Sécurité OT : protéger les infrastructures industrielles
Qu’est-ce que la sécurité OT ? La sécurité OT (Operational Technology Security) désigne la protection des technologies opérationnelles, c’est-à-dire des composants matériels et logiciels qui pilotent les processus physiques dans les secteurs de la production, de l’énergie et des infrastructures. Cela inclut les systèmes de contrôle industriel, les environnements SCADA et les automates programmables. La sécurité OT suit des priorités différentes de celles de la cybersécurité classique, car la disponibilité des installations y prime avant tout.
Points clés
- Ce qu’elle protège : Les systèmes qui contrôlent les machines, les installations et les processus physiques, qu’il s’agisse d’une chaîne de production ou d’un poste de transformation électrique.
- La différence : Dans l’OT, la disponibilité prime sur la confidentialité. Un correctif susceptible de paralyser une installation peut coûter plus cher que le risque qu’il est censé éliminer.
- Le défi : Des cycles de vie de vingt ans ou plus, des protocoles hérités dépourvus d’authentification, ainsi qu’une interconnexion croissante avec l’informatique classique.
Pourquoi l’OT fonctionne différemment de l’IT
Dans la cybersécurité classique, l’ordre de priorité est souvent la confidentialité, l’intégrité, puis la disponibilité. En OT (Operational Technology), cet ordre est inversé. La disponibilité prime en premier, car une chaîne de production à l’arrêt ou un poste de transformation électrique en panne entraîne immédiatement des conséquences physiques et économiques. La sécurité au sens de la *safety* (protection des personnes et de l’environnement) s’ajoute comme une dimension distincte.
L’échelle temporelle diffère également. Si les systèmes IT sont remplacés en quelques années, les installations industrielles fonctionnent pendant vingt ans, voire plus. De nombreux systèmes de contrôle classiques utilisent des protocoles comme Modbus ou Profinet, conçus à l’origine sans authentification. Les profils plus récents et les sécurisations par passerelles peuvent limiter les risques, mais dans les infrastructures existantes, la protection repose souvent sur la conception du réseau. Une mise à jour nécessite des fenêtres de maintenance planifiées plutôt qu’une application spontanée.
C’est la durée pendant laquelle les installations de production restent souvent en service, bien au-delà du cycle de vie des systèmes IT classiques
Source : BSI
Où naissent les risques
Pendant longtemps, les réseaux OT (Operational Technology) étaient physiquement isolés du monde extérieur. Cette séparation s’estompe, car la télémaintenance, l’analyse des données et la connexion aux systèmes d’entreprise offrent des avantages indéniables. Avec la mise en réseau, la surface d’attaque s’élargit. Un réseau informatique compromis peut ainsi devenir une porte d’entrée vers la production industrielle.
À cela s’ajoute une difficulté majeure : de nombreuses installations ne disposent pas de fonctions de sécurité intégrées et ne peuvent pas être facilement mises à niveau. Les outils classiques de l’IT, comme les scans agressifs de vulnérabilités, risquent même de perturber les commandes sensibles. La cybersécurité OT exige donc des méthodes adaptées, plutôt qu’une simple transposition des pratiques IT.
Premières étapes pour sécuriser l’OT
- ✓Établir un inventaire complet de tous les équipements et protocoles OT
- ✓Segmenter les réseaux OT de l’IT et contrôler les points de passage
- ✓Sécuriser et tracer les accès de télémaintenance
- ✓Adapter les plans de réponse aux spécificités OT, comme les fenêtres de maintenance
Le cadre pour la sécurité des OT
La norme IEC 62443 s’est imposée comme la référence centrale. Elle s’adresse aux exploitants, intégrateurs et fabricants, et définit les exigences de sécurité tout au long du cycle de vie d’une installation, notamment l’évaluation des risques avec les zones et conduits (partie 62443-3-2), ainsi que les exigences système et les niveaux de sécurité (partie 62443-3-3). En Allemagne, l’ANSSI (BSI) classe les OT notamment dans les modules IND du catalogue de protection de base (IT-Grundschutz-Kompendium), par exemple IND.1 Technique de conduite des processus et d’automatisation. Aux États-Unis, la référence NIST SP 800-82 complète la sécurisation des systèmes de contrôle industriel. Le modèle de Purdue est souvent utilisé comme structure, car il sépare les niveaux allant de la commande de terrain à l’informatique d’entreprise.
