Intrinsec vs Defender Experts : pure-player FR ou éditeur

Intrinsec et Microsoft Defender Experts s'opposent sur tous les axes structurants. Intrinsec (Courbevoie, fondée en 1995, filiale du groupe coté Neurones, ~250 collaborateurs, capital français via Dragonfly) est un pure-player français avec triple qualification ANSSI (PASSI-LPM + PRIS Élevé + PACS) et un différenciateur fort sur les SLA contractuels chiffrés publiés. Microsoft Defender Experts (Redmond WA, éditeur US Nasdaq MSFT, ~228k collaborateurs groupe) est l'offre MDR de l'éditeur lui-même, avec une plateforme Defender XDR + Sentinel obligatoire, un SOC global rotation mondiale, et trois SKUs distincts : Defender Experts for Hunting (TH seul), Defender Experts for XDR (MDR + TH), et Defender Experts Suite.

La question pour un acheteur français : si je suis déjà sur la stack Microsoft (E5, Sentinel, Defender XDR), dois-je prendre le MDR de l'éditeur (Microsoft Defender Experts) ou passer par un pure-player français qui orchestre ma stack Microsoft (Intrinsec) ? La réponse dépend de trois axes. La souveraineté d'abord : Intrinsec est français, Microsoft est US avec exposition CLOUD Act + FISA 702. La relation contractuelle et la qualité d'exécution ensuite : Intrinsec offre des SLA chiffrés publiés, Microsoft Defender Experts ne publie pas de SLA équivalents, support anglais principalement avec chat translation EN/ES/JA/PT mais pas FR. La qualif ANSSI enfin : Intrinsec triple qualif, Microsoft Defender Experts aucune.

Microsoft Defender Experts bénéficie cela dit d'un atout unique : être l'éditeur lui-même, avec accès complet aux données telemetry et intégration native maximale.

Intrinsec gagne sur tous les profils à composante souveraineté française réelle. Si l'organisation a une exigence réglementaire dure (OIV LPM, NIS2 secteur critique, marché public via UGAP, ETI régulée), Microsoft Defender Experts est disqualifié à l'entrée par l'absence totale de qualifs ANSSI et l'exposition CLOUD Act + FISA Section 702. Le projet Bleu (JV Capgemini/Orange/Microsoft) avance vers la qualification SecNumCloud (étape 1 validée avril 2025, cible H1 2026), mais il ne couvre que Azure + M365 core, PAS le service Defender Experts qui reste exécuté par Microsoft global.

Au-delà de la souveraineté, Intrinsec apporte trois atouts. Des SLA chiffrés publiés (alertes <5 min, prise en charge <15 min, IR <2 h, CERT <1 h) que Microsoft Defender Experts ne publie pas. Pour un acheteur qui veut piloter la performance par SLA contractuels, c'est décisif. Un threat hunting formalisé en 4 offres distinctes (hypothesis-driven, MITRE TTPs mapping, silent post-incident, co-construit), plus structuré que le hunting standard de Microsoft Defender Experts. La neutralité technologique enfin : Intrinsec accepte Sekoia, HarfangLab, Splunk, Microsoft, SentinelOne selon le choix du client. Un client qui ne veut pas être captif Microsoft trouve chez Intrinsec un partenaire modulable.

Reste deux réserves. La couverture H24 rotation mondiale délocalise une partie hors UE (Pologne, Canada, Roumanie, Tunisie, Singapour). Et l'autorité de réponse est limitée à réponse guidée + isolation endpoint en containment direct.

Microsoft Defender Experts reste un choix cohérent pour deux profils très spécifiques. Les grandes entreprises 100 % Microsoft (E5, Defender XDR, Sentinel déjà déployés) qui veulent maximiser la cohésion plateforme et accéder directement aux données telemetry de l'éditeur. Le MDR par l'éditeur lui-même apporte une intégration native maximale, la possibilité de remédiation active sur les 5 actions de containment, et un accès immédiat aux dernières détections Microsoft Threat Intelligence (Sentinel, Defender XDR, MSTIC). Les organisations qui veulent un MDR avec Microsoft Incident Response (ex-DART) inclus : pour les clients Defender Experts for XDR ou Suite, Microsoft IR est intégré — c'est une force opérationnelle réelle. La SDX dédiée à partir de 500 sièges donne un point de contact qualifié pour les grands comptes.

Reste plusieurs réserves majeures pour le marché FR. Aucune qualif ANSSI, disqualification sur LPM / OIV / marchés publics stricts. Exposition CLOUD Act + FISA Section 702 (Bleu ne couvrira pas le service Defender Experts). Support en anglais principalement, chat translation EN/ES/JA/PT mais pas FR — pour une ETI française qui veut un suivi quotidien en français avec des analystes francophones, c'est un manque. Pas de SLA chiffrés publics. Plateforme imposée à 100 % (zéro BYO EDR tiers).

Sur le marché français, Intrinsec passe sur la quasi-totalité des dossiers ETI et grand compte avec composante souveraineté. Microsoft Defender Experts reste compétitif uniquement sur un périmètre étroit : grandes entreprises 100 % Microsoft, sans contrainte ANSSI, qui acceptent un MDR en anglais et veulent maximiser la cohésion plateforme.

La logique d'arbitrage : si vous êtes déjà captif Microsoft sur tout votre SI et que la souveraineté n'est pas un critère, le MDR par l'éditeur peut faire sens. Mais dès qu'une composante souveraineté entre en jeu — même partielle — Intrinsec prend l'avantage sans appel.

Notre conseil pour la plupart des ETI françaises : Intrinsec orchestre votre Defender XDR / Sentinel avec un SOC FR, des SLA chiffrés, et un support francophone. C'est la synthèse la plus pragmatique. La logique « le MDR de l'éditeur sera forcément le meilleur » ne tient pas quand on intègre la dimension réglementaire et souveraineté. Reste deux nuances : Microsoft Defender Experts a un périmètre fonctionnel plus large nativement (endpoint + identité + cloud + réseau + email + SaaS) ; et la cohésion plateforme directe avec Microsoft Threat Intelligence est un atout réel qu'un orchestrateur ne peut pas égaler en profondeur.

Sur la plupart des dossiers français, Intrinsec orchestrant votre Microsoft Defender XDR avec SOC FR et SLA chiffrés est la synthèse pragmatique. Microsoft Defender Experts ne se justifie que pour des grands comptes 100 % Microsoft sans contrainte souveraineté. Voir aussi notre comparatif Almond vs Intrinsec et notre fiche « MDR sur Microsoft Sentinel ».