Industrie & manufacturier
Cybersécurité industrielle : sécuriser la convergence OT/IT
Dans une usine, la sécurité informatique se mesure en heures de production. Nous intervenons sur des environnements où l’on ne peut ni arrêter la ligne, ni mettre à jour l’automate.
L’essentiel
- La contrainte dominante est l’arrêt de ligne, et elle interdit les méthodes habituelles.
- Beaucoup d’équipements de production ne peuvent être ni corrigés ni redémarrés : on les isole.
- L’inventaire des actifs connectés est le premier livrable, et il surprend toujours.
- La couverture sans fil en environnement métallique se mesure sur site, jamais sur plan.
Sur cette page
- Dans une usine, la conséquence se chiffre en heures de production
- Sur un réseau OT, on observe sans émettre avant de toucher à quoi que ce soit
- L’inventaire des actifs connectés est le premier livrable, et il surprend toujours
- La couverture sans fil se relève sur site, jamais sur plan
- Questions fréquentes
Dans une usine, la conséquence se chiffre en heures de production
Vous ne pouvez ni arrêter la ligne pour appliquer un correctif, ni mettre à jour l’automate sans risquer d’invalider la garantie de la machine. La conséquence d’un incident n’est pas ici une fuite de données : c’est un arrêt de production, chiffrable à l’heure.
Un automate qui pilote une presse vit quinze à vingt ans, tourne souvent sous un système que son éditeur ne maintient plus, et sa configuration a été validée par le constructeur. Là où l’informatique de gestion répond par le correctif, l’informatique industrielle répond par l’isolement : on ne corrige pas ce qui ne peut pas l’être, on l’empêche d’être atteignable.
Deux traits suivent. Les protocoles industriels, conçus pour le déterminisme, ne prévoient souvent aucun contrôle d’accès. Et l’ordre des priorités s’inverse : la disponibilité passe devant tout.
Sur un réseau OT, on observe sans émettre avant de toucher à quoi que ce soit
Un balayage actif peut faire basculer un automate ancien dans un état imprévu, c’est-à-dire provoquer exactement l’incident qu’on cherche à éviter. La cartographie est donc passive, et la segmentation vient ensuite, zone par zone, hors des fenêtres de production.
- Observer sans émettre. Relevé passif du trafic pour établir ce qui parle à quoi. Les protocoles industriels sont bavards et prévisibles, ce qui rend l’observation efficace.
- Découper par niveaux. Bureautique, supervision et conduite d’équipement, selon les principes de la série IEC 62443. Premier palier souvent suffisant : qu’un poste bureautique compromis n’atteigne plus un automate.
- Filtrer d’abord en observation. Appliquer les règles en journalisation avant de bloquer, pour mesurer ce qui serait interrompu.
- Resserrer par paliers. Chaque palier validé en production avant le suivant, avec un retour arrière préparé.
L’inventaire des actifs connectés est le premier livrable, et il surprend toujours
Il se construit par détection passive complétée d’un relevé physique sur site. C’est le premier contrôle de la liste des CIS Critical Security Controls, et aussi celui que les organisations croient le plus souvent avoir déjà fait.
La réalité d’une usine : une machine achetée il y a dix ans est arrivée avec son propre boîtier de télémaintenance, un intégrateur a laissé un modem de secours dans une armoire, et personne n’a documenté le tout.
Nous trouvons régulièrement des accès constructeur ouverts en permanence, des équipements de production raccordés au réseau bureautique par commodité de câblage, un compte de conduite partagé affiché sur l’armoire. Rien de cela ne relève d’une négligence individuelle : ce sont des arrangements accumulés par des équipes dont la mission est de faire tourner la production.
La couverture sans fil se relève sur site, jamais sur plan
Une structure métallique, des racks remplis et des chariots en mouvement rendent toute prédiction logicielle inutilisable. La couverture réelle se mesure sur place, en charge, avec les équipements qui l’utiliseront.
Les pertes de lien des terminaux embarqués se traduisent directement en arrêts de ligne, et la cause est rarement une insuffisance de puissance : c’est la réflexion sur les surfaces métalliques, l’occultation par des palettes stockées à hauteur variable, et les transitions entre points d’accès pendant qu’un chariot se déplace. Le dimensionnement porte donc autant sur le positionnement et l’orientation des antennes que sur leur nombre.
Ce que nous observons sur le terrain
le donneur d’ordres comme déclencheur
Dans une bonne part des mandats manufacturiers que nous menons, le déclencheur n’est pas un incident mais un questionnaire de donneur d’ordres, assorti d’une échéance. La PME découvre qu’elle doit décrire sa gestion des accès, ses sauvegardes et ses délais de correction, et qu’une réponse incomplète peut la faire écarter d’un renouvellement.
C’est un déclencheur sain, parce qu’il rend le sujet concret pour une direction qui y voyait une dépense sans retour. C’est aussi un piège si l’on traite le questionnaire comme un exercice de rédaction : les grands acheteurs vérifient de plus en plus.
Questions fréquentes
Intervenez-vous sur des automates anciens non maintenus ?
Oui, et sans y toucher. Un automate dont la configuration a été validée par le constructeur ne doit pas être mis à jour à l’aveugle : cela peut invalider une garantie ou un certificat de conformité. La réponse est l’isolement, et les contrôles se placent au niveau du réseau.
Que faire des accès de télémaintenance de nos fournisseurs de machines ?
Les encadrer plutôt que les supprimer, car ils sont souvent contractuellement nécessaires : accès activé à la demande, limité au seul équipement concerné, authentifié nominativement, journalisé. La plupart des constructeurs acceptent ce cadre quand il est demandé.
Nos terminaux perdent leur lien Wi-Fi. Est-ce un problème de puissance ?
Rarement. En environnement métallique, la cause habituelle est la réflexion sur les surfaces, l’occultation par du stockage dont la hauteur varie, et la transition entre points d’accès. Augmenter la puissance aggrave parfois la situation. Le diagnostic passe par un relevé sur site, avec vos propres terminaux.
Un donneur d’ordres nous envoie un questionnaire de sécurité. Que répondre ?
Exactement ce qui est vrai, en signalant les écarts et en joignant un plan de correction daté. Une affirmation non étayée découverte lors d’un audit fournisseur coûte davantage que l’aveu initial. Nous établissons l’état réel, puis priorisons les écarts bloquants pour le contrat.
Qui doit porter le sujet, la production ou l’informatique ?
Les deux, et c’est le point d’organisation à régler avant la technique. La production détient la connaissance des machines et des fenêtres d’arrêt, l’informatique le réseau et les accès. Porté par un seul des deux, le chantier casse la ligne ou n’est jamais autorisé.
Commencez par savoir ce qui est branché sur votre réseau
Un premier échange pour situer votre parc industriel, vos contraintes de production et les exigences de vos donneurs d’ordres. Sans engagement, avec une synthèse écrite.
Sources
- ISA/IEC 62443, série de normes sur la sécurité des systèmes d’automatisation et de contrôle industriels · principes de découpage en zones et conduits
- CIS Critical Security Controls · inventaire des actifs, premier contrôle de la liste
- Centre canadien pour la cybersécurité · orientations sur la protection des systèmes de contrôle industriel
- CISA, Known Exploited Vulnerabilities Catalog · priorisation des correctifs sur les équipements exposés
Pour aller plus loin
Réseau & connectivité
Wi-Fi haute densité, segmentation et architecture multi-sites.
SIRIS
La sécurité gérée en continu pour les manufacturiers sans équipe TI.
Tous les secteurs
Les quatre verticales et leurs contraintes dominantes.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.