Sur le plan réglementaire, les OT gagnent en importance. La directive NIS2 et le cadre KRITIS couvrent de nombreux exploitants d’installations industrielles. Pour l’industrie DACH, marquée par une forte production industrielle, la sécurité des OT est désormais un élément central de l’obligation de résilience cybernétique.
Comment l’IT et l’OT peuvent-elles collaborer
Pendant longtemps, les équipes IT et OT ont travaillé de manière cloisonnée, avec des objectifs et un langage propres à chacune. L’IT raisonnait en cycles de correctifs et en confidentialité, tandis que l’OT privilégiait la disponibilité et la sécurité des installations. Avec l’augmentation des interconnexions, cette séparation n’est plus tenable. Une cyberattaque initiée via le réseau bureautique peut, sinon, se propager jusqu’à la production.
La solution passe par une gouvernance commune plutôt que par la domination de l’une des deux disciplines sur l’autre. Une responsabilité transversale, souvent confiée au RSSI (Responsable de la Sécurité des Systèmes d’Information), permet de superviser la sécurité IT et OT sous un même toit, sans pour autant ignorer les spécificités de l’OT. Des évaluations de risques partagées, des plans d’intervention coordonnés et une vision unifiée de la situation permettent d’unir progressivement ces deux mondes.
Analyse de la chaîne d’approvisionnement
Un risque souvent sous-estimé dans les technologies opérationnelles (OT) est l’accès externe. Les installations sont fréquemment entretenues à distance par les fabricants ou les intégrateurs, avec des droits étendus et des accès dédiés. Chacun de ces accès représente une porte d’entrée potentielle qui doit être traitée avec la même rigueur que les comptes internes.
Il est judicieux de privilégier des accès de maintenance à distance contrôlés et tracés plutôt que des connexions permanentes. L’accès n’est activé qu’en cas de besoin, est lié à une personne spécifique et fait l’objet d’un enregistrement. En complément, il est essentiel d’intégrer des exigences de sécurité dans les contrats avec les fournisseurs, afin d’assurer une protection traçable de la chaîne, du fabricant jusqu’à l’installation.
Foire aux questions
Chaque question est verrouillée. Un clic déverrouille la réponse.
Quelle est la différence entre l’informatique (IT) et l’informatique industrielle (OT) ?
L’informatique (IT) traite des informations, tandis que l’OT (technologie opérationnelle) contrôle les processus physiques. Dans l’IT, la confidentialité est généralement la priorité, alors que dans l’OT, ce sont la disponibilité et la sécurité des personnes et des installations qui priment.
Que signifient ICS, SCADA et API (Automate programmable industriel) ?
Les ICS (Industrial Control Systems) constituent le terme générique désignant les systèmes de contrôle industriel. Les SCADA (Supervisory Control and Data Acquisition) désignent quant à eux les systèmes de supervision et de contrôle des processus industriels répartis. Enfin, les PLC (automates programmables industriels) sont des systèmes qui pilotent des machines individuelles.
Pourquoi ne peut-on pas simplement appliquer des correctifs aux technologies OT (technologies opérationnelles) ?
Les installations fonctionnent souvent 24 heures sur 24. Une mise à jour peut perturber le fonctionnement ou compromettre la certification. Les correctifs nécessitent des fenêtres de maintenance planifiées et des tests approfondis, plutôt que d’être déployés de manière spontanée.
Quel standard s’applique à la cybersécurité des systèmes OT (Operational Technology) ?
La norme IEC 62443 sert de référence centrale. Elle définit des exigences pour les exploitants, les intégrateurs et les fabricants tout au long du cycle de vie des systèmes.
La cybersécurité des technologies opérationnelles (OT) est-elle concernée par la directive NIS2 ?
Dans de nombreux cas, oui. La directive NIS2 et le cadre KRITIS (systèmes critiques d’information) s’appliquent à de nombreux exploitants d’installations industrielles et d’infrastructures dont les systèmes OT (technologie opérationnelle) sont donc soumis aux obligations de sécurité.
Les choix de la rédaction
À lireLe plus faible des fournisseurs ouvre l’installation critique
Plus du réseau MBF Media
cloudmagazinUn modèle pour tout sera en 2026 une erreur architecturaleDigital ChiefsCinq endroits où les logiciels de chaîne d’approvisionnement échouent
