FrançaisCybersécurité
Guide de décision · 2026-09-14
Microsoft Defender for Business, Endpoint P1 ou P2 : que choisir en Belgique ?
Un comparatif opérationnel pour aligner licence, niveau de détection, capacité de réponse et gestion des terminaux, sans confondre l’outil avec un service de sécurité.
Quel est le vrai choix à faire ?
Le choix n’oppose pas seulement trois licences : il associe un niveau de prévention, une capacité de détection, un modèle d’exploitation et un parc réel.
Commencez par les incidents que l’organisation doit pouvoir prévenir, voir et traiter. Un antivirus moderne bloque des menaces connues et réduit la surface d’attaque ; un EDR conserve et corrèle davantage de signaux afin d’enquêter sur un comportement suspect. L’investigation automatisée peut ensuite analyser une alerte et proposer ou exécuter des remédiations selon la configuration. Si personne ne surveille la file, ne qualifie les incidents et ne décide d’isoler une machine, acheter la fonction ne crée pas à lui seul une capacité de réponse.
Cartographiez ensuite les utilisateurs, postes, mobiles et serveurs, les systèmes d’exploitation, les sites et les responsabilités. La page GVISION consacrée à la protection XDR/MDR des terminaux illustre l’étape opérationnelle qui suit le choix d’une technologie : réunir les signaux, traiter les alertes et organiser la réponse. Cet article reste un comparatif Microsoft et ne suppose pas qu’une même solution convient à tous les environnements.
Que couvrent Business, P1 et P2 ?
Business reprend la prévention de P1 et certaines fonctions de P2 dans une expérience optimisée ; P1 durcit et protège ; P2 ajoute l’investigation et la réponse avancées.
Selon la vue d’ensemble Microsoft Defender for Business, mise à jour le 20 janvier 2026, Business est conçu pour les organisations comptant jusqu’à 300 utilisateurs. Il est disponible séparément ou inclus dans Microsoft 365 Business Premium. Il comprend la protection de nouvelle génération, la réduction de la surface d’attaque, l’EDR optimisé, l’investigation et la remédiation automatisées, ainsi que des fonctions centrales de gestion des vulnérabilités. Son objectif est de rendre un ensemble avancé exploitable avec une configuration plus simple.
La description officielle du service Microsoft Defender, mise à jour le 22 mai 2026, décrit P1 comme le socle de prévention : antimalware nouvelle génération, règles de réduction de surface d’attaque, contrôle des périphériques, pare-feu, protection réseau et contrôle des applications. P2 ajoute notamment EDR, investigation et remédiation automatisées, gestion des vulnérabilités, analyse des menaces, analyse approfondie et Microsoft Threat Experts. P2 n’est donc pas simplement « plus de blocage » : il équipe davantage le travail d’investigation.
Comment comparer les capacités sans raccourci ?
Le tableau montre qu’aucun plan ne gagne absolument : P1 peut suffire pour une stratégie préventive, Business combine simplicité et EDR, P2 vise une exploitation avancée.
Lisez chaque ligne avec le contexte de licence et d’exploitation. Une organisation déjà équipée de Microsoft 365 Business Premium peut avoir accès à Business sans achat séparé pour les utilisateurs éligibles, mais elle doit encore déployer, configurer, tester et surveiller le service. Une organisation avec E3 peut disposer de P1 selon son contrat et décider si le risque et la capacité de réponse justifient P2. Les noms commerciaux et inclusions peuvent évoluer : vérifiez le portail de licences et les conditions Microsoft au moment de l’achat.
Les coûts ne figurent pas dans ce tableau, car ils dépendent du programme, du pays, de l’engagement, des remises, des licences de base et des serveurs. Comparez plutôt le coût total : licences, administration, onboarding, exploitation des alertes, intégration SIEM/SOC, conservation, formation et traitement des incidents. Une fonction avancée sans processus peut coûter plus qu’elle ne protège ; une licence minimale sans visibilité suffisante peut retarder la détection.
