SOAR.

Le recrutement est le second problème. ISC2 a estimé à 4,8 millions le déficit mondial de professionnels de la cybersécurité dans son étude 2024 sur les effectifs en cybersécurité, ce qui rend les équipes de nuit et de week-end difficiles à pourvoir et à conserver.

Un modèle hybride est également courant : un responsable sécurité interne pilote la politique et les risques, et le prestataire MDR couvre les nuits, les week-ends et la première réponse.

Le MDR vaut-il son prix ?

Le MDR en vaut la peine lorsque la redevance annuelle est faible face au coût d'un incident grave que vous détecteriez autrement trop tard. Pour la plupart des entreprises, la comparaison n'est pas serrée.

Le rapport Cost of a Data Breach 2026 d'IBM chiffre la violation moyenne mondiale à 4,99 millions de dollars. Le même rapport constate que les organisations qui font un usage intensif de l'IA et de l'automatisation en sécurité ont économisé 1,93 million de dollars par violation par rapport à celles qui n'en utilisent pas. Détecter et contenir plus vite est exactement ce que vend le MDR.

Bâtissez l'analyse de rentabilité sur trois chiffres défendables : le devis MDR annuel, le temps de personnel interne qu'il remplace et votre propre estimation du coût d'indisponibilité par jour de vos systèmes les plus importants.

Questions à poser avant de signer

• Sur quelle unité facturez-vous, et qu'est-ce qui compte comme terminal ou identité ?
• Quelles sources de données sont incluses : terminaux, identités, messagerie, cloud, pare-feu ?
• Que peuvent faire vos analystes sans nous appeler, et quel est votre objectif de délai de réponse ?
• Pouvez-vous utiliser nos licences EDR et SIEM existantes ?
• Où nos données de sécurité sont-elles stockées et traitées (UE, Inde, États-Unis) ?
• Combien coûte l'intégration, et combien de temps prend-elle ?
• Fournissez-vous des rapports d'incident dans un format qui permet les notifications NIS2 ou RGPD ?

Comment Opsio vous aide

Opsio exploite un SOC 24h/24 et 7j/7 et propose de la détection et réponse managées qui fonctionne avec les outils de sécurité que vous utilisez déjà en on-premise, dans Microsoft 365, AWS et Azure. Nous chiffrons selon votre parc réel après un court appel de cadrage, de sorte que vous obtenez un seul devis où terminaux, identités et sources de journaux figurent séparément.

Pour Opus Bilprovning, qui exploite près de 100 centres de contrôle et contrôle environ deux millions de véhicules par an, Opsio assure des opérations managées 24h/24 et 7j/7 sur AWS, avec une supervision proactive et un durcissement continu de la sécurité. Lisez l'étude de cas Opus Bilprovning. Si vous comparez plutôt un modèle de SOC complet, consultez nos services SOC et le guide associé sur le coût d'un MSSP.

Questions fréquentes

Combien coûte le MDR par mois ?

Attendez-vous à une redevance mensuelle par unité. Les prix catalogue publiés démarrent sous 10 $ par terminal et par mois pour la détection managée sur les terminaux, par exemple Huntress à 8,99 $ de prix public conseillé. Les services plus larges, qui ajoutent identités, cloud et surveillance des journaux, sont généralement chiffrés après cadrage. À ces prix catalogue, une entreprise d'environ 300 utilisateurs et appareils paierait quelques milliers de dollars par mois.

Le MDR est-il facturé par terminal ou par utilisateur ?

Les deux modèles sont courants. La facturation par terminal convient aux parcs riches en appareils, et celle par utilisateur ou par identité aux collaborateurs de bureau disposant de plusieurs appareils. De nombreux prestataires combinent les deux et ajoutent une redevance par source ou par Go pour les journaux du SIEM.

Le MDR est-il moins cher qu'un SOC interne ?

Pour la plupart des petites et moyennes entreprises, oui. Un seul poste d'analyste 24h/24 et 7j/7 demande environ cinq personnes à temps plein pour couvrir 168 heures par semaine, plus des licences SIEM et SOAR. Le MDR répartit ces coûts entre de nombreux clients.

Quelle est la différence de tarification entre MDR et MSSP ?

Les contrats MSSP couvrent souvent la gestion d'équipements comme les pare-feu et les VPN, facturée par équipement ou au forfait. Le MDR se concentre sur la détection et la réponse et est facturé par terminal, par utilisateur ou par volume de données. Certains prestataires vendent les deux.

Combien de temps dure l'intégration d'un MDR ?

Les déploiements standard prennent généralement quelques semaines : installation ou connexion des agents, intégration des journaux d'identité et cloud, et réglage des détections. Les environnements vastes ou très réglementés demandent plus de temps.