WithSecure Co-Monitoring Service – Détection des menaces 24h/24 et 7j/7, réponse aux incidents, module complémentaire EDR

Que comprend le service de co-surveillance WithSecure ?

Surveillance des détections 24 h/24, 7 j/7 – WithSecure surveille en permanence les détections de risques graves provenant d’Elements EDR.
Option hors horaires de bureau – La surveillance peut se limiter aux soirées, aux week-ends et aux jours fériés.
Validation humaine des menaces – Des analystes vérifient si une détection correspond à un véritable incident.
Remontée vers un interlocuteur désigné – Les incidents confirmés sont transmis aux personnes habilitées à intervenir.
Conseils de remédiation – Conseils tels que l’isolation des hôtes ou l’arrêt des processus malveillants.
Important – WithSecure fournit des instructions, mais n’exécute pas les actions de réponse.

Quels sont les principaux avantages du service de co-surveillance WithSecure ?

Le service WithSecure Co-Monitoring est un module complémentaire de WithSecure Elements EDR dans le cadre duquel l’équipe de détection et de réponse du fournisseur examine vos détections de risques graves et indique à votre personnel comment y remédier. Il est fourni via la console cloud Elements que vous utilisez déjà, par le fournisseur anciennement connu sous le nom de F-Secure Business.

Couverture de nuit sans recrutement supplémentaire – Comble le vide lorsque personne n’est de service.
Moins de fausses alertes – Les analystes traitent les faux positifs avant qu’ils ne vous parviennent.
Traitement plus rapide des incidents – Un verdict validé élimine la première heure de conjectures.
Équipe d’intervention européenne – L’équipe de détection et de réponse opère depuis l’Europe.
Escalade adaptée aux MSP – Les attaques confirmées peuvent être transmises à votre fournisseur de services.
Parcours vers la réponse aux incidents – Les cas peuvent être transmis aux services de réponse aux incidents de WithSecure.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Ce service explique les limites de la protection de base des terminaux et pourquoi la détection et l’examen humain sont nécessaires en complément.

À quelle taille d’entreprise le service de co-surveillance WithSecure est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais le fait de savoir si quelqu’un au sein de votre organisation surveille les détections à trois heures du matin. Les entreprises qui utilisent déjà Elements EDR mais ne disposent pas de rotation des équipes sont les clients cibles.

Le service de co-surveillance de WithSecure répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L'obligation de signalement prévue par la loi révisée sur la sécurité de l'information s'applique aux exploitants d'infrastructures critiques, et non à toutes les entreprises suisses ; la plupart des PME ne sont donc pas directement concernées. Les organisations concernées doivent signaler une cyberattaque à l'Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte. La difficulté réside dans la découverte elle-même : un délai qui commence un vendredi soir expire avant le lundi, et le service Co-Monitoring répond précisément à ce problème en faisant examiner par un analyste les détections présentant un risque grave pendant la nuit et le week-end, puis en signalant un incident confirmé à un interlocuteur désigné. Ce que le service ne fait pas, c’est remplir le rapport, en rédiger le contenu ou déterminer si votre organisation est soumise à cette obligation. Il ne détecte par ailleurs rien en dehors de la portée de l’agent Elements EDR ; les équipements réseau, les systèmes OT et les plateformes SaaS ne sont donc pas surveillés. Ce texte décrit les fonctionnalités du produit et ne constitue pas un avis juridique ; si vous souhaitez obtenir des certitudes quant à vos propres obligations, faites-les évaluer par un avocat qualifié.

Le service de co-surveillance de WithSecure répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une organisation de se mettre en conformité avec la directive NIS 2, car celle-ci porte au moins autant sur la gouvernance, les processus documentés et la responsabilité de la direction que sur la technologie. La directive NIS 2 exige des mesures portant sur l’analyse des risques et les politiques de sécurité, la gestion des incidents, la continuité des activités et la sauvegarde, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, l’hygiène informatique et la formation, la cryptographie, ainsi que le contrôle d’accès, y compris l’authentification multifactorielle. Le « Co-Monitoring » contribue directement à une seule de ces catégories, à savoir la gestion des incidents, en fournissant un examen continu des détections, un verdict humain permettant de déterminer si un événement constitue un véritable incident, ainsi qu’un processus d’escalade documenté vers une personne responsable. Il n’apporte aucune contribution à la sauvegarde et à la continuité des activités, à la gestion des vulnérabilités, à la formation du personnel, à la cryptographie, au contrôle d’accès ou à la gouvernance des fournisseurs, et il ne génère pas le registre des incidents ni les textes de notification attendus par la directive. Considérez-le comme un élément parmi d’autres au sein d’un processus de gestion des incidents qui doit encore être formalisé et pris en charge en interne.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les pannes
Ce document aborde les aspects liés à la sauvegarde et à la continuité que ne couvre pas un service de surveillance, notamment le coût réel d’une panne.