| Critère | Defender for Business | Endpoint P1 | Endpoint P2 |
|---|---|---|---|
| Public visé | Organisations jusqu’à 300 utilisateurs | Organisations avec besoins de prévention enterprise | Organisations avec opérations de détection et réponse avancées |
| Protection nouvelle génération | Oui | Oui | Oui |
| Réduction de surface d’attaque | Oui | Oui | Oui |
| EDR | Oui, expérience optimisée | Non, pas d’EDR complet | Oui, capacités avancées |
| Investigation et remédiation automatisées | Oui | Non | Oui |
| Gestion des vulnérabilités | Fonctions centrales | Non indiquée comme capacité P1 | Fonctions avancées |
| Advanced Hunting | Non indiqué dans le comparatif Microsoft | Non | Oui, données et rétention de six mois selon Microsoft |
| Configuration | Simplifiée, intégration Intune possible | Pilotée par les outils enterprise | Pilotée par les outils enterprise et le SOC |
| Multiplateforme | Windows, macOS, Linux, Android, iOS selon prérequis | Même plateforme, capacités selon plan et OS | Même plateforme, capacités selon plan et OS |
| Serveurs | Licence serveur additionnelle requise | Licence serveur séparée selon scénario | Licence serveur séparée selon scénario |
| Limite principale | Seuil de 300 utilisateurs et expérience simplifiée | Pas d’EDR complet | Plus de fonctions à exploiter et gouverner |
| Meilleur choix selon le besoin | Équipe éligible voulant EDR et automatisation simplifiés | Prévention Microsoft avec autre dispositif de détection | Organisation ayant besoin d’investigation, hunting et réponse avancées |
Public visé
Business: Organisations jusqu’à 300 utilisateurs
P1: Organisations avec besoins de prévention enterprise
P2: Organisations avec opérations de détection et réponse avancées
Protection nouvelle génération
Business: Oui
P1: Oui
P2: Oui
Réduction de surface d’attaque
Business: Oui
P1: Oui
P2: Oui
EDR
Business: Oui, expérience optimisée
P1: Non, pas d’EDR complet
P2: Oui, capacités avancées
Investigation et remédiation automatisées
Business: Oui
P1: Non
P2: Oui
Gestion des vulnérabilités
Business: Fonctions centrales
P1: Non indiquée comme capacité P1
P2: Fonctions avancées
Advanced Hunting
Business: Non indiqué dans le comparatif Microsoft
P1: Non
P2: Oui, données et rétention de six mois selon Microsoft
Configuration
Business: Simplifiée, intégration Intune possible
P1: Pilotée par les outils enterprise
P2: Pilotée par les outils enterprise et le SOC
Multiplateforme
Business: Windows, macOS, Linux, Android, iOS selon prérequis
P1: Même plateforme, capacités selon plan et OS
P2: Même plateforme, capacités selon plan et OS
Serveurs
Business: Licence serveur additionnelle requise
P1: Licence serveur séparée selon scénario
P2: Licence serveur séparée selon scénario
Limite principale
Business: Seuil de 300 utilisateurs et expérience simplifiée
P1: Pas d’EDR complet
P2: Plus de fonctions à exploiter et gouverner
Meilleur choix selon le besoin
Business: Équipe éligible voulant EDR et automatisation simplifiés
P1: Prévention Microsoft avec autre dispositif de détection
P2: Organisation ayant besoin d’investigation, hunting et réponse avancées
Que change la limite de 300 utilisateurs ?
La limite de 300 utilisateurs est une condition de positionnement de Defender for Business ; au-delà, Microsoft oriente vers les offres d’entreprise P1 ou P2.
La FAQ Microsoft Defender for Business, mise à jour le 7 août 2026, confirme que l’offre vise jusqu’à 300 utilisateurs et recommande les offres d’entreprise au-delà. Ne comptez pas uniquement les appareils : documentez les identités auxquelles la licence doit être attribuée, les travailleurs externes, les comptes partagés interdits, les filiales et les évolutions prévues. Une organisation à 285 personnes qui acquiert une société ne doit pas bâtir une architecture impossible à faire évoluer.
Attention aux environnements mixtes. Microsoft indique qu’un tenant possédant simultanément des licences Defender for Business et Defender for Endpoint P2 utilise par défaut l’expérience Business. Pour basculer vers P2, il faut licencier tous les utilisateurs concernés et contacter le support Microsoft. Ce comportement rend une transition partielle plus délicate qu’un simple ajout de licences. Validez donc la coexistence, les droits d’usage et l’expérience effective avant de signer ou de migrer.
Qui doit traiter les alertes ?
Une licence EDR ne remplace ni les rôles, ni les horaires, ni les décisions nécessaires pour qualifier et contenir un incident.
Définissez un propriétaire de la console, un suppléant et une chaîne d’escalade. Précisez ce qui est regardé chaque jour, la priorité des alertes, le délai de qualification, les conditions d’isolement d’un poste et la façon de joindre le responsable métier. Une école, un hôpital, une administration ou un groupe industriel n’acceptera pas toujours la même mesure automatique. L’équipe sécurité doit connaître les conséquences d’un isolement, d’une quarantaine ou d’un blocage sur l’activité.
