Industrie Magazine : cybersécurité OT, les risques qui montent en usine

Une usine peut tourner 24 heures sur 24, mais une attaque réussie n’a besoin que de quelques minutes pour tout arrêter. Dans l’industrie, le risque ne se limite plus au vol de données : il se mesure en lignes de production à l’arrêt, en lots rebutés, en livraisons manquées et, parfois, en sécurité physique compromise.

Dans les pages d’Industrie Magazine, la montée en puissance de la cybersécurité OT (Operational Technology) n’a plus rien d’un sujet de niche. La convergence entre IT et OT, l’explosion des accès distants et la numérisation des systèmes industriels poussent les usines dans une zone de turbulences où les risques augmentent plus vite que les budgets et les compétences disponibles.

Pourquoi les attaques OT progressent : convergence IT/OT, accès à distance, sous-traitance

Les environnements industriels étaient historiquement isolés, conçus pour durer, et pilotés par des automatismes robustes. Cette logique résiste mal à la réalité actuelle : l’usine est désormais connectée, instrumentée, et dépend d’un écosystème de partenaires. Trois moteurs expliquent la hausse des incidents et l’intérêt croissant pour la cybersécurité OT.

La convergence IT/OT ouvre des ponts… et des brèches

La promesse est séduisante : relier supervision, maintenance, qualité, traçabilité et ERP pour gagner en productivité. Mais connecter des réseaux OT à des systèmes IT, c’est aussi importer des menaces conçues pour les postes de travail et les serveurs. Un ransomware qui se propage dans un réseau bureautique peut atteindre des machines critiques si la segmentation est insuffisante ou si des comptes à privilèges circulent entre domaines.

Dans beaucoup de sites, la séparation est plus administrative que technique : mêmes équipes, mêmes outils, parfois mêmes plages d’adressage. Or les systèmes industriels (PLC, SCADA, DCS) ne réagissent pas comme des serveurs classiques : un redémarrage impromptu, une latence réseau ou une mise à jour intempestive peuvent perturber la production.

Les accès distants se multiplient, souvent sans gouvernance

Maintenance à distance, support éditeur, astreintes, intégrateurs : l’accès distant est devenu un accélérateur opérationnel. Il est aussi une porte d’entrée privilégiée. Des VPN mal configurés, des comptes partagés, une authentification faible, ou un poste de prestataire compromis suffisent à faire basculer un site.

La difficulté tient à l’empilement : solutions historiques, boîtiers de télémaintenance, exceptions temporaires devenues permanentes, et outils « rapides » mis en place en urgence. Sans inventaire fiable et sans journalisation, l’usine perd la maîtrise de qui se connecte, à quoi, et quand.

La chaîne de sous-traitance élargit la surface d’attaque

Une usine ne fonctionne pas seule. Elle s’appuie sur des fabricants de machines, des éditeurs, des intégrateurs, des infogérants. Chaque lien peut transporter un risque : identifiants réutilisés, firmware non maîtrisé, poste de technicien infecté, ou mises à jour téléchargées depuis une source non vérifiée.

Dans l’esprit d’Industrie Magazine, la question devient très concrète : quelle est la politique d’accès des prestataires, quel niveau d’exigence contractuelle, et quelles preuves de sécurité sont réellement demandées avant de connecter un équipement au réseau de production ?

Les scénarios qui font mal : arrêt de ligne, sabotage discret, dérive qualité

En OT, la cyberattaque ne se résume pas à un écran noir. Elle peut être progressive, silencieuse, et se traduire par des écarts difficiles à diagnostiquer. Plusieurs scénarios reviennent sur le terrain, avec des impacts très différents mais un point commun : un coût opérationnel immédiat.

Le ransomware qui gèle l’atelier

Le cas le plus médiatisé reste le ransomware : chiffrement de serveurs, indisponibilité de l’ordonnancement, des recettes, de la supervision ou des historiques. Même si les automates continuent parfois à exécuter leur logique, la perte de visibilité et de pilotage pousse souvent à l’arrêt par sécurité. Les redémarrages sont longs : validation, tests, remise en cohérence des versions, vérification des sauvegardes.

La modification de paramètres process, presque invisible

Plus insidieux : l’attaquant ne bloque pas, il altère. Une consigne de température, un seuil de pression, une vitesse de convoyeur, une recette de mélange. La production sort, mais la qualité dérive. Ce type d’attaque vise le sabotage économique : rebuts, rappels, surconsommation d’énergie, dégradation d’équipements, et perte de confiance des clients.

Dans des systèmes industriels complexes, la trace peut être difficile à retrouver si les journaux sont incomplets, si les changements ne sont pas versionnés, ou si l’accès aux automates n’est pas finement contrôlé.

La compromission via un poste d’ingénierie ou un serveur de supervision

Les postes d’ingénierie (stations de programmation PLC) concentrent des privilèges élevés. Ils contiennent parfois des bibliothèques de programmes, des accès aux automates et des outils de téléchargement. Une compromission de ces postes est critique : elle donne accès au cœur de l’OT. Même logique pour les serveurs SCADA/HMI, souvent au centre des flux et des décisions opérateur.

Pourquoi l’OT reste vulnérable : héritage technique, patching difficile, visibilité limitée

La cybersécurité OT ne se traite pas comme l’IT. Les contraintes de disponibilité, la diversité des équipements et la longévité des installations compliquent l’application des bonnes pratiques. Trois obstacles reviennent dans la majorité des audits.

Des équipements conçus pour durer, pas pour être exposés

Une machine-outil ou une ligne d’emballage peut rester en service 15 à 30 ans. Les automates, cartes réseau, systèmes d’exploitation embarqués ou logiciels de supervision ne suivent pas toujours le rythme des mises à jour. Certains composants reposent sur des versions anciennes, parfois sans support éditeur, et ne peuvent pas être remplacés rapidement sans arrêt long ou investissement lourd.

