MCO et MCS : deux maintiens complémentaires au service de la continuité

Un serveur peut tourner sans interruption depuis quatre ans et présenter une vulnérabilité critique connue depuis six mois. Il est parfaitement maintenu d’un côté, pas du tout de l’autre. C’est toute la distinction entre MCO et MCS, deux disciplines que le vocabulaire commercial mélange volontiers et que les contrats couvrent rarement ensemble. Ce guide pose la frontière entre les deux, explique pourquoi elles ne se substituent jamais l’une à l’autre et donne la méthode pour les combiner sur un parc existant.

Deux dispositifs, deux objectifs distincts

Le maintien en conditions opérationnelles (MCO)

Le maintien en conditions opérationnelles (MCO) regroupe l’ensemble des actions qui garantissent qu’un système continue de fonctionner et rend le service attendu. Il couvre la maintenance préventive et corrective, la disponibilité des pièces de rechange, les délais d’intervention et de rétablissement, ainsi que la gestion des évolutions matérielles.

Sa mesure est directe : taux de disponibilité, nombre d’incidents, respect des engagements de service (SLA). Un DSI sait généralement dire où en est son MCO, parce que les métiers le lui rappellent dès qu’un service s’arrête.

Le maintien en conditions de sécurité (MCS)

Le maintien en conditions de sécurité (MCS) regroupe les actions qui garantissent qu’un système conserve dans la durée le niveau de sécurité pour lequel il a été conçu. Il couvre la veille sur les vulnérabilités, l’application des correctifs, le suivi des configurations, la gestion des comptes à privilèges et la vérification périodique de la conformité aux référentiels retenus.

La notion n’a rien d’un terme marketing : l’ANSSI la formalise dans ses guides d’architecture. Ses recommandations relatives aux systèmes d’information sensibles ou de niveau Diffusion Restreinte consacrent une section dédiée au maintien en conditions de sécurité, distincte de celle traitant du maintien en conditions opérationnelles.

Où passe exactement la frontière

Les deux disciplines partagent le même parc et les mêmes équipes, mais ni les indicateurs, ni les déclencheurs, ni les compétences ne se recouvrent.

Critère	MCO	MCS
Objectif	Que le système fonctionne et rende le service attendu	Que le système conserve son niveau de sécurité dans le temps
Périmètre type	Matériel, pièces de rechange, remplacement, évolutions de capacité	Correctifs, configurations, vulnérabilités, comptes à privilèges
Déclencheur	Une panne, une dégradation de performance, une échéance de renouvellement	La publication d’une vulnérabilité, un changement de configuration, un audit
Indicateurs	Taux de disponibilité, délai d’intervention et de rétablissement, nombre d’incidents	Délai d’application des correctifs critiques, taux de conformité des configurations, vulnérabilités non traitées
Qui le porte le plus souvent	Exploitation et maintenance, souvent externalisée	Sécurité opérationnelle, souvent interne et sous-dotée
Effet d’un défaut	Interruption de service visible immédiatement	Exposition invisible jusqu’à l’incident

Pourquoi l’un ne remplace jamais l’autre

Un système disponible peut être vulnérable

C’est le cas de figure le plus fréquent et le plus silencieux. Un équipement stable, sans incident déclaré, sort progressivement du périmètre d’attention des équipes. Personne ne vérifie son niveau de correctif tant qu’il rend le service.

L’ANSSI relève dans son Panorama de la cybermenace 2025 qu’environ 29 % des vulnérabilités exploitées au cours de l’année l’ont été le jour de leur publication ou avant. Sur un parc dont le MCS n’est pas contractualisé, ce délai de réaction n’existe tout simplement pas.

Un système corrigé peut être indisponible

La réciproque existe aussi. Un correctif appliqué sans fenêtre de test, sur un équipement dont les pièces de rechange ne sont plus disponibles, peut provoquer l’incident qu’il devait prévenir. Le MCS sans MCO produit des systèmes sûrs mais fragiles.

L’Uptime Institute relève dans son analyse annuelle des pannes publiée en 2026 que 92 % des opérateurs interrogés attribuent une part de leur dernière panne majeure à l’erreur humaine – le non-respect des procédures étant cité dans 59 % de ces cas. Une opération de sécurité menée hors cadre opérationnel entre exactement dans cette catégorie.