P2 fournit davantage de matière pour l’investigation, mais celle-ci doit être interprétée. Business simplifie certaines vues et automatisations, ce qui aide une petite équipe, sans supprimer le besoin de gouvernance. P1 peut être cohérent lorsqu’un autre outil ou service fournit la détection et la réponse. Comparez donc aussi le SOC interne, le prestataire, les heures de couverture, la collecte de preuves, les notifications et les exercices. La décision porte sur un système socio-technique, pas sur une case dans un tableau.
Comment traiter postes, mobiles et serveurs ?
Inventoriez chaque système d’exploitation et chaque serveur : la couverture multiplateforme existe, mais l’onboarding, les fonctions et les licences ne sont pas identiques.
Microsoft présente Defender for Endpoint comme une plateforme couvrant Windows, macOS, Linux, Android et iOS dans sa documentation mise à jour le 28 juillet 2026. Cette portée ne signifie pas que chaque fonction est identique partout. Vérifiez les versions prises en charge, les prérequis, l’agent, le mode passif ou actif, les exclusions applicatives, la connectivité et la manière dont chaque type d’appareil apparaît dans le portail. Incluez les postes hors site et rarement connectés dans le test.
Les serveurs exigent une attention distincte. Microsoft précise que leur protection nécessite une licence serveur additionnelle ou une offre Defender for Servers appropriée, selon l’architecture. Recensez les hôtes physiques, machines virtuelles, systèmes hérités et serveurs gérés par un tiers. N’appliquez pas aveuglément une politique de poste à un serveur de production. Faites valider les exclusions, fenêtres de maintenance, performances et procédures de retour arrière par le propriétaire de l’application.
Quel rôle joue Microsoft Intune ?
Intune facilite l’onboarding et les politiques des terminaux, mais il faut séparer conformité, configuration de sécurité et réponse aux incidents.
La procédure de configuration Defender for Business décrit un assistant, des rôles, des notifications, l’onboarding Windows et l’intégration avec Intune. La FAQ précise aussi que des règles ASR personnalisées nécessitent Intune. Dans un parc Microsoft 365, la gestion des terminaux avec Microsoft Intune peut donc servir de couche de déploiement et de contrôle. Vérifiez toutefois quelle autorité gère chaque paramètre afin d’éviter deux politiques contradictoires.
Construisez une hiérarchie lisible : groupes pilotes, politiques de base, exceptions temporaires, propriétaires et date d’expiration. Ne transformez pas une exception applicative en exclusion générale. Testez les règles de réduction de surface d’attaque en audit lorsqu’un mode d’observation existe, puis mesurez les applications touchées avant l’activation. Contrôlez enfin que les appareils sont réellement onboardés, actifs, à jour et rattachés au bon groupe ; l’attribution d’une politique ne prouve pas son application.
Quelles données et quelles règles RGPD considérer ?
Collectez les signaux nécessaires à la sécurité, limitez les accès et documentez finalité, conservation et surveillance des travailleurs.
Un EDR traite des informations techniques liées aux appareils, aux processus, aux fichiers, aux connexions et parfois aux utilisateurs. L’article 5 du RGPD impose notamment finalité, minimisation, exactitude, limitation de conservation et sécurité. Associez IT, sécurité, DPO, RH et concertation sociale lorsque cela s’applique. Documentez les finalités, les catégories de données, les destinataires, la durée, les transferts, les droits d’accès et les règles d’utilisation lors d’une enquête.
P2 offre, selon le tableau Microsoft, des données de recherche avancée et une rétention de six mois pour cette capacité ; le comparatif n’attribue pas cette conservation à Business. Ne choisissez pas une durée uniquement parce qu’elle est disponible. Reliez-la aux scénarios d’enquête, aux obligations, au SIEM et au budget. Restreignez l’accès aux fonctions de recherche, journalisez les actions administratives et séparez la cybersécurité d’un contrôle général de la productivité.
Comment mener un pilote utile ?
Un pilote doit prouver l’onboarding, la prévention, la génération d’alertes, l’escalade et la reprise sur des appareils représentatifs.
Commencez par un inventaire fiable et un groupe limité comprenant plusieurs profils : bureau, télétravail, poste à application métier, Mac ou Linux si présents, appareil mobile et serveur de test distinct. Capturez l’état initial, les antivirus existants, les exclusions et les dépendances réseau. Configurez les rôles, notifications et groupes avant l’onboarding. Utilisez des tests bénins documentés par Microsoft ou votre procédure interne ; ne simulez jamais une attaque en production sans autorisation.
Mesurez ensuite la couverture, la santé des capteurs, les faux positifs, le temps de qualification et l’effet sur les applications. Faites traiter une alerte de bout en bout : réception, enrichissement, décision, communication, remédiation et clôture. L’illustration suivante rappelle que le pilote doit associer outils et personnes. Élargissez par anneaux, avec un critère d’arrêt et une procédure de retour arrière. Conservez un journal des exceptions et une décision formelle sur la licence retenue.
