L’analyse des ordinateurs recouvre un ensemble de méthodes destinées à examiner l’état d’un système informatique, que ce soit pour détecter des logiciels malveillants, diagnostiquer une panne matérielle ou vérifier la conformité d’un poste à des exigences de sécurité. Depuis l’entrée en vigueur du règlement européen Cyber Resilience Act fin 2024, cette pratique dépasse le simple réflexe technique pour devenir un maillon de la conformité réglementaire des entreprises.
Analyse des ordinateurs et cadre réglementaire européen
La majorité des guides en ligne présentent l’analyse d’un ordinateur comme une opération volontaire, un geste de prévention que l’utilisateur déclenche quand il le souhaite. Le règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), modifie cette logique. Entré en vigueur le 10 décembre 2024, il impose des exigences de cybersécurité à tous les produits comportant des éléments numériques mis sur le marché européen, y compris les suites antivirus, les solutions EDR et les outils de diagnostic installés sur les postes.
A lire en complément : Quel est l'objet le plus important d'une base de données ?
À partir du 11 septembre 2026, les fabricants de ces produits devront signaler les vulnérabilités activement exploitées et les incidents graves via une plateforme gérée par l’ENISA. Les délais sont précis : alerte initiale en 24 heures, notification en 72 heures, rapport final sous 14 jours. L’analyse régulière des postes devient alors un prérequis pour alimenter cette chaîne de signalement.
Pour les entreprises, cela signifie que ne pas analyser correctement un poste de travail peut constituer un manquement à une obligation légale, et non plus un simple oubli de maintenance.
A découvrir également : Qu'est-ce que le traitement des données en temps réel ?
Scan antivirus, diagnostic matériel, forensic : trois niveaux d’analyse distincts
Derrière l’expression « analyse des ordinateurs », on trouve en réalité trois pratiques différentes par leur profondeur et leur objectif. Les confondre conduit à des décisions inadaptées.
Scan antivirus et antimaliciel
Le scan antivirus examine les fichiers, la mémoire vive et les périphériques de stockage à la recherche de signatures connues ou de comportements suspects. Deux modes coexistent dans la plupart des logiciels : l’analyse rapide, qui cible les zones les plus exposées (répertoires système, processus actifs), et l’analyse complète, qui parcourt l’intégralité du disque.
La protection en temps réel, active en arrière-plan, ne remplace pas les analyses planifiées. Un fichier enregistré sur le disque à un moment où le moteur de détection n’était pas à jour peut passer inaperçu jusqu’au prochain scan complet.
Diagnostic matériel
L’analyse matérielle évalue l’état physique des composants : disque dur, mémoire RAM, processeur, alimentation. Elle repose sur des outils intégrés au système (comme les utilitaires de vérification de disque) ou sur des logiciels tiers qui lisent les données SMART du disque et mesurent les températures sous charge.
Un diagnostic matériel ne détecte pas les menaces logicielles, et un scan antivirus ne repère pas un disque dur en fin de vie. Les deux approches sont complémentaires, pas interchangeables.
Analyse forensique
L’analyse forensique intervient après un incident de sécurité. Elle vise à reconstituer la chronologie d’une attaque, identifier les vecteurs d’intrusion et préserver les preuves numériques pour d’éventuelles poursuites. Ce type d’analyse mobilise des outils spécialisés et des compétences en cybersécurité qui dépassent largement le périmètre d’un antivirus classique.
L’analyse forensic est une investigation, pas un scan préventif. Elle suppose qu’un incident a déjà eu lieu et que l’objectif est de comprendre ce qui s’est passé.
Limites des outils d’analyse grand public face aux menaces actuelles
Les suites antivirus grand public détectent efficacement les menaces connues, c’est-à-dire celles dont la signature figure déjà dans leur base de données. En revanche, les retours terrain divergent sur leur capacité à identifier les attaques sans signature (malwares polymorphes, attaques par scripts légitimes détournés, mouvements latéraux dans un réseau).
Plusieurs facteurs limitent la portée d’un scan classique :
- Les malwares « fileless » s’exécutent directement en mémoire sans laisser de fichier sur le disque, ce qui les rend invisibles aux analyses basées sur la signature de fichiers.
- Les outils de diagnostic intégrés aux systèmes d’exploitation ne couvrent qu’une fraction des composants et ne testent pas les firmwares, qui peuvent eux-mêmes contenir des vulnérabilités.
- Un scan réalisé sur un système déjà compromis peut être neutralisé par le malware lui-même, qui désactive ou trompe le moteur d’analyse avant qu’il ne le détecte.
Les solutions EDR (Endpoint Detection and Response) tentent de combler ces lacunes en surveillant les comportements en continu plutôt qu’en cherchant des signatures ponctuelles. Les données disponibles ne permettent pas de conclure que l’une de ces approches rend l’autre obsolète : la combinaison analyse par signature et détection comportementale reste la norme dans les environnements professionnels.
Fréquence et stratégie d’analyse en entreprise
Planifier une analyse mensuelle complète est un conseil récurrent dans les guides de sécurité. Dans un contexte professionnel avec des dizaines ou des centaines de postes, la question devient plus complexe.
Une analyse complète consomme des ressources processeur et disque significatives. Lancée en heures ouvrées, elle ralentit les postes de travail. Lancée la nuit, elle suppose que les machines restent allumées, ce qui entre en conflit avec les politiques d’économie d’énergie de certaines organisations.
La stratégie la plus courante combine trois niveaux :
- Une protection en temps réel active en permanence sur chaque poste, qui intercepte les menaces au moment de l’accès aux fichiers.
- Des analyses rapides quotidiennes ou hebdomadaires, ciblant les zones à risque (dossiers temporaires, téléchargements, clés de registre).
- Des analyses complètes planifiées à intervalle régulier, dont la fréquence dépend du niveau de criticité des données traitées sur le poste.
Le CRA ajoute une couche supplémentaire à cette stratégie : les résultats d’analyse alimentent désormais les obligations de signalement auprès de l’ENISA. Un poste non analysé est un poste dont on ne peut pas documenter l’état de sécurité, ce qui fragilise la position de l’entreprise en cas d’audit ou d’incident.
L’analyse des ordinateurs n’est plus une tâche isolée qu’on délègue à un logiciel antivirus. Elle s’inscrit dans un écosystème où la réglementation, les outils de détection et la formation des équipes informatiques doivent avancer ensemble. Les entreprises qui traitent encore le scan de poste comme une formalité périodique risquent de découvrir, au moment d’un incident, que leur couverture d’analyse ne suffit pas à répondre aux exigences réglementaires ni à contenir une menace moderne.