Quel SIEM choisir pour une PME en 2026 ?

Sentinel est le SIEM de Microsoft, hébergé dans Azure. Pour une PME qui paie déjà Microsoft 365, son intérêt est très concret : plusieurs sources s'y branchent sans frais d'ingestion. Les journaux d'audit d'Office 365 (SharePoint, Exchange, Teams), les journaux d'activité Azure et les alertes des produits Defender ne sont pas facturés, et 90 jours de conservation sont inclus.

Le reste se paie au gigaoctet. Microsoft ne publie pas de montant lisible sur sa page de prix : tu le trouves dans le calculateur Azure, selon ta région. D'où un conseil simple : lance l'essai de 31 jours (10 Go par jour offerts), branche tes vraies sources et regarde ton volume quotidien avant de signer quoi que ce soit.

Les retours de petites structures vont dans le même sens. Tant que les licences Microsoft couvrent l'essentiel des sources, la facture reste faible. Dès que tu ajoutes un pare-feu bavard ou des serveurs Linux, elle suit le volume. Note aussi que l'ancien portail Azure de Sentinel sera abandonné en 2027 au profit du portail Defender : autant démarrer directement sur ce dernier.

Elastic Security est le module de sécurité de la suite Elastic. Sa version sans serveur se paie à l'usage, avec des prix publics, ce qui est rare dans ce métier. Pour une PME qui envoie 5 Go par jour, le calcul tient sur une ligne : 5 × 30 × 0,09 $, soit 13,50 $ d'ingestion par mois, plus 2,55 $ pour conserver ces 150 Go le premier mois. La conservation s'additionne ensuite mois après mois.

Le prix affiché est un plancher (« dès ») : la formule Complete monte à 0,11 $ par Go. L'offre sans serveur tourne dans des régions européennes disponibles chez plusieurs hébergeurs, à choisir à la création.

Le vrai coût est ailleurs. Elastic demande des compétences internes pour écrire les règles, construire les tableaux de bord et faire le tri. Sans profil technique, la facture d'ingestion basse ne veut pas dire grand-chose.

Blumira est un SIEM américain pensé dès le départ pour les petites structures. Sa facturation est la plus lisible du classement : tu paies par salarié (une personne avec une adresse de messagerie professionnelle et un poste), quel que soit le volume de journaux. Pour 50 salariés, cela fait 600 $ par mois en Detect, 800 $ en Respond et 1 050 $ en Automate, hors frais de mise en route.

La différence entre les formules compte pour une PME. Detect donne un support aux heures de bureau de la côte est américaine, ce qui tombe en fin de journée et en soirée en France. Respond et Automate ajoutent un support incidents 24 h sur 24 par l'équipe sécurité de Blumira. Respond et Automate incluent un agent par salarié. Un an de conservation est inclus partout.

Côté terrain, les administrateurs saluent la facilité de prise en main et la qualité du support. Le reproche qui revient : peu de personnalisation. Les règles sur mesure passent par le support, et certaines alertes manquent de détail.

Huntress vend un SIEM managé : le logiciel et des analystes humains qui surveillent les alertes 24 h sur 24, dans le même prix. C'est exactement ce qui manque à la plupart des PME. Le tarif catalogue est de 4 $ par source de données et par mois, dégressif avec le volume. Vingt sources reviennent donc à 80 $ par mois au prix catalogue.

Deux réserves avant de sortir la calculette. En achat direct, Huntress impose un minimum de 50 licences par produit, ce qui peut relever le ticket d'entrée d'une petite structure. Et la mise en place n'est pas incluse : elle passe par un partenaire. L'engagement est de 12 mois.

Sur les forums de prestataires informatiques, Huntress revient souvent comme l'offre à conseiller aux clients qui ne sont pas experts.

Wazuh est open source et gratuit si tu l'installes toi-même. Un agent sur chaque machine remonte ses événements vers un serveur central. C'est l'outil que les administrateurs conseillent le plus souvent comme point de départ, avec un avertissement qui revient sans cesse : il faut quelqu'un pour lire ce qu'il remonte.