Quels scénarios belges éclairent la décision ?
La taille oriente l’éligibilité, mais la criticité, le parc, les horaires et la capacité de réponse déterminent le niveau réellement utile.
Une société de services de 120 personnes déjà sous Microsoft 365 Business Premium peut privilégier Defender for Business, puis investir dans l’onboarding, les politiques et la surveillance. Une association de 70 personnes avec peu d’IT peut faire le même choix, mais confier la qualification à un partenaire. Une entreprise de 450 utilisateurs sous E3 peut garder P1 si un autre dispositif fournit l’EDR, ou évaluer P2 pour consolider les investigations. Dans chaque cas, l’inventaire des licences existantes vient avant la comparaison tarifaire.
Un groupe multi-sites avec production 24/7 devra tester l’isolement et les exclusions sur les postes industriels. Un établissement de santé privilégiera continuité, traçabilité et séparation des rôles. Une administration peut devoir intégrer procédures d’achat, délégations et horaires d’astreinte. Une entreprise internationale vérifiera la gouvernance tenant, les régions et le SOC. Ces exemples ne prescrivent pas une licence : ils montrent pourquoi le contexte d’exploitation peut renverser un choix fondé uniquement sur le nombre d’utilisateurs.
Quelles erreurs faut-il éviter ?
Les erreurs les plus coûteuses sont de choisir sur le prix seul, d’oublier les serveurs, de mélanger les licences sans test et de laisser les alertes sans propriétaire.
Évitez aussi de confondre appareil inscrit dans Intune et appareil correctement onboardé dans Defender, d’activer toutes les règles ASR le même jour, de conserver des exclusions sans date d’expiration ou de supposer que toutes les fonctions sont identiques sur chaque OS. Ne dupliquez pas les politiques entre plusieurs consoles sans définir l’autorité. Ne considérez pas un tableau vert comme preuve de sécurité : contrôlez capteurs, événements, notifications et actions de réponse.
Enfin, ne présentez pas P2 comme automatiquement supérieur. Si personne ne mène d’investigations, la capacité reste sous-exploitée ; si le risque exige une visibilité que P1 n’apporte pas, l’économie est trompeuse. Documentez les hypothèses, testez un échantillon représentatif et réévaluez après une acquisition, une migration de licences ou un changement de SOC. Le meilleur choix est celui que l’organisation peut maintenir, surveiller et mobiliser lors d’un incident.
Questions fréquentes
Defender for Business inclut-il un EDR ?
Oui. Microsoft indique un EDR optimisé, ainsi que l’investigation et la remédiation automatisées. P1 ne fournit pas l’EDR complet ; P2 offre les fonctions avancées.
Business est-il limité à 300 appareils ?
Microsoft positionne l’offre pour les organisations comptant jusqu’à 300 utilisateurs. Les appareils et serveurs doivent malgré tout être inventoriés et licenciés selon les conditions applicables.
Peut-on mélanger Business et P2 dans le même tenant ?
La FAQ Microsoft indique qu’un environnement mixte utilise par défaut l’expérience Business. Une transition vers P2 doit donc être planifiée et validée avec les licences adéquates et le support Microsoft.
Les serveurs sont-ils inclus ?
Non par défaut. Microsoft prévoit une licence serveur additionnelle ou une offre Defender for Servers selon le scénario. Vérifiez chaque système et chaque environnement.
Intune est-il obligatoire ?
Pas pour toutes les fonctions, mais il facilite le déploiement et permet notamment des politiques ASR personnalisées dans les scénarios documentés.
P2 remplace-t-il un SOC ou un MDR ?
Non. P2 fournit davantage de données et d’automatisation ; une organisation ou un prestataire doit toujours surveiller, qualifier, décider et répondre.
Comment choisir entre P1 et P2 ?
Partez des scénarios d’incident, du besoin d’EDR et d’investigation, des licences existantes, du parc, de la capacité de réponse et d’un pilote représentatif.
Conclusion
Defender for Business, P1 et P2 répondent à des modèles différents. Business concentre des fonctions avancées dans une expérience destinée aux organisations éligibles ; P1 fournit un socle préventif ; P2 équipe une investigation et une réponse plus profondes. Le bon dossier de décision relie les licences déjà détenues, les appareils réels, les risques et la responsabilité des alertes.
GVISION peut aider une organisation belge à inventorier le parc, clarifier le modèle opérationnel et tester le déploiement sans transformer le comparatif en promesse universelle. Pour passer du tableau à un périmètre vérifiable, vous pouvez cadrer votre choix et votre pilote.