Security Copilot : combien ça coûte, et pourquoi la réponse surprend
Avant tout chiffre, une mise en garde qui vaut pour l'ensemble de ce guide.
Les montants et règles ci-dessous datent de septembre 2026. Le modèle de licence a déjà changé une fois, en novembre 2025, et beaucoup de documentation en ligne décrit encore l'ancien. Les tarifs publics ne reflètent ni les remises négociées, ni les contrats passés par un revendeur, ni les variations régionales. Tout ce qui suit sert à préparer une conversation, jamais à remplacer un devis.
Si vous ne deviez retenir qu'une idée : le coût ne suit pas vos effectifs, il suit votre volume d'alertes. C'est ce qui surprend tout le monde, et ce qui fait déraper les budgets.
Ce qui se facture
Security Copilot ne se vend pas par personne. Il se facture en unités de calcul, appelées SCU pour Security Compute Unit.
Une question qui convoque beaucoup d'outils et beaucoup de données consomme plus qu'une question simple. Rien à voir avec le nombre de personnes qui posent ces questions.
Voici l'ordre de grandeur relatif des actions, à vérifier par la mesure chez vous plutôt qu'à recopier :
| Action | Poids relatif | Pourquoi |
|---|---|---|
| Question sur une seule machine ou un seul compte | Faible | Un outil interrogé, peu de données |
| Traduction d'une question en requête | Faible | Rien de massif n'est lu |
| Résumé d'un incident simple | Moyen | Plusieurs alertes à recouper |
| Résumé d'un incident touchant plusieurs produits | Élevé | Corrélation entre plusieurs sources |
| Séquence d'investigation complète | Élevé | Une chaîne de questions enchaînées |
| Agent de tri fonctionnant en continu | Dominant | Tourne sans arrêt, dimensionné par le volume d'alertes |
Cette dernière ligne est le cœur du sujet.
La règle qui fait déraper les budgets
Dans la quasi-totalité des déploiements, ce sont les agents autonomes qui dominent la consommation, pas les questions posées par des humains.
Un agent de tri ne dort pas. Il ne pose pas une question par heure comme un analyste : il traite tout ce qui arrive, en continu. Activer un agent double ou triple souvent la consommation du jour au lendemain.
La conséquence pratique : un budget se dimensionne sur le nombre d'alertes à traiter, pas sur le nombre de personnes dans l'équipe. Une organisation de 200 personnes très exposée au hameçonnage consommera davantage qu'une organisation de 800 personnes tranquille.
Retenez ce décalage, parce que l'enveloppe incluse, elle, est proportionnelle aux effectifs. Les deux ne varient pas ensemble.
Deux façons d'avoir de la capacité
flowchart TD
A["Besoin de capacite"] --> B{"Votre socle de<br/>licences"}
B -->|"Microsoft 365 E5<br/>ou E7 complet"| C["Enveloppe incluse<br/>sans surcout"]
B -->|"E3, ou E3 avec<br/>complements securite"| D["Achat de capacite<br/>obligatoire"]
C --> E["Depassement facture<br/>a l'usage"]
D --> F["Capacite reservee"]
D --> E
F --> G["Payee a l'heure pleine,<br/>meme inutilisee"]
E --> H["Sans plafond<br/>par defaut"]
Capacité réservée : vous réservez un nombre d'unités à l'avance. Elle se facture à l'heure pleine, même si vous ne consommez rien, et l'inutilisé ne se reporte pas d'une heure sur l'autre. C'est un pari : trop haut, vous payez du vide ; trop bas, vous basculez en dépassement.
Dépassement : ce qui est consommé au-delà, facturé à l'usage réel. Pratique, et porteur du piège principal.
Le dépassement n'a aucun plafond par défaut. Une séquence d'investigation mal écrite lancée en boucle, ou un agent qui absorbe un pic de plusieurs milliers de signalements, produit une facture que personne n'a vue venir.
Poser un plafond de dépassement et brancher une alerte budgétaire le premier jour fait partie de la configuration minimale. Ce n'est pas une optimisation, c'est un garde-fou.
Vérifiez d'abord si vous payez déjà pour
C'est la question à poser avant toute autre, et celle que beaucoup d'interlocuteurs manquent encore.
Depuis le 18 novembre 2025, Security Copilot est inclus dans les licences Microsoft 365 E5 et E7, sans surcoût. Le réflexe « il faut acheter de la capacité » n'est plus le point de départ par défaut.
| Élément | Valeur au 2026-09 |
|---|---|
| Allocation incluse | 400 SCU par mois pour 1 000 licences payantes |
| En dessous de 1 000 licences | Au prorata |
| Plafond de l'inclusion | 10 000 SCU par mois |
| Report du non consommé | Aucun, remise à zéro chaque mois |
| Activation | Automatique, sans démarche |
| Au-delà de l'allocation | Environ 6 USD par SCU, à l'usage |
Ce qui reste hors de l'inclusion et se facture séparément : le stockage et le calcul du lac de données du SIEM, certaines investigations de conformité, les automatisations externes, les licences d'agents édités par des tiers, et tout produit en dehors du socle E5.
