En mai 2021, l’attaque du pipeline Colonial Pipeline aux Etats-Unis a provoqué une pénurie d’essence sur la côte Est pendant une semaine. En 2022, les cyberattaques contre les infrastructures énergétiques ukrainiennes ont montré que les systèmes industriels sont devenus des cibles stratégiques. La Normandie, avec son tissu industriel dense (agroalimentaire, chimie, énergie, logistique portuaire), n’est pas épargnée.
Ce guide explique les spécificités de la sécurité OT/ICS (Operational Technology / Industrial Control Systems) et comment protéger vos systèmes industriels.
IT vs OT : deux mondes qui convergent
| Critère | IT (informatique) | OT (industriel) |
|---|---|---|
| Priorité | Confidentialité des données | Disponibilité et sûreté |
| Cycle de vie | 3-5 ans | 15-30 ans |
| Mises à jour | Régulières (patch Tuesday) | Rares (arrêt de production requis) |
| Protocoles | TCP/IP, HTTPS | Modbus, OPC-UA, Profinet, BACnet |
| Conséquence d’une panne | Perte de données, arrêt métier | Dégâts physiques, risque humain |
| Antivirus/EDR | Standard | Souvent impossible (systèmes legacy) |
Le problème : l’Industrie 4.0 connecte les réseaux OT à l’IT (remontée de données de production, maintenance prédictive, IoT industriel). Cette convergence expose les systèmes industriels aux mêmes menaces que l’IT, sans les mêmes protections.
Les menaces spécifiques à l’OT
- Ransomware sur l’IT qui déborde sur l’OT : le cas le plus fréquent. L’attaquant compromet le réseau bureautique, puis pivote vers le réseau industriel non segmenté
- Attaques ciblées sur les automates (PLC) : modification des paramètres de production, sabotage physique (cas Stuxnet, Triton/Trisis)
- Exploitation de protocoles non sécurisés : Modbus, par exemple, n’a aucune authentification ni chiffrement par défaut
- Accès distant non sécurisé : les techniciens de maintenance se connectent souvent via TeamViewer ou des VPN mal configurés
- Systèmes legacy non patchés : Windows XP, Windows 7, automates avec firmware de 2010
Le modèle Purdue : segmenter IT et OT
Le modèle Purdue (ISA-95/IEC 62443) définit 6 niveaux de segmentation réseau pour isoler les systèmes industriels :
- Niveau 5 : Réseau entreprise (IT classique, messagerie, ERP)
- Niveau 4 : Réseau d’entreprise (serveurs IT, bases de données)
- Niveau 3.5 : DMZ industrielle (zone tampon entre IT et OT)
- Niveau 3 : Serveurs OT (historisation, MES, gestion de production)
- Niveau 2 : Supervision (SCADA, HMI)
- Niveau 1 : Contrôle (automates PLC, RTU)
- Niveau 0 : Processus physique (capteurs, actionneurs)
Règle d’or : aucun flux direct entre le niveau 5 (IT) et les niveaux 0-2 (OT). Tout passe par la DMZ industrielle (niveau 3.5).
10 mesures concrètes pour sécuriser vos systèmes industriels
- Segmenter les réseaux IT/OT avec des firewalls industriels (Fortinet, Palo Alto, Cisco). La DMZ industrielle est non négociable.
- Inventorier tous les équipements OT : automates, capteurs, switches industriels, bornes Wi-Fi. Vous ne protégez pas ce que vous ne connaissez pas.
- Supprimer les accès distants non contrôlés : remplacez TeamViewer par des solutions de Remote Access sécurisées avec MFA et journalisation.
- Surveiller le trafic réseau OT : des outils comme Nozomi Networks, Claroty ou Dragos détectent les anomalies sur les protocoles industriels.
- Sauvegarder les configurations automates : une sauvegarde régulière des programmes PLC permet de restaurer en cas de compromission.
- Durcir les postes HMI/SCADA : whitelisting applicatif, désactivation des ports USB, restriction des droits admin.
- Former les techniciens de maintenance : ils sont souvent le maillon faible (clés USB non contrôlées, mots de passe partagés).
- Planifier les mises à jour OT : définissez des fenêtres de maintenance pour patcher les systèmes critiques, même si c’est rare.
- Tester la résilience : exercice de crise cyber/OT au moins une fois par an, impliquant les équipes production et IT.
- Documenter le PRA industriel : procédure de reprise en mode dégradé si les automates sont compromis.
Normes et réglementations OT
- IEC 62443 : la norme de référence pour la cybersécurité des systèmes industriels (IACS)
- NIS 2 : étend les obligations de cybersécurité aux secteurs industriels essentiels (énergie, eau, transport, agroalimentaire)
- LPM (Loi de Programmation Militaire) : obligations pour les OIV (Opérateurs d’Importance Vitale)
- ISO 27019 : complément ISO 27001 spécifique au secteur de l’énergie
FAQ
Peut-on faire un pentest sur un réseau OT ?
Oui, mais avec des précautions spécifiques. Un pentest OT ne doit jamais perturber la production. On teste d’abord sur un environnement de lab, puis on effectue des tests passifs (écoute réseau, analyse de configuration) en production.
Par où commencer quand on n’a rien ?
La segmentation IT/OT et l’inventaire des équipements. Ces deux actions couvrent 60% du risque avec un investissement raisonnable.
Est-ce que ça concerne une PME industrielle de 50 personnes ?
Oui. Les ransomwares ne font pas de distinction de taille. Une PME agroalimentaire normande avec un automate non segmenté est une cible facile et rentable pour un attaquant.
Besoin d’un diagnostic sécurité OT pour votre site industriel ? Contactez RM3A, spécialiste cybersécurité en Normandie.
