Qu’est-ce que la sécurité OT ? Protection des sites industriels
Qu’est-ce que la sécurité OT ? La sécurité OT (Operational Technology Security) désigne la protection des technologies opérationnelles, c’est-à-dire des composants matériels et logiciels qui pilotent des processus physiques dans des secteurs comme l’industrie, l’énergie ou les infrastructures critiques. Elle englobe les systèmes de contrôle industriel, les environnements SCADA (Supervisory Control and Data Acquisition) et les automates programmables. La sécurité OT se distingue de la cybersécurité traditionnelle par ses objectifs prioritaires : dans ce domaine, la disponibilité des installations est la priorité absolue, bien au-delà de la confidentialité ou de l’intégrité des données.
Points clés
- Quels systèmes sont protégés ? Les systèmes qui contrôlent les machines, les installations et les processus physiques, qu’il s’agisse de lignes de production ou de sous-stations électriques.
- La différence majeure : Dans le domaine OT, la disponibilité prime sur la confidentialité. Un correctif susceptible de paralyser une installation peut s’avérer plus coûteux que le risque qu’il est censé atténuer.
- Le défi principal : Des cycles de vie dépassant parfois vingt ans, des protocoles hérités dépourvus d’authentification et une interconnexion croissante avec les systèmes informatiques (IT).
Pourquoi la TO fonctionne différemment de la TI
Dans la cybersécurité classique de la TI (technologie de l’information), la séquence repose généralement sur la confidentialité, l’intégrité et la disponibilité. En revanche, dans la TO (technologie opérationnelle), cette priorité est inversée. En premier lieu, la disponibilité est garantie, car une ligne de production à l’arrêt ou une sous-station électrique hors service entraînent des conséquences physiques et économiques immédiates. La sécurité au sens de *safety* – c’est-à-dire la protection des personnes et de l’environnement – s’ajoute comme une dimension indépendante.
L’horizon temporel diffère également. Alors que les systèmes de TI sont remplacés en quelques années, les installations industrielles fonctionnent pendant vingt ans ou plus. De nombreux systèmes de contrôle traditionnels utilisent des protocoles comme Modbus ou Profinet, développés à l’origine sans authentification. Les profils plus récents et les protections via des *gateways* peuvent réduire les risques, mais dans les environnements existants, la sécurité dépend souvent de la conception du réseau. Une mise à jour nécessite des fenêtres de maintenance planifiées, plutôt que des correctifs spontanés.
C’est la durée pendant laquelle les installations de production restent généralement en service, dépassant largement le cycle de vie des systèmes classiques de TI.
Source : BSI
Où émergent les risques
Pendant longtemps, les réseaux OT (Technologie Opérationnelle) sont restés physiquement isolés du monde extérieur. Cette séparation s’estompe progressivement, car la maintenance à distance, l’analyse des données et la connexion aux systèmes d’entreprise apportent des avantages indéniables. Cependant, cette interconnexion augmente la surface d’attaque. Un réseau informatique (TI – Technologie de l’Information) compromis peut ainsi servir de porte d’entrée vers la production.
À cela s’ajoute le fait que de nombreuses installations ne disposent pas de fonctions de sécurité intégrées et ne peuvent pas être modernisées facilement. Les outils classiques de la TI, comme les scans agressifs de vulnérabilités, peuvent même interférer avec les contrôles sensibles. C’est pourquoi la cybersécurité OT exige des méthodes adaptées, plutôt qu’un simple transfert des pratiques de la TI.
Premières étapes pour protéger les réseaux OT
- ✓Établir un inventaire complet de toutes les installations et protocoles OT
- ✓Segmenter les réseaux OT de ceux de la TI et contrôler les points de transition
- ✓Protéger et enregistrer les accès de maintenance à distance
- ✓Adapter les plans de réponse aux spécificités de l’OT, comme les fenêtres de maintenance
Le cadre pour la sécurité OT
La série de normes IEC 62443 constitue la référence centrale dans ce domaine. Elle s’adresse aux exploitants, aux intégrateurs et aux fabricants, en définissant les exigences de sécurité tout au long du cycle de vie d’une installation. Parmi celles-ci figurent l’évaluation des risques avec les zones et conduits (partie 62443-3-2), ainsi que les exigences relatives aux systèmes et les niveaux de sécurité (partie 62443-3-3). En Allemagne, l’Office fédéral de la sécurité des systèmes d’information (BSI, Bundesamt für Sicherheit in der Informationstechnik) classe notamment l’OT (Operational Technology) dans les composants IND du compendium de protection de base des TI, comme par exemple l’IND.1 Technologie d’automatisation et de contrôle des processus. Aux États-Unis, le NIST SP 800-82 complète la protection des systèmes de contrôle industriel. Le modèle de Purdue, qui sépare les niveaux depuis le contrôle de terrain jusqu’à l’informatique d’entreprise, est souvent utilisé comme structure de référence.