Le point de collision : la fin de support constructeur

C’est là que les deux disciplines se séparent brutalement, et c’est le point que les contenus disponibles sur le sujet traitent le moins.

Quand un équipement sort du support constructeur, le MCO reste assurable. Un prestataire de tierce maintenance dispose des pièces, des compétences et des engagements de délai nécessaires pour maintenir la disponibilité, souvent à un coût inférieur au tarif constructeur. Le MCS, lui, perd sa source habituelle de correctifs firmware.

Une direction informatique qui prolonge son parc sans traiter ce point précis obtient un résultat trompeur : une disponibilité maintenue et une surface d’attaque qui s’élargit sans que rien ne le signale. La prolongation reste pertinente, à condition d’être assortie d’un traitement explicite du volet sécurité.

Ce qu’il faut retenir MCO et MCS répondent à deux questions différentes : le système fonctionne-t-il, et reste-t-il sûr. Un défaut de MCO se voit immédiatement, un défaut de MCS reste invisible jusqu’à l’incident. La fin du support constructeur est le moment où les deux trajectoires divergent, et où l’absence de contrat couvrant explicitement le second devient un risque.

Combiner MCO et MCS : la méthode en cinq étapes

La démarche s’applique à un parc existant et ne suppose aucune refonte préalable.

Étape 1 : cartographier le parc et son statut de support

Trois attributs suffisent pour démarrer : la référence de l’équipement, la criticité de ce qu’il porte, et son statut vis-à-vis du support constructeur. Le croisement fait apparaître la zone à traiter en priorité, celle des équipements critiques déjà sortis du support.

Étape 2 : définir les niveaux de service par segment

Un parc ne se traite pas de façon uniforme. Un serveur de production facturation et un serveur de préproduction n’appellent ni les mêmes délais de rétablissement, ni les mêmes délais d’application des correctifs. Fixer deux ou trois niveaux de service par segment évite de payer partout le niveau requis nulle part.

Étape 3 : vérifier ce que couvrent réellement les contrats en cours

La question à poser aux prestataires est précise : le contrat inclut-il le suivi des vulnérabilités et l’application des correctifs, ou uniquement le remplacement matériel et l’assistance en cas de panne ? Dans la plupart des contrats de maintenance standard, le second seulement.

Ce contrôle révèle presque toujours une zone grise entre deux prestataires, ou entre un prestataire et l’équipe interne. C’est dans cette zone que les correctifs ne s’appliquent pas.

Étape 4 : traiter explicitement la zone hors support

Pour les équipements sortis du support constructeur, trois réponses coexistent et se combinent : la tierce maintenance pour le volet opérationnel, des mesures compensatoires pour le volet sécurité lorsque le correctif n’existe plus, et le remplacement à iso-référence par du matériel reconditionné certifié quand l’équipement doit être renouvelé sans migration.

Les mesures compensatoires relèvent de l’architecture plutôt que du produit : segmentation renforcée du réseau, restriction des accès d’administration, supervision rapprochée des équipements concernés.

Étape 5 : piloter avec des indicateurs communs

Deux indicateurs suffisent à rendre la combinaison lisible en comité de direction. Le taux de disponibilité par segment, pour le MCO. Le délai moyen d’application des correctifs critiques, pour le MCS. Suivis ensemble, ils montrent immédiatement si un segment progresse sur un axe au détriment de l’autre.

Ce que la combinaison change sur le budget de maintenance

L’arbitrage se présente souvent comme une contrainte : ajouter du MCS revient à ajouter une ligne budgétaire. Le raisonnement gagne à être inversé.

La prolongation de la durée de vie des équipements encore dimensionnés pour leur charge, sous contrat de tierce maintenance, libère de la marge sur le coût total de possession (TCO) du parc. Cette marge finance le volet sécurité, c’est-à-dire précisément ce qui manque dans la plupart des contrats existants.

La condition tient au processus. Prolonger sans traçabilité, sans stock de pièces garanti et sans traitement du volet correctif déplace le risque au lieu de le réduire. Prolonger dans un cadre documenté, avec les deux maintiens couverts, produit un parc à la fois plus durable et mieux tenu.

Questions fréquentes
sur le MCO et MCS