Le piège E3, à traiter avant les tableaux
Avant de calculer quoi que ce soit, vérifiez le socle exact. L'inclusion vise E5 ou E7 complets.
Une organisation en E3 avec des compléments de sécurité obtient les mêmes produits de détection, mais aucune inclusion Security Copilot. Elle doit acheter de la capacité.
Et souvent, c'est pire : une organisation en E3 pur ne dispose même pas des produits que les cas d'usage supposent.
| Capacité nécessaire | E3 | E3 + compléments sécurité | E5 / E7 |
|---|---|---|---|
| Détection avancée sur les postes | Non | Oui | Oui |
| Protection d'identité avancée | Non | Oui | Oui |
| Détection sur identités et applications cloud | Non | Oui | Oui |
| Prévention de fuite de données, socle | Partiel | Partiel | Oui |
| Prévention de fuite sur les postes, étiquetage automatique | Non | Non | Oui |
| Détection des risques internes | Non | Non | Oui |
| Security Copilot inclus sans surcoût | Non | Non | Oui |
Pour une organisation de quelques centaines de postes, le passage à E5 revient souvent moins cher que E3 augmenté des compléments, tout en incluant Security Copilot. Faites confirmer les prix réels avant de trancher : c'est exactement le genre de calcul que les tarifs publics faussent.
Le raccourci qui ne fonctionne pas
La tentation est naturelle : « on met E5 uniquement sur l'équipe sécurité, ce sont eux qui s'en servent ».
Ça ne marche pas, et c'est contre-intuitif. Les licences de sécurité portent sur les utilisateurs surveillés, pas sur les analystes. Pour que l'outil analyse un incident survenu sur le poste d'un comptable, ce comptable doit être couvert.
Licencier dix administrateurs donne un assistant aveugle sur tout le reste du parc. Et un assistant aveugle ne dit pas qu'il est aveugle : il répond quand même, à partir de ce qu'il voit.
Il n'existe pas de raccourci propre ici. Soit vous couvrez le périmètre, soit vous assumez des angles morts explicitement documentés, pour que personne ne prenne une réponse partielle pour une réponse complète.
Ordres de grandeur
L'allocation étant proportionnelle, l'enveloppe incluse se calcule directement. Ces équivalents journaliers sont des moyennes, pas des garanties.
| Licences E5 payantes | Inclus par mois | Par jour environ | Ce que ça permet |
|---|---|---|---|
| 100 | 40 | 1,3 | Usage exploratoire. Un agent continu consomme tout |
| 250 | 100 | 3,3 | Usage humain confortable, un agent léger |
| 500 | 200 | 6,6 | Un à deux agents, plus l'usage humain |
| 1 000 | 400 | 13 | Plusieurs agents, équipe active |
| 2 500 | 1 000 | 33 | Équipe sécurité constituée |
| 5 000 | 2 000 | 66 | Équipe avec plusieurs agents |
| 25 000 et plus | 10 000 | 330 | Plafond atteint, tout le reste à l'usage |
Les profils qui débordent le plus souvent : forte exposition au hameçonnage, parc hétérogène avec beaucoup de vulnérabilités, politiques de prévention de fuite fraîchement activées produisant un pic d'alertes, ou plusieurs agents allumés le même jour.
Comment dimensionner sans deviner
Quatre étapes, dans cet ordre. La première est celle que presque personne ne fait, et sans elle tout le reste est de la fiction.
- Mesurez ce que vous traitez déjà. Incidents par semaine, signalements de hameçonnage par mois, alertes de fuite par jour. Ces trois chiffres, vous les avez dans vos outils actuels.
- Activez l'usage humain seul, deux à quatre semaines, et relevez la consommation réelle dans le tableau de bord. Vous avez maintenant une référence mesurée chez vous, pas un ordre de grandeur lu quelque part.
- Activez les agents un par un, en relevant l'écart avant et après chacun. Jamais deux le même jour : vous ne sauriez plus lequel coûte quoi.
- Posez le plafond de dépassement à un niveau qui laisse respirer sans autoriser la dérive, avec une alerte budgétaire en dessous.
Cette méthode a un effet secondaire utile : à la fin, vous savez ce que coûte chaque usage chez vous. C'est une donnée que vous pourrez réutiliser, et que personne ne peut vous vendre.
À retenir
- Le coût suit le volume d'alertes, pas les effectifs. L'enveloppe incluse, elle, suit les effectifs. Les deux ne varient pas ensemble.
- Les agents autonomes dominent la consommation, pas les humains.
- Vérifiez le socle avant de chiffrer. En E5 ou E7 complet, vous payez peut-être déjà pour.
- En E3, aucune inclusion, et souvent pas les produits nécessaires non plus.
- Licencier seulement l'équipe sécurité donne un outil aveugle sur le reste.
- Le dépassement est sans plafond par défaut. Posez-en un le premier jour.
- Mesurez avant d'activer, puis un agent à la fois.
Pour ce que l'outil fait réellement, voir Security Copilot ne détecte rien : ce qu'il fait vraiment. Pour ce qu'il faut vérifier côté accès avant de le brancher, voir Brancher une IA sur vos fichiers n'ouvre aucune porte.