Comparer un EDR classique à une approche de type Critical System Protection revient à mesurer deux outils conçus pour des réalités opérationnelles distinctes. L’EDR surveille les comportements suspects sur des postes de travail administrés. La protection des systèmes critiques couvre un périmètre plus large, où la sûreté de fonctionnement prime sur la seule détection de malwares. Cet article confronte ces deux logiques sur des critères concrets : périmètre couvert, méthode de détection, contraintes réglementaires et limites documentées.
Critical System Protection et EDR classique : tableau comparatif des approches
| Critère | EDR classique | Critical System Protection |
|---|---|---|
| Périmètre cible | Postes Windows, Linux, macOS administrés | Systèmes industriels (ICS/OT), infrastructures vitales, postes isolés |
| Méthode de détection | Analyse comportementale, signatures, télémétrie en temps réel | Surveillance réseau passive, listes blanches applicatives, contrôle d’intégrité |
| Déploiement d’agent | Agent obligatoire sur chaque terminal | Approches sans agent fréquentes (monitoring réseau OT, découverte passive d’actifs) |
| Dépendance cloud | Forte (console cloud, mises à jour de signatures) | Faible à nulle (environnements air-gapped courants) |
| Cadre réglementaire associé | Recommandations ANSSI, normes ISO 27001 | NIS2, IEC 62443, exigences de sûreté de fonctionnement |
| Capacité à garantir un état sûr du procédé | Non | Non à elle seule (nécessite les équipes d’exploitation et les systèmes de sécurité de procédé) |
Ce tableau pose un premier constat : les deux approches ne répondent pas à la même question. L’EDR demande « un comportement suspect s’exécute-t-il sur ce poste ? ». La protection des systèmes critiques demande « ce procédé physique fonctionne-t-il dans des paramètres sûrs ? ».
Pourquoi un agent EDR ne suffit pas sur un système industriel OT
Dans un environnement IT classique, l’installation d’un agent EDR sur chaque terminal est la norme. L’agent collecte la télémétrie, corrèle les événements et déclenche des réponses automatisées. Sur un poste bureautique ou un serveur cloud, cette logique fonctionne.
Sur un automate programmable, un système SCADA ou un contrôleur de procédé industriel, la situation change radicalement. Des retours d’expérience récents sur des solutions d’endpoint protection spécialisées OT montrent que même un agent indiquant un poste « propre » ne garantit pas que le procédé physique est dans un état sûr. Seules les équipes d’exploitation, d’ingénierie de contrôle et les systèmes de sécurité de procédé peuvent vérifier la cohérence des capteurs, le fonctionnement des interverrouillages et la position des actionneurs.
Cette limite a des conséquences directes sur le choix d’architecture. Un EDR classique déployé sur un poste de supervision OT détectera un ransomware ciblant Windows. Il ne détectera pas une manipulation de consigne envoyée directement à un automate via le réseau industriel.
La montée des approches passives et sans agent
Depuis 2024, les approches passives gagnent du terrain dans la protection des systèmes critiques. Le monitoring réseau OT et la découverte passive d’actifs permettent d’inventorier les équipements connectés et de repérer les communications anormales sans installer de logiciel sur des machines souvent impossibles à patcher.
- Le monitoring réseau passif analyse le trafic industriel sans interférer avec les automates, ce qui évite tout risque de perturbation du procédé
- La découverte passive d’actifs identifie les équipements présents sur le réseau OT, y compris ceux qui ne figurent dans aucun inventaire officiel
- Ces approches complètent un EDR déployé sur les postes de supervision, sans le remplacer sur la couche IT
L’EDR et le monitoring passif ne sont donc pas concurrents. Ils couvrent des couches différentes d’une même infrastructure.
Exigences NIS2 et IEC 62443 : l’EDR n’est pas une réponse réglementaire suffisante
Les analyses de la directive NIS2 appliquée aux environnements OT, publiées entre 2024 et 2026, convergent sur un point : NIS2 ne prescrit jamais l’usage d’un EDR. La directive exige des mesures « appropriées », démontrables par une analyse de risques conduite au niveau des systèmes et des zones, selon la méthodologie IEC 62443-3-2.
Pour une entreprise soumise à NIS2 qui exploite des systèmes industriels, démontrer la conformité passe par plusieurs étapes que l’EDR seul ne couvre pas :
- Segmentation du réseau OT en zones et conduits selon IEC 62443
- Analyse de risques formalisée identifiant les menaces spécifiques à chaque zone
- Mise en place de mesures proportionnées au niveau de risque identifié, qui peuvent inclure un EDR sur les postes IT mais aussi du monitoring réseau, du contrôle d’accès physique ou de la redondance matérielle
- Documentation et traçabilité des mesures pour les audits de conformité
Un EDR couvre une partie du volet « détection et réponse » de cette chaîne. Il ne remplace ni la segmentation réseau ni l’analyse de risques OT. Une entreprise qui déploierait uniquement un EDR sur ses postes de supervision en pensant satisfaire NIS2 s’exposerait à un écart de conformité lors d’un audit.
Quel choix selon le profil de risque de l’entreprise
Le critère déterminant n’est pas le budget, mais la nature des actifs à protéger. Une entreprise dont l’infrastructure repose exclusivement sur des postes de travail, des serveurs et des services cloud trouvera dans un EDR classique une couverture adaptée. La visibilité sur les terminaux, la corrélation comportementale et la réponse automatisée répondent aux menaces courantes : ransomwares, mouvements latéraux, exfiltration de données.
Pour une organisation qui opère des systèmes industriels, des infrastructures de transport, de l’énergie ou de la santé connectée, la protection des systèmes critiques exige une architecture multicouche. L’EDR y joue un rôle, mais limité à la couche IT. Le reste de la protection repose sur le monitoring réseau OT, les systèmes instrumentés de sécurité et les procédures d’exploitation.
Le piège du « tout-en-un »
Certains éditeurs positionnent leur solution EDR comme une réponse globale à la cybersécurité industrielle. Les retours terrain montrent que la protection d’endpoint ne peut pas satisfaire seule les exigences de sûreté de fonctionnement. Un agent qui remonte une alerte sur un poste de supervision n’a aucune visibilité sur l’état réel d’une vanne, d’un capteur de pression ou d’un interverrouillage mécanique.
Choisir entre EDR et Critical System Protection revient souvent à constater qu’il ne s’agit pas d’un choix exclusif. Les deux approches couvrent des surfaces d’attaque et des objectifs de sécurité différents. L’EDR protège les terminaux IT. La protection des systèmes critiques protège un procédé physique et sa continuité. Le vrai risque est de croire qu’une seule de ces couches suffit.
