Une cyberattaque ne commence presque jamais par l’incident que l’on voit. Elle commence des jours, parfois des semaines avant, par une intrusion silencieuse que personne ne remarque — jusqu’à ce qu’il soit trop tard. C’est là tout l’enjeu de la supervision continue : ce n’est pas la présence d’une menace qui détermine la gravité d’un incident, c’est le temps qu’il faut pour la repérer.
Le vrai enjeu, ce n’est pas l’attaque, c’est le délai
En cybersécurité, cet indicateur porte un nom : le MTTD, pour « Mean Time to Detect », le temps moyen nécessaire pour identifier qu’un système a été compromis. Plus ce délai est long, plus l’attaquant dispose de temps pour se déplacer dans le réseau, identifier les données sensibles, désactiver les sauvegardes, et préparer son attaque finale (Vectra).
Le dernier rapport IBM sur le coût des violations de données, publié en 2025, indique que les organisations mettent en moyenne 158 jours pour identifier une intrusion — un chiffre qui reste élevé, même s’il représente le meilleur résultat observé depuis neuf ans (Cyberhaven). À titre de comparaison, une étude antérieure du Ponemon Institute évaluait ce délai à 280 jours en 2020 (Guardia) : la tendance s’améliore, mais elle part de très loin.
Face à cela, les organisations dotées d’un centre de supervision mature parviennent à réduire ce délai de détection à moins de 30 jours (CyberSecurityTime) — et les structures qui s’appuient sur une supervision continue et automatisée peuvent descendre à des délais de l’ordre de l’heure, voire de la minute, pour les signaux les plus critiques.
Pourquoi ce délai coûte si cher
Ce n’est pas un hasard si les experts en cybersécurité recommandent aux dirigeants de piloter leur stratégie de sécurité par cet indicateur plutôt que par la seule liste des outils déployés. Réduire le MTTD, c’est réduire la fenêtre d’opportunité de l’attaquant (Wandesk). Un système compromis mais détecté en quelques minutes ne donne à l’attaquant aucune chance de progresser. Le même système, compromis pendant plusieurs semaines sans que personne ne s’en aperçoive, peut voir l’intégralité de son réseau cartographié, ses sauvegardes neutralisées, et ses données exfiltrées avant même que le premier symptôme visible n’apparaisse.
C’est également valable pour les menaces internes, souvent plus difficiles à repérer que les attaques externes : une étude 2026 du Ponemon Institute sur le risque interne évalue à 67 jours le délai moyen nécessaire pour contenir ce type d’incident (Cyberhaven) — un délai long, qui laisse le temps à des données sensibles de circuler bien au-delà de leur périmètre prévu.
Détecter ne suffit pas : il faut aussi réagir vite
Le MTTD ne doit jamais être considéré isolément. Il se complète d’un second indicateur, le MTTR (« Mean Time to Respond/Remediate »), qui mesure le temps nécessaire pour contenir la menace une fois détectée. Détecter une intrusion en dix minutes mais mettre une semaine à la contenir reste, in fine, catastrophique (Wandesk). Une supervision efficace doit donc combiner les deux : une détection rapide, et une capacité de réaction tout aussi rapide derrière.
C’est précisément l’articulation sur laquelle repose une supervision 24/7 bien conçue : elle ne se contente pas de générer des alertes, elle s’accompagne d’une équipe capable d’intervenir immédiatement, à toute heure, plutôt que de laisser une alerte dormir dans une boîte mail jusqu’au lendemain matin.
Un investissement encore trop souvent sous-dimensionné
L’ANSSI recommande aux entreprises françaises de consacrer environ 5 % de leur budget informatique à la cybersécurité. Pourtant, près de 30 % des organisations peinent aujourd’hui à atteindre ce seuil (Guardia). Ce sous-investissement se traduit très concrètement par l’absence, dans une grande partie des PME, de toute supervision en dehors des horaires de bureau — alors même que les attaquants, eux, n’observent aucun horaire. Une intrusion démarrée un vendredi soir a statistiquement tout le week-end pour progresser dans un système non supervisé.
Ce que cela signifie concrètement pour une PME
Une supervision 24/7 efficace repose sur trois piliers : une surveillance continue des équipements et des flux réseau, des alertes automatisées capables de distinguer un signal réellement anormal du bruit de fond, et surtout une équipe capable d’intervenir immédiatement dès qu’un signal critique est détecté — de nuit comme de jour, un week-end comme un jour ouvré.
C’est cette dernière dimension qui fait souvent toute la différence entre un outil de supervision et un service de supervision. Un logiciel qui envoie une alerte à 3h du matin ne sert à rien si personne ne la traite avant 9h.
Chez MB2i, notre service ARGOS de supervision s’appuie sur cette logique : une surveillance continue de l’infrastructure de nos clients, avec un engagement de prise en charge en 15 minutes en cas d’incident bloquant sur leur outil de production. Ce délai n’est pas un argument marketing : c’est la mesure concrète de ce qui sépare un incident maîtrisé d’un incident qui dégénère.
Ce qu’il faut retenir
La détection précoce n’est pas un luxe réservé aux grandes entreprises dotées d’un SOC interne. C’est, à l’inverse, un besoin d’autant plus critique pour une PME qu’elle dispose de moins de ressources pour absorber les conséquences d’une intrusion prolongée. Réduire son délai de détection, même de quelques jours à quelques heures, change fondamentalement la nature du risque auquel une entreprise est exposée.
Sources :
- Vectra — Qu’est-ce que la métrologie de la cybersécurité ?
- Cyberhaven — MTTD and MTTR: Security Metrics Explained
- Guardia — Comprendre les métriques de cybersécurité MTTR et MTTD
- CyberSecurityTime — Average Time to Detect Cyber Attack in 2026
- Wandesk — MTTD et MTTR cybersécurité : comprendre ces métriques clés
Note méthodologique : les délais moyens de détection varient fortement selon les études, les secteurs et la maturité des organisations analysées (de moins de 30 jours pour les structures les mieux équipées à plus de 200 jours pour la moyenne mondiale). Les chiffres cités ici sont des ordres de grandeur sectoriels, à ne pas confondre avec une mesure spécifique aux clients de MB2i.