Le patch management se heurte à la production

En IT, patcher est une routine. En OT, c’est un projet. Chaque mise à jour doit être testée pour éviter un effet de bord sur le process. Les fenêtres d’arrêt sont rares, l’accès aux bancs de test est limité, et les équipes ne veulent pas prendre le risque d’un incident provoqué par une mise à jour. Résultat : des vulnérabilités restent ouvertes plus longtemps, augmentant les risques d’exploitation.

Une visibilité souvent insuffisante sur les actifs et les flux

On ne protège pas ce que l’on ne voit pas. Beaucoup de sites ne disposent pas d’un inventaire à jour des équipements OT, des versions de firmware, des connexions inter-sites, des modems, ou des accès prestataires. Sans cartographie des flux, la segmentation réseau se fait à l’aveugle. Sans collecte d’événements, la détection d’anomalies arrive trop tard.

Plan d’action pragmatique : segmentation, inventaire, sauvegardes, supervision

La bonne approche n’est pas de « tout sécuriser d’un coup », mais de réduire rapidement l’exposition et d’augmenter la capacité de détection et de reprise. Les meilleures feuilles de route OT partent du terrain : actifs critiques, dépendances, contraintes de production, puis priorisation. Voici les mesures qui offrent généralement le meilleur rapport efficacité/effort.

Segmenter le réseau OT, réellement

La segmentation est le socle. Elle limite la propagation d’une attaque et encadre les flux nécessaires. Concrètement : séparation des zones (bureautique, supervision, cellule/atelier, machines), filtrage strict, et création d’une zone tampon (souvent appelée DMZ industrielle) pour les échanges avec l’IT. L’objectif n’est pas la complexité, mais la maîtrise : qui parle à qui, sur quel protocole, et pour quel besoin.

Mettre sous contrôle les accès distants

Chaque accès doit être identifié, justifié, tracé. Les pratiques robustes incluent : authentification multifacteur, comptes nominaux, droits minimaux, suppression des comptes partagés, approbation à la demande, enregistrement des sessions sensibles, et bastion d’administration. Pour les prestataires, la règle d’or est simple : accès temporaire, périmètre réduit, et journaux consultables.

Sauvegarder ce qui permet de redémarrer : recettes, programmes, configurations

Les sauvegardes OT ne se limitent pas aux serveurs. Il faut inclure les programmes d’automates, les recettes, les configurations HMI/SCADA, les paramètres variateurs, et la documentation d’architecture. Et surtout : tester la restauration. En situation de crise, le temps se joue sur la capacité à reconstruire un environnement propre, vite, sans improvisation.

Superviser et détecter : des signaux faibles aux alertes actionnables

La détection OT doit respecter les contraintes industrielles : collecte passive quand c’est possible, corrélation avec les événements IT, et règles adaptées aux protocoles industriels. L’objectif n’est pas d’inonder l’équipe d’alertes, mais de repérer les comportements anormaux : nouveau poste inconnu, téléchargement de programme en dehors des créneaux, changements de configuration, ou flux inhabituels entre zones.

• Inventaire : liste des actifs OT, versions, criticité, propriétaires.
• Cartographie : flux essentiels, dépendances, points de passage vers l’IT.
• Journalisation : traces d’accès, modifications, événements de supervision.
• Procédures : modes dégradés, arrêt sécurisé, redémarrage contrôlé.

Compétences et gouvernance : faire travailler OT, IT et direction sur les mêmes priorités

Le principal piège est organisationnel : traiter l’OT comme un sous-dossier de l’IT, ou l’inverse. Une stratégie crédible de cybersécurité OT repose sur une gouvernance commune : mêmes objectifs, même langage de risque, et arbitrages assumés.

Traduire la cyber en impacts industriels

La direction arbitre plus facilement quand les enjeux sont formulés en impacts mesurables : heures d’arrêt, taux de rebut, pénalités contractuelles, risques HSE, et capacité à livrer. C’est aussi la manière la plus efficace de prioriser : une mesure de sécurité qui réduit fortement le risque d’arrêt de ligne vaut souvent plus qu’une conformité théorique.

Former au bon niveau, sans demander à l’atelier de devenir expert

Les opérateurs, automaticiens et mainteneurs n’ont pas vocation à devenir analystes SOC. En revanche, ils doivent reconnaître les signaux d’alerte (comportement anormal d’une HMI, périphérique inconnu, message inhabituel), appliquer des règles simples (supports amovibles, mots de passe, procédures de changement), et savoir qui contacter. Côté IT, il faut comprendre les contraintes de disponibilité et les cycles de validation propres aux systèmes industriels.

Mesurer les progrès, pas seulement les intentions

Un programme OT efficace se pilote avec quelques indicateurs : taux d’actifs inventoriés, segmentation effective, couverture des sauvegardes testées, nombre d’accès distants sous bastion, délais de correction sur périmètre critique, et résultats d’exercices de crise. Dans l’esprit d’Industrie Magazine, ce sont ces métriques qui transforment la sécurité en capacité opérationnelle.

La réalité est claire : plus l’usine se connecte, plus les risques s’élargissent, et plus la cybersécurité OT devient une condition de continuité industrielle. Les sites qui s’en sortent le mieux ne sont pas ceux qui promettent le « zéro incident », mais ceux qui savent précisément ce qu’ils ont, qui contrôle quoi, et comment redémarrer proprement après un choc. C’est souvent là que se joue, au quotidien, la différence entre un incident contenu et une semaine de production perdue.