Le service de co-surveillance WithSecure aide-t-il à répondre aux questionnaires de sécurité des grands clients ?

Oui, pour un ensemble restreint mais fréquemment demandé de questions. Il vous fournit une réponse défendable quant à savoir si les alertes de sécurité sont surveillées en dehors des heures de bureau, si elles sont examinées par un intervenant qualifié plutôt que par une règle automatisée, s’il existe un processus d’escalade défini vers un responsable désigné, et si vous avez accès à une expertise en matière de réponse aux incidents. Il ne répond à aucune des questions concernant les tests d’intrusion, la gestion des correctifs et des vulnérabilités, les tests de sauvegarde et de restauration, le chiffrement des appareils, le contrôle d’accès et l’authentification multifactorielle, la formation à la sensibilisation à la sécurité, ni votre propre statut de certification. Il ne génère pas non plus les documents justificatifs eux-mêmes ; les rapports que vous joignez proviennent donc toujours de la console Elements et de vos propres registres. Si un questionnaire s’avère exiger des mesures de réponse documentées et un délai de réponse contractuel plutôt qu’une simple surveillance consultative, la solution la plus économique consiste généralement à passer, au sein de la même gamme de produits, à WithSecure Elements MDR plutôt que d’ajouter un deuxième fournisseur en plus de votre EDR existant.

Quelle est la différence entre le « Co-Monitoring » et WithSecure Elements MDR ?

La différence décisive réside dans la personne qui intervient sur la machine. Avec le « Co-Monitoring », WithSecure mène l’enquête puis vous transmet des instructions, ce qui signifie qu’une personne de votre côté doit être joignable et habilitée à les mettre en œuvre à toute heure. Avec Elements MDR, l’équipe de détection et d’intervention se charge du confinement à votre place, et WithSecure garantit un délai d’intervention de 60 minutes, couvert par un SLA, dans 90 % des cas. Le Co-Monitoring peut également être souscrit uniquement sous forme de couverture en dehors des heures de bureau, ce qui convient à une équipe qui surveille sa propre console pendant la journée de travail.

Quelles sont les limites à connaître avant l’achat ?

Il s’agit d’un module complémentaire, et non d’un produit autonome : sans la solution WithSecure Elements Endpoint Detection and Response en arrière-plan, les analystes n’ont rien à surveiller. Son champ d’action se limite aux détections signalées par l’agent Elements EDR ; ainsi, un appareil ne disposant pas de cet agent, un pare-feu, un système de contrôle industriel ou un service cloud tiers ne génère aucun signal sur lequel le service puisse agir. Le champ d’application du service se limite aux détections de risques graves plutôt qu’à tous les événements, ce qui réduit le bruit mais signifie que les incidents de faible gravité restent à la charge de votre propre équipe. Comme WithSecure conseille plutôt qu’il n’intervient, la valeur du service s’effondre s’il n’y a personne de joignable et habilité à agir au moment de l’escalade ; le dispositif de permanence est donc une condition préalable et non une option supplémentaire. Aucune restriction de disponibilité à des pays spécifiques n’a été relevée dans la documentation du fournisseur, et l’équipe de détection et de réponse est décrite comme opérant en Europe, ce qui est pertinent si le lieu de traitement des données fait partie de vos critères d’achat.

Foire aux questions sur le service de co-surveillance WithSecure

Le service peut-il être limité aux heures hors bureau ?

Oui. WithSecure propose une surveillance soit 24 heures sur 24, soit uniquement en dehors des heures de bureau ; ainsi, une équipe qui surveille ses propres détections pendant la journée de travail peut souscrire une couverture uniquement pour les soirées, les nuits et les week-ends.

Ce service fonctionne-t-il si un prestataire de services informatiques gère notre environnement ?

Oui. Les attaques confirmées sont signalées soit au partenaire chargé de la gestion de l’environnement, soit à un interlocuteur de garde chez le client. C’est pourquoi les prestataires de services y ont recours pour étendre leur propre couverture sans avoir à mettre en place une équipe de nuit.

Que se passe-t-il si un incident dépasse les capacités du service ?

Le service peut être étendu afin que le dossier soit transféré aux services de réponse aux incidents de WithSecure. Ce transfert fait l’objet d’un contrat distinct, soit dans le cadre d’un forfait, soit à la demande, et n’est pas inclus dans la surveillance proprement dite.