D’un point de vue réglementaire, l’OT suscite une attention croissante. La directive NIS2 et le cadre KRITIS (Infrastructures critiques) concernent de nombreux exploitants d’installations industrielles. Pour l’industrie DACH (Allemagne, Autriche et Suisse), dotée d’un secteur manufacturier particulièrement développé, la sécurité OT est devenue un élément essentiel de l’obligation de résilience cybernétique.
Comment les technologies de l’information (TI) et les technologies opérationnelles (TO) convergent
Pendant longtemps, les équipes des technologies de l’information (TI) et des technologies opérationnelles (TO) ont travaillé de manière séparée, avec des objectifs et des langages propres. La TI se concentrait sur les cycles de correctifs et la confidentialité, tandis que la TO priorisait la disponibilité et la sécurité des installations. Avec l’augmentation de l’interconnexion, cette séparation n’est plus viable. Une cyberattaque initiée sur le réseau d’entreprise peut, par exemple, finir par impacter la production.
La solution réside dans l’établissement d’une gouvernance commune, plutôt que dans l’absorption d’une discipline par l’autre. Il est crucial d’attribuer une responsabilité globale – généralement au RSSI (Responsable de la Sécurité des Systèmes d’Information) – qui gère la sécurité des TI et des TO sous une même bannière, sans pour autant ignorer les spécificités de la TO. Des évaluations des risques partagées, des plans de réponse coordonnés et une vision unifiée de la situation rapprochent progressivement ces deux mondes.
Regard sur la chaîne d’approvisionnement
Un risque souvent sous-estimé dans les technologies opérationnelles (OT, *Operational Technology*) réside dans l’accès externe. Les installations sont fréquemment maintenues à distance par les fabricants ou les intégrateurs, qui disposent de droits étendus et d’accès propres. Chacun de ces accès représente une potentielle porte d’entrée qu’il convient de traiter avec la même rigueur que les comptes internes.
Les accès de maintenance à distance, contrôlés et traçables, s’avèrent bien plus sûrs que les connexions permanentes ouvertes en permanence. L’accès n’est activé qu’en cas de besoin, est lié à une personne identifiée et fait l’objet d’une documentation systématique. Par ailleurs, il est essentiel d’intégrer des exigences de sécurité strictes dans les contrats passés avec les fournisseurs, afin de garantir une protection traçable de l’ensemble de la chaîne, depuis le fabricant jusqu’à l’installation.
Foire aux questions
Chaque question est verrouillée. Un clic déverrouille la réponse.
Quelle est la différence entre l’IT (Technologies de l’Information) et l’OT (Technologies Opérationnelles) ?
La direction des systèmes d’information (DSI) traite des données, tandis que l’automatisation industrielle (OT, Operational Technology) contrôle les processus physiques. Dans la DSI, la confidentialité des données est généralement la priorité absolue, alors que dans l’OT, ce sont la disponibilité des systèmes, la sécurité des personnes et celle des équipements qui priment.
Que signifient les sigles ICS, SCADA et PLC ?
Les ICS (Industrial Control Systems) désignent les systèmes de contrôle industriel dans leur ensemble. Les systèmes SCADA (Supervisory Control and Data Acquisition) permettent de superviser et de contrôler des processus industriels répartis géographiquement. Les PLC (Programmable Logic Controllers), ou automates programmables industriels, sont des contrôleurs dédiés à la régulation de machines individuelles.
Pourquoi ne peut-on pas simplement appliquer un correctif à OT ?
Les installations fonctionnent généralement 24 heures sur 24. Une mise à jour peut interrompre leur fonctionnement ou compromettre la certification. Les correctifs nécessitent des fenêtres de maintenance planifiées et des tests approfondis, plutôt que d’être appliqués de manière spontanée.
Quel est le standard qui régit la sécurité OT ?
La série de normes IEC 62443 constitue la référence centrale. Elle définit les exigences applicables aux exploitants, intégrateurs et fabricants tout au long du cycle de vie.
La cybersécurité opérationnelle (OT Security) est-elle impactée par la directive NIS 2 ?
Dans la plupart des cas, oui. La directive NIS2 et le cadre réglementaire KRITIS (systèmes d’infrastructures critiques) s’appliquent à de nombreux exploitants d’installations industrielles et d’infrastructures essentielles. Leurs systèmes OT (technologie opérationnelle) sont donc soumis aux obligations de sécurité prévues par ces textes.
Les choix de la rédaction
À lireLe plus faible des fournisseurs ouvre l’installation critique
Plus du réseau MBF Media
cloudmagazinUn modèle pour tout sera en 2026 une erreur architecturaleDigital ChiefsCinq endroits où les logiciels de chaîne d’approvisionnement échouent
