Microsoft Defender

Soumis au CLOUD Act et au FISA des États-Unis.

Les données sont hébergées sur Azure. Même si la région « France » est choisie, l'infrastructure hyperscaler n'est pas souveraine.

Chiffrement présent au repos et en transit. Cependant, pour un EDR (Endpoint detection and response), l’analyse active nécessite que le moteur (chez l’hébergeur) ait accès aux données en clair (clés gérées par Microsoft pour le service).

Le RGPD impose aux entreprises de garantir un haut niveau de protection des données personnelles, interdisant notamment tout transfert vers un pays tiers sans garanties suffisantes. Or, l’application du CLOUD Act américain vient précisément contredire cette exigence, puisque Microsoft ne peut garantir une pleine souveraineté des données stockées sur le sol français.

Le service est exclusivement opéré par Microsoft. Le service peut être opéré par les équipes de Microsoft situées en Europe (avec notamment sa filiale irlandaise), mais aucune garantie ne peut être donnée de leur part pour que les services ne soient pas aussi opérés depuis les États-Unis même si les données sont stockées en UE.

La société Microsoft est cotée en bourse au NASDAQ.

La feuille de route est publique et des retours de la part des utilisateur•ices est possible mais elle est décidée unilatéralement par l’éditeur.

Le capital de Microsoft est majoritairement détenu par des fonds d'investissement et des institutions financières basés hors de l'Union européenne.

La gouvernance de Defender est opaque et entièrement verticale. Le développement, l'architecture et l'abandon potentiel de certaines fonctionnalités sont pilotés exclusivement par Microsoft. Il n'existe aucune structure communautaire ou de consortium externe ayant un droit de veto ou de co-direction sur le produit.

Microsoft détient un monopole sur le développement de Defender. Les mises à jour et le code source propriétaire de l'infrastructure cloud de Defender sont exclusivement produits par Microsoft. Aucune contribution externe au cœur du service n'est possible.

Les données de configurations sont seulement exploitables au sein de la plateforme Azure.

L'API Microsoft Graph, qui est une API REST, est robuste et bien documentée. Elle couvre l'intégralité des besoins de gestion des utilisateurs, des groupes, des applications et des métadonnées de sécurité, permettant une intégration et une extraction industrielles des données.

Microsoft Defender fonctionne nativement sur une majorité de systèmes d'exploitation à l'exception de Linux. Le service reste accessible via une interface web même si l'expérience en est alors dégradée par une limitation des fonctionnalités.

Il existe des connecteurs pour synchroniser et importer l'existant depuis d'autres EDR ainsi que des procédures documentées pour ingérer des fichiers. Néanmoins, migrer depuis une solution EDR cloud concurrente nécessite des scripts de conversion d'API sur mesure pour recréer les relations complexes et les politiques de sécurité.

Les données sont récupérables telles quelles et leur récupération est automatisable via l'API Microsoft Graph. Microsoft conserve dans certains cas le droit de conserver sur ces serveurs des données supprimées par les utilisteaur•ices avec une durée de rétention jusqu'à 180 jours.

Il n'y a pas de possibilité d'ajouter ou de personnaliser les modules.

Le code source de Defender est propriétaire et n'est pas accessible au public.

La solution est sous licence commerciale, propriétaire et fermée (SaaS). L'usage est conditionné au paiement de redevances par utilisateur·rice/mois. L'organisation dépend entièrement de l'éditeur pour le maintien opérationnel de la solution.

Le cycle de développement de Defender est entièrement privé et interne à Microsoft. Seuls des cabinets d'audit tiers mandatés par Microsoft évaluent ponctuellement la sécurité (rapports SOC), mais l'utilisateur·rice final·e n'a aucune visibilité sur les correctifs en cours de préparation avant leur déploiement en production.

C'est un modèle SaaS basé sur des abonnements par utilisateur·rice. Microsoft a un historique documenté de hausses tarifaires unilatérales. Les frais de sortie de données ne s'appliquent pas directement sur l'identité, mais la captivité technique induit des coûts de migration élevés si l'on souhaite quitter l'écosystème.

Si le coût direct des licences est prédictible à court terme via la grille tarifaire, la modélisation autonome du TCO réel à long terme reste complexe. Les coûts indirects rendent l'estimation budgétaire globale sujette à des variations.

Microsoft propose une bonne base documentaire. Elle couvre les architectures, les API et l'administration.

Les compétences sur Defender sont répandues. Il existe tout un parcours de professionnalisation, de certifications et d'ESN.

Le portail d'administration est moderne, fonctionnel. Un·e administrateur·rice système y retrouve rapidement ses marques. Quelques ajustements d'accessibilité sont présents, mais l'arborescence des menus d'administration est souvent réorganisée, ce qui peut s'avérer déroutant.

Le rythme de publication des correctifs de sécurité et des nouvelles fonctionnalités est cyclique. Néanmoins, le projet étant intégralement détenu par Microsoft, le projet ne dispose pas d'une gouvernance décentralisée qui assurerait sa survie si l'éditeur décidait de restructurer son offre.

Le modèle économique repose sur de nombreux clients et entreprises à travers le monde, assurant une stabilité financière. Elle n'obtient pas la note de 5 car le flux financier alimente une seule et unique entité privée (Microsoft) plutôt qu'un écosystème distribué indépendant ou une fondation.

Microsoft s'engage à respecter les standards mondiaux d'accessibilité (WCAG 2.1, EN 301 549) et publie régulièrement des rapports d'accessibilité (VPAT - Voluntary Product Accessibility Templates) pour ses produits.