Intégrer le MDR engage le MSP au-delà de l’ajout d’une solution : il doit articuler ses services avec ceux du fournisseur et préciser qui surveille, qualifie et traite les menaces. Benjamin Pamart, MSP Channel Manager chez ESET, revient sur ces choix et leurs enjeux pour les prestataires IT.
Entretien avec Benjamin Pamart, MSP Channel Manager.
Comment abordez-vous l’accompagnement d’un prestataire IT ?
Benjamin Pamart : Nous commençons par comprendre son fonctionnement, son organisation, les entreprises qu’il accompagne et les services qu’il propose déjà. Les situations sont très différentes : certains prestataires IT réfléchissent à la création d’une offre de services managés, tandis que d’autres ont déjà adopté le modèle MSP, avec des équipes expérimentées et des pratiques bien établies. Leur proposer systématiquement le même accompagnement n’aurait pas de sens.
« Ajouter du service peut alors être plus pertinent que changer de solution ou multiplier les outils de sécurité. »
Mon rôle consiste notamment à les accompagner dans l’évolution de leur modèle économique. Passer de la vente de licences annuelles à une offre MSP suppose de construire des services et de préparer les équipes commerciales comme les équipes techniques. Nous travaillons sur la formation, l’élaboration de l’offre et les bonnes pratiques, pour que le partenaire dispose des éléments nécessaires sans devoir tout rechercher seul.
Avec un MSP déjà structuré, le travail porte davantage sur l’exploitation des solutions et sur les besoins qui restent à couvrir. Un niveau d’équipement élevé ne signifie pas nécessairement que toutes les fonctionnalités sont utilisées. Nous cherchons donc à comprendre ce que les équipes font réellement avec les outils, avant de recommander une évolution.
Quelle place le MDR peut-il prendre dans l’offre d’un MSP ?
Le MDR, ou détection et réponse managées, permet de compléter les capacités d’exploitation de la sécurité. Un EDR, outil de détection et de réponse sur les terminaux, n’est pas totalement autonome : il remonte de nombreuses informations qui doivent être analysées et corrélées. Cela mobilise des outils, mais aussi de l’expertise humaine pour qualifier les comportements suspects et déterminer les actions nécessaires.
La question est donc de savoir comment ces informations sont prises en charge par le MSP. Lorsque certaines sont sous-exploitées, le prestataire ne bénéficie pas pleinement des capacités de détection proactive de l’EDR. Ajouter du service peut alors être plus pertinent que changer de solution ou enrichir encore l’équipement.
Le MDR associe des briques de détection, de corrélation et d’automatisation à des spécialistes capables d’analyser les menaces et d’intervenir. Il apporte un complément aux équipes du prestataire, avec lesquelles les échanges restent nécessaires pour comprendre certains comportements et approfondir les investigations.
Notre démarche consiste à examiner ce besoin avec le partenaire, puis à tester le service. L’objectif est qu’il comprenne précisément ce que cette évolution apporte à son offre et aux organisations qu’il protège. Le choix doit répondre à une problématique identifiée, plutôt qu’à la seule volonté de déployer une technologie supplémentaire.
▶️ [À lire également] Cloud : ESET simplifie la sécurisation des environnements dynamiques
Comment s’organise la réponse à un incident, dans ce cas ?
Le service MDR assure la surveillance, l’investigation et la réponse aux menaces 24 heures sur 24 et 7 jours sur 7. Les événements détectés sont regroupés en incidents pour analyser les comportements et déterminer les mesures à prendre lorsqu’une attaque est confirmée. Le MSP dispose dans la console d’une visibilité sur ces incidents et les actions réalisées.
Le paramétrage doit tenir compte des contraintes de chaque organisation. Certains équipements peuvent être désignés comme actifs critiques, avec des mesures de réponse adaptées : isoler un poste utilisateur et intervenir sur un serveur indispensable à la production n’ont pas les mêmes conséquences.
Les notifications distinguent les incidents déjà traités par le service de ceux qui nécessitent une action complémentaire. Le MSP doit donc identifier les destinataires de ces alertes et organiser leur prise en charge. Le MDR apporte une capacité de surveillance continue ; le prestataire conserve un rôle opérationnel dans les actions qui lui sont demandées.
