Transposer une politique de sécurité bureautique à un environnement industriel produit deux résultats : soit elle est refusée par les équipes de production, soit elle est appliquée et provoque un arrêt.
Les principes de base restent valables. Les priorités s’inversent.
L’inversion des priorités
En informatique de gestion, l’ordre habituel est confidentialité, intégrité, disponibilité.
En environnement industriel, il devient disponibilité, intégrité, confidentialité — et la sécurité des personnes prime sur les trois. Un système d’arrêt d’urgence indisponible est un risque physique, pas seulement un incident informatique.
Conséquence concrète : une mesure qui, en cas de doute, bloque par défaut est inacceptable sur une chaîne de production. Le raisonnement « en cas de problème on coupe » ne s’applique pas.
Ce qui ne peut pas être fait comme ailleurs
Les correctifs
Un automate certifié pour un procédé ne se met pas à jour sans revalidation. Les fenêtres d’arrêt sont annuelles, parfois plus espacées. Certains équipements ont vingt ans et ne recevront jamais de correctif.
La réponse n’est pas de patcher malgré tout, mais de traiter le risque autrement — cloisonnement strict, accès restreint, surveillance renforcée, acceptation formelle du résiduel. Même logique que pour les systèmes non patchables, mais généralisée.
L’analyse active du réseau
Un scan de vulnérabilités classique peut faire tomber un automate. Sur ces environnements, l’observation passive du trafic est la règle, l’analyse active l’exception encadrée.
L’authentification
Un opérateur devant intervenir en urgence sur un poste de conduite ne peut pas être bloqué par une double authentification. Les compensations passent par le contrôle d’accès physique et le cloisonnement, pas par la contrainte à l’ouverture de session.
Ce qui fonctionne
Le cloisonnement, avant tout le reste
La séparation entre le réseau de gestion et le réseau industriel est la mesure structurante. Les modèles de référence organisent ces environnements en niveaux, avec une zone tampon contrôlant les échanges.
C’est une application exigeante de la segmentation, avec une contrainte supplémentaire : on ne peut pas observer les flux en coupant, il faut d’abord écouter longtemps.
L’inventaire
Sur ces parcs, l’inventaire est souvent inexistant : équipements installés par des intégrateurs successifs, documentation perdue, matériels ajoutés sans traçabilité. C’est pourtant le préalable absolu.
La maîtrise des accès distants
Les accès de télémaintenance des équipementiers sont un point d’entrée majeur : souvent permanents, parfois par des liaisons dédiées non maîtrisées, rarement journalisés. Voir sécuriser les accès distants et la chaîne d’approvisionnement.
La détection passive
Le trafic industriel est très répétitif : les mêmes équipements échangent les mêmes messages selon des cycles stables. Cette régularité rend la détection d’anomalies plus efficace qu’en bureautique, où la normalité est floue.
Le cadre applicable
La série IEC 62443 est le référentiel international pour la sécurité des systèmes d’automatisation et de contrôle industriels. Elle introduit les notions de zones, de conduits et de niveaux de sécurité.
L’ANSSI publie des guides dédiés à la cybersécurité des systèmes industriels, avec une classification par niveau de criticité.
Côté réglementaire, l’énergie, l’eau, les transports et la santé figurent à l’annexe I de NIS 2 : beaucoup d’industriels sont désormais entités essentielles.
Par où commencer
- Inventorier — équipements, versions, connexions, responsables.
- Cartographier les flux réels entre gestion et industriel, par observation passive.
- Fermer les accès de télémaintenance permanents.
- Établir la zone tampon et n’autoriser que les flux nécessaires.
- Mettre en place une détection passive sur le réseau industriel.
Les deux premiers points occupent souvent plusieurs mois. Les sauter garantit l’échec des suivants.
Sources
- Série IEC 62443 — sécurité des systèmes d’automatisation et de contrôle industriels
- ANSSI — guides sur la cybersécurité des systèmes industriels
- Directive (UE) 2022/2555 (NIS 2), annexe I
Aller plus loin
Nous intervenons sur ces architectures en sécurité réseau et en audit 360, avec les précautions propres à ces environnements.