« Si l’EDR isole un poste un vendredi à 17 h, qui s’en occupe, et quand l’utilisateur pourra-t-il retravailler ? » C’est la question que posent les dirigeants qui comparent deux contrats d’infogérance. La réponse dépend moins de l’outil que des horaires de ceux qui le pilotent. Une isolation automatique coupe une attaque en quelques secondes ; reste à savoir qui l’analysera, et qui aura le droit de la lever. Un prestataire qui lève une isolation pour avoir la paix prend le risque à votre place.
Combien de temps un poste reste-t-il isolé par l’EDR ?
Aussi longtemps que personne ne l’a analysé. Un poste isolé ne parle plus qu’à la console de sécurité : plus de messagerie, plus de fichiers partagés. Pour l’utilisateur, cela ressemble à une panne de réseau.
Prenons un prestataire ouvert du lundi au vendredi, de 9 h à 18 h. À 17 h, l’EDR isole le poste de la comptabilité et l’alerte tombe dans une file de tickets. À 18 h, si personne ne l’a ouverte, l’équipe rentre chez elle et le poste reste coupé jusqu’au lundi, à moins que quelqu’un ne le libère depuis la console avant de partir, sans analyse, pour s’épargner un appel du client. Samedi, dimanche : rien. Lundi à 9 h, l’analyse commence, 64 heures après l’isolation.
Ces 64 heures comptent si l’alerte cache une fuite. Le RGPD laisse au plus 72 heures pour notifier une violation de données personnelles à la CNIL, à partir du moment où l’on en a connaissance (CNIL). Le texte ne fixe pas l’instant où une alerte non analysée devient une connaissance de la violation. Nous préférons ne pas parier sur cette zone grise.
Côté utilisateur, laissez le poste allumé, sans le reconnecter par un partage de connexion : l’ANSSI recommande de déconnecter une machine compromise sans l’éteindre, pour préserver les traces utiles à l’analyse (guide de l’ANSSI sur les rançongiciels).
Le même vendredi, chez nous
Notre support répond 7 jours sur 7, de 8 h à 20 h ; la détection et le confinement tournent 24 h/24. À 17 h, l’isolation part. Le SOC signale le confinement à notre équipe en 7,4 minutes de médiane, mesurée du 19 juillet au 19 octobre 2026, méthode publiée sur notre page Transparence : dans la moitié des cas, un technicien a le signalement avant 17 h 08. Samedi à 8 h, l’équipe reprend son poste, dimanche aussi.
Qui a le droit de lever une isolation, et à quelle heure ?
Le SOC analyse 24 h/24 et peut lever lui-même une isolation quand l’analyse conclut à une fausse alerte, de nuit comme le week-end ; au moindre doute, le poste reste isolé jusqu’à l’analyse de l’équipe, par choix.
Hors des heures d’ouverture, la remise en service attend donc la conclusion du SOC si l’alerte est fausse, ou l’ouverture de l’équipe si le doute demeure. Un salarié nous dira : « une nuit sans mon poste, c’est long ». Oui. Une nuit sans poste se rattrape, alors qu’un poste compromis relâché sur le réseau un vendredi à 20 h 30 peut chiffrer les fichiers partagés avant lundi. Nous gardons isolé tant que la preuve n’est pas faite, et nous le disons. Rares sont les prestataires qui affichent leurs horaires de week-end.
Pour chiffrer ce que coûte un service arrêté tout un week-end, notre calculateur du coût d’un arrêt informatique donne un ordre de grandeur.
Tout se joue dans votre navigateur : rien n'est envoyé, rien n'est conservé.
Un prestataire ouvert du lundi au vendredi, de 9 h à 18 h, n'a pas ouvert l'alerte d'un poste isolé le vendredi à 17 h. Quand l'analyse commence-t-elle ?
Sans personne le week-end, l'analyse commence lundi à 9 h, 64 heures après l'isolation.
Chez ITAIA, le SOC conclut à une fausse alerte un samedi à 3 h. Que devient le poste ?
Le SOC analyse 24 h/24 et peut lever lui-même une isolation quand l'analyse conclut à une fausse alerte, de nuit comme le week-end ; au moindre doute, le poste reste isolé jusqu'à l'analyse de l'équipe.
Votre poste vient d'être isolé. Quel est le bon réflexe ?
L'ANSSI recommande de déconnecter une machine compromise sans l'éteindre, pour préserver les traces utiles à l'analyse.
Trois questions à poser avant de signer
Premier point à faire écrire au contrat : qui est prévenu d’une isolation automatique, et en combien de temps, un vendredi à 17 h comme un dimanche à 3 h. Deuxième point : qui a le droit de lever l’isolation, et à quelles heures. Troisième point : comment le prestataire le prouve après coup, par exemple avec le journal des interventions de week-end du dernier trimestre. Un prestataire incapable de sortir ce journal vous a déjà répondu.
Notre service SOC y répond ainsi : horaires affichés, délais publiés. Evan relit avec vous, en trente minutes, la clause d’isolation de votre contrat : prendre rendez-vous. État des lieux offert, sans engagement, aucune relance.
Evan Blaise, ingénieur systèmes et réseaux chez ITAIA
Sources
- CNIL, Notifier une violation de données personnelles : notification à la CNIL dans un délai de 72 heures au plus après en avoir pris connaissance.
- ANSSI, Attaques par rançongiciels, tous concernés : premiers réflexes, dont la déconnexion des machines compromises sans les éteindre.
