Cybersécurité industrielle : sécuriser la convergence OT/IT

Pourquoi le risque industriel est-il d'une autre nature ?

Parce que la conséquence n'est pas une fuite de données mais un arrêt de production, chiffrable à l'heure. Et parce que les équipements concernés, automates et systèmes de supervision, ne peuvent souvent ni recevoir de correctif ni être redémarrés à la demande.

C'est la différence fondamentale avec un environnement bureautique. Dans une usine, redémarrer un serveur en pleine production n'est pas une gêne, c'est une perte sèche. Un automate qui pilote une presse a une durée de vie de quinze à vingt ans, tourne souvent sous un système d'exploitation que son éditeur ne maintient plus, et sa configuration a été validée par le constructeur de la machine : y appliquer une mise à jour peut invalider la garantie ou le certificat de conformité de l'équipement.

La conséquence méthodologique est directe : là où l'informatique de gestion répond par le correctif, l'informatique industrielle répond par l'isolement. On ne corrige pas ce qui ne peut pas l'être, on l'empêche d'être atteignable.

• Les actifs non corrigeables. Automates, systèmes de supervision, postes de conduite, équipements de métrologie. Ils restent en service bien au-delà du support de leur éditeur.
• Les protocoles industriels. Conçus pour la fiabilité et le déterminisme, pas pour l'authentification. Beaucoup ne prévoient aucun contrôle d'accès dans leur conception même.
• La disponibilité comme priorité absolue. Dans un environnement de gestion, on privilégie la confidentialité. Dans un environnement de production, l'ordre s'inverse : la disponibilité d'abord, l'intégrité ensuite.

Comment segmenter un réseau OT sans arrêter la production ?

Par une cartographie passive du trafic avant toute modification, puis une segmentation appliquée en dehors des fenêtres de production, zone par zone. On observe d'abord, on filtre ensuite en mode permissif, et on resserre seulement après avoir mesuré ce que cela casserait.

C'est la séquence que nous appliquons, et elle diffère de celle d'un réseau bureautique sur un point essentiel : l'observation est passive. Un balayage actif sur un réseau industriel peut faire basculer un automate ancien dans un état imprévu, ce qui est exactement l'incident que l'on cherche à éviter.

• Observer sans émettre. Relevé passif du trafic pour établir ce qui communique réellement avec quoi. Les protocoles industriels sont bavards et prévisibles, ce qui rend cette observation efficace.
• Découper par niveaux. Séparer la bureautique, la supervision et la conduite d'équipement selon une logique de niveaux, conformément aux principes des normes de la série IEC 62443. L'objectif minimal, souvent suffisant comme premier palier, est qu'un poste bureautique compromis ne puisse plus atteindre un automate.
• Filtrer d'abord en observation. Appliquer les règles en mode journalisation avant de bloquer, pour mesurer ce qui serait interrompu. C'est plus lent, et cela évite l'arrêt de ligne dû à un flux non identifié.
• Resserrer par paliers. Chaque palier est validé en production avant le suivant, avec un retour arrière préparé.

Comment établit-on l'inventaire des actifs connectés ?

Par une détection passive complétée d'un relevé physique sur site. C'est le premier livrable de nos mandats industriels, et il révèle systématiquement des équipements que l'organisation ignorait avoir sur son réseau.

Le contrôle est le premier de la liste des CIS Critical Security Controls, et c'est aussi celui que les organisations croient le plus souvent avoir déjà fait. Dans une usine, la réalité est qu'une machine achetée en 2015 est arrivée avec son propre boîtier de télémaintenance, qu'un intégrateur a laissé un modem de secours dans une armoire, et que personne n'a documenté le tout.

Ce que nous trouvons régulièrement : des accès de télémaintenance constructeur ouverts en permanence alors qu'ils ne devraient l'être qu'à la demande, des équipements de production raccordés directement au réseau bureautique par commodité de câblage, des postes de conduite avec un compte partagé dont le mot de passe est affiché sur l'armoire, et des clés USB utilisées comme moyen normal de transfert entre la supervision et la bureautique.

Aucun de ces constats ne relève d'une négligence individuelle. Ce sont des arrangements pratiques accumulés par des équipes dont la mission est de faire tourner la production, sans qu'on leur ait jamais donné l'alternative.

Pourquoi le Wi-Fi industriel se mesure-t-il sur site ?

Parce qu'une structure métallique, des racks remplis et des chariots en mouvement rendent toute prédiction sur plan inutilisable. La couverture réelle se relève sur place, en charge, avec les équipements qui l'utiliseront.

Les pertes de lien des terminaux embarqués sur chariots élévateurs et des terminaux de production sont un motif de mandat fréquent, et elles se traduisent directement en arrêts de ligne. La cause est rarement une insuffisance de puissance : c'est la réflexion sur les surfaces métalliques, l'occultation par des palettes stockées à hauteur variable, et les transitions entre points d'accès pendant qu'un chariot se déplace.

Nous relevons donc la couverture en conditions réelles, avec les équipements terminaux du client, en tenant compte du plan de stockage qui change au fil de l'année. Le dimensionnement qui en découle porte autant sur le positionnement et l'orientation des antennes que sur leur nombre.

Nous avons mené ce type d'intervention sur un site où les terminaux perdaient leur lien dans les zones à forte structure métallique, avec segmentation des réseaux OT à la suite. Le détail figure sur nos réalisations, avec la réserve d'usage sur nos propres mesures.

Questions fréquentes