Repenser la sécurité des technologies opérationnelles : pourquoi une approche centrée sur l'informatique n'est pas suffisante
La sécurité OT n'est pas un problème informatique, et c'est en la traitant comme telle que la plupart des organisations se trompent.
Discutez avec un expert
Pendant des décennies, les technologies opérationnelles ont évolué dans leur propre univers. Les systèmes qui géraient les usines, les réseaux électriques et les stations d’épuration étaient isolés de par leur conception — et cette isolation constituait la stratégie de sécurité. Personne à l’extérieur du bâtiment ne pouvait y accéder ; par conséquent, personne à l’extérieur du bâtiment ne représentait une menace.
Ce monde n'existe plus. Et d'après mon expérience, la plupart des équipes de sécurité n'ont pas encore pris la mesure de ce que cela implique réellement.
La convergence s'est produite plus rapidement que le changement de mentalité
L'adoption de l'IIoT, les opérations à distance, l'accès des fournisseurs, cloud … Tous ces éléments ont, sans que l'on s'en rende compte, exposé les environnements OT à la même surface d'attaque connectée à Internet que celle qui vise toutes les autres parties de l'entreprise. Les gains d'efficacité sont bien réels. Mais l'exposition aux risques l'est tout autant.
Le plus grand risque en matière de sécurité des systèmes OT ne réside pas dans un pirate informatique sophistiqué, mais dans un réseau convergé défendu avec une approche non convergée.
Ce que je veux dire par là, c'est que les réflexes en matière de sécurité informatique — appliquer rapidement les correctifs, isoler systématiquement les systèmes, privilégier la confidentialité — ne s'appliquent pas sans autre aux environnements OT. Lorsqu'un compromis contrôle une chaîne de production ou une sous-station électrique, le mettre hors ligne n'est pas une simple mesure de précaution. C'est un incident opérationnel. Parfois, il s'agit même d'un incident lié à la sécurité.
Cinq différences que tout responsable de la sécurité doit comprendre
Après plus de 25 ans passés à mener des projets de convergence OT/IT dans les secteurs de l'industrie, de l'énergie et des infrastructures critiques, voici les lacunes que je constate le plus souvent :
1. Priorité : la disponibilité prime sur la confidentialité
Dans le domaine informatique (IT), la confidentialité est primordiale. Dans le domaine des technologies opérationnelles (OT), ce sont la disponibilité et la sécurité physique qui constituent la véritable priorité. La mise hors ligne d'un système peut entraîner un arrêt de la production ou présenter un danger physique — et pas seulement un risque lié aux données.
2. Application de correctifs : opérations de routine vs opérations à haut risque
Les systèmes informatiques suivent des cycles de mise à jour réguliers. Les équipements OT fonctionnent souvent sur du matériel obsolète qui ne peut pas être mis à jour sans interruption de service planifiée — voire qui ne peut pas être mis à jour du tout sans être entièrement remplacé.
3. Durée de vie : années ou décennies
Le matériel informatique est renouvelé tous les 3 à 5 ans. Les équipements OT peuvent rester en service pendant 15 à 25 ans. Vous devez souvent sécuriser une infrastructure qui a été conçue avant même l'apparition des cybermenaces modernes.
4. Réponse aux incidents : isoler ou évaluer ?
Dans le domaine informatique, la première mesure à prendre consiste à isoler un compromis . Dans le domaine des technologies opérationnelles (OT), cette même mesure peut nécessiter au préalable une évaluation de la sécurité physique. Une mauvaise réaction peut s'avérer plus dangereuse que la menace elle-même.
5. Visibilité : secteurs matures vs secteurs émergents
Les environnements informatiques disposent généralement d'un inventaire et d'un suivi rigoureux de leurs actifs. De nombreux environnements OT ne disposent toujours pas d'une visibilité élémentaire sur les éléments connectés au réseau, ce qui complique considérablement la détection précoce des menaces.
La discussion qu'il faut avoir avant qu'un incident ne nous y oblige
La réglementation rattrape son retard : la directive NIS2 étend désormais explicitement les obligations de sécurité aux opérateurs d’infrastructures essentielles. Mais la conformité n’est pas la raison pour laquelle il faut agir. La raison pour laquelle il faut agir, c’est que les organisations qui s’y prennent correctement ne se contentent pas d’ajouter des outils de sécurité informatique aux réseaux OT. Elles mettent en place, dès le départ, une stratégie de sécurité convergente, qui tient compte des différents modes de défaillance propres à chaque environnement.
C'est un point de départ très différent — et cela nécessite une discussion tout à fait différente.
Si vous êtes confronté à la convergence entre les métiers et l'informatique, j'aimerais savoir quels ont été les principaux obstacles rencontrés au sein de votre organisation.