Pour une petite production de 10 à 25 agents, un tutoriel de praticien donne un ordre de grandeur indicatif : 4 processeurs virtuels, 8 Go de mémoire et 50 à 100 Go de disque pour 90 jours. Un serveur dédié est conseillé. Ensuite vient le réglage continu des règles pour couper les fausses alertes.

Si tu ne veux pas gérer de serveur, Wazuh Cloud coûte 571 $ par mois jusqu'à 100 agents (6 852 $ par an), avec un mois consultable et trois mois d'archive, puis 923 $ jusqu'à 250 agents. Les régions européennes sont Francfort et Londres, fixées à la création. Les avis notent une documentation avancée à améliorer et l'absence de gestion de cas intégrée.

Sekoia Defend est développé par un éditeur français. Pour une PME, on le rencontre surtout à travers un prestataire de supervision qui l'utilise pour plusieurs clients : c'est le cas d'usage que l'éditeur met en avant. Tu n'achètes alors pas un logiciel, mais un service qui tourne dessus.

Sur la conformité, le centre de confiance de Sekoia affiche ISO/IEC 27001:2022, PCI DSS et SOC 2 Type 1, avec des mentions RGPD, NIS 2 et DORA. La plateforme en ligne tourne dans plusieurs régions, sans pays d'hébergement affiché : demande-le par écrit si c'est un critère pour toi. Une version auto-hébergée existe.

Aucun prix n'est public. La note de lisibilité du prix s'en ressent, et c'est la vraie limite pour une PME qui veut comparer seule.

Log360 Cloud est la version hébergée du SIEM de ManageEngine, la branche informatique de Zoho. Ses prix sont publics et détaillés, ce qui le distingue de la plupart des éditeurs. En Professional, 25 sources de journaux coûtent 2 695 $ par an, et 10 sources 120 $ par mois en paiement mensuel.

Le stockage de recherche s'ajoute : 10 $ par Go et par an en Professional, 13 $ en Enterprise, avec trois fois ce volume fourni en archive (0,25 $ par Go au-delà). Une édition gratuite existe, avec des limites à vérifier sur le site de l'éditeur.

La limite tient dans le mode de calcul. La licence mélange plusieurs unités : sources, contrôleurs de domaine, serveurs de fichiers, comptes en ligne, postes. Chiffrer son parc exact demande du temps, et aucun analyste n'est inclus.

Graylog est d'abord un outil de centralisation des journaux, avec une version Open gratuite et sans plafond de volume. Pour une PME, c'est une bonne façon de rassembler ses journaux et de chercher dedans sans payer de licence. Le support est alors celui de la communauté.

La version Security, qui ajoute les fonctions propres à un SIEM, démarre à 18 000 $ par an, soit 1 500 $ par mois. La licence se calcule au volume quotidien (dès 10 Go par jour) et ne dépend ni du nombre d'appareils ni du nombre d'utilisateurs. La version hébergée passe par la place de marché d'AWS, avec 90 jours en ligne et un an de conservation par défaut.

Le saut de prix entre Open et Security est brutal pour une petite structure. Et Open fait moins qu'un vrai SIEM : la détection reste à construire.

Rapid7 Incident Command est le nouveau nom d'InsightIDR. L'offre se découpe en trois formules, Essential, Advanced et Ultimate, facturées à l'actif surveillé. Aucun montant n'est public : il faut un devis.

Les durées de conservation sont claires : 90 jours de journaux en Essential, 180 jours en Advanced et Ultimate, et 13 mois d'historique des alertes dans tous les cas. Pour une PME qui veut garder un an de journaux, ce point compte dans le choix de la formule.

Le service de détection et réponse managées existe, mais se vend à part. Sans lui, tu retrouves la question de départ : qui lit les alertes. Demande donc le devis des deux, logiciel seul et logiciel avec service.