Cybersécurité OT : pourquoi les usines connectées changent la donne

Quand on parle de cybersécurité, on pense souvent aux serveurs d'entreprise, aux mots de passe ou aux phishing. Mais depuis quelques années, un autre monde est entré dans le viseur des attaquants : celui des systèmes industriels. Les automates, les robots, les capteurs et les chaînes de production sont désormais connectés, et leur protection ne ressemble plus à celle d'un réseau informatique classique. Bienvenue dans la cybersécurité OT.

Dans une usine, les enjeux sont différents. Une panne peut arrêter une ligne de production, mais un incident de sécurité mal géré peut endommager des machines, causer des blessures ou polluer l'environnement. L'approche traditionnelle de l'IT, où l'on peut redémarrer un serveur sans conséquence, ne s'applique pas. C'est là que des concepts comme le modèle Purdue ou la norme IEC 62443 prennent tout leur sens : ils structurent la sécurité autour des spécificités des réseaux OT.

Comprendre le terrain : IT, OT et leurs différences

Le réseau IT gère des données, des emails, des applications métier. Le réseau OT contrôle des processus physiques : température, pression, vitesse, ouverture de vannes. Les priorités ne sont pas les mêmes. En IT, la confidentialité et l'intégrité des données priment. En OT, c'est la disponibilité et la sécurité des personnes qui passent avant tout.

Cette différence fondamentale explique pourquoi les solutions de sécurité conçues pour l'IT ne fonctionnent pas toujours en OT. Un antivirus classique peut consommer trop de ressources sur un automate vieux de quinze ans. Un scan de vulnérabilité peut faire planter un contrôleur. De plus, les équipes qui opèrent ces systèmes n'ont souvent pas la même culture de la sécurité que leurs collègues IT. On voit encore des postes de supervision sous Windows XP non patchés, ou des liaisons directes entre le réseau de production et Internet via un simple routeur.

Le shadow IT aggrave la situation : des techniciens installent leurs propres points d'accès Wi-Fi, des imprimantes réseau ou des clés USB sans passer par la direction informatique. Chaque équipement non recensé devient une porte d'entrée potentielle pour un attaquant.

Les attaques ne sont plus de la science-fiction

L'actualité montre que les incidents ciblant l'OT sont en hausse. Des usines automobiles arrêtées par un ransomware, des stations d'épuration compromises, des réseaux électriques perturbés. Les groupes d'attaquants utilisent désormais des frameworks spécialisés comme MITRE ATT&CK ICS pour cartographier les faiblesses des systèmes industriels. Leurs méthodes incluent l'exploitation de vulnérabilités dans les protocoles SCADA, le détournement de sessions de maintenance à distance, ou encore le ciblage des API exposées sur le cloud hybride.

Les attaques de type ransomware, qui chiffrent les fichiers, peuvent paralyser une usine entière si elles atteignent le réseau OT. Mais le pire scénario est celui d'une attaque qui modifie le comportement des machines sans se faire remarquer : altérer une recette chimique, accélérer une turbine, ou désactiver un système de sécurité incendie. C'est pourquoi la détection d'intrusion industrielle est devenue un axe prioritaire pour les RSSI.

Les piliers d'une cybersécurité OT efficace

Construire une défense solide pour l'OT ne se résume pas à empiler des pare-feu. Il faut repenser l'architecture réseau.

Segmenter et isoler : le retour du réseau en couches

Le modèle Purdue, ou sa déclinaison dans l'IEC 62443, recommande de diviser le réseau en zones de confiance. Les équipements les plus critiques (automates, robots, capteurs) sont placés dans les niveaux les plus bas, avec un accès strictement contrôlé. La network segmentation empêche un attaquant de passer d'un poste de supervision à une machine-outil. Un pare-feu industriel, capable de comprendre les protocoles comme Modbus ou Profinet, filtre les flux entre les zones.

L'Air Gap, qui consistait à isoler physiquement le réseau OT de tout autre réseau, n'est plus tenable dans les usines connectées d'aujourd'hui. On a besoin de remonter des données vers le cloud hybride pour l'analyse prédictive, ou d'ouvrir des accès à des fournisseurs pour la maintenance. La solution n'est pas l'isolement total, mais un contrôle fin des communications.

Zero Trust : applicable en OT ?

Le modèle Zero Trust part du principe qu'aucun utilisateur ni équipement n'est fiable par défaut. Dans l'OT, cela se traduit par une authentification forte pour chaque accès, une micro-segmentation des flux, et une vérification continue des comportements. Mais attention : appliquer Zero Trust à l'aveugle peut bloquer des communications légitimes indispensables à la production. Il faut l'adapter, par exemple en utilisant un reverse proxy pour exposer les interfaces de supervision sans ouvrir le réseau interne.

Surveillance et détection : des yeux sur le réseau

Un système de détection d'intrusion conçu pour l'OT analyse les trames réseau à la recherche d'anomalies : une commande inhabituelle envoyée à un automate, un pic de trafic vers un serveur inconnu, une tentative d'écriture dans une mémoire protégée. Des dispositifs comme les honeypots industriels (des leurres imitant des équipements réels) permettent d'attirer les attaquants et d'étudier leurs techniques sans risquer la production.

Les logs générés par les automates, les SCADA et les pare-feu doivent être centralisés et corrélés. Sans cela, une attaque peut passer inaperçue pendant des semaines.

Gérer les correctifs sans arrêter l'usine

Le patch management est un casse-tête en OT. Appliquer un correctif de sécurité peut nécessiter un arrêt de production, ce qui coûte des milliers d'euros par heure. De plus, les fabricants d'automates ne publient pas toujours des mises à jour pour des équipements vieux de dix ans. La solution passe par une analyse de risque : prioriser les correctifs critiques, utiliser des correctifs virtuels via les pare-feu industriels, et mettre en place un processus de test sur un environnement dédié avant déploiement.

Les nouvelles frontières : 5G, OT-IoT et sécurité des API

L'arrivée du 5G industriel ouvre des possibilités : communication à très faible latence entre robots, mobilité des équipements, déploiement de capteurs sans fil. Mais elle élargit aussi la surface d'attaque. Chaque antenne, chaque terminal 5G devient un point d'accès potentiel. Il faut intégrer la sécurité dès la conception, avec un chiffrement des flux et une authentification des équipements.

Le concept d'OT-IoT (fusion entre l'informatique industrielle et l'Internet des objets) ajoute une couche de complexité : des capteurs bas coût, souvent sans capacité de mise à jour, connectés directement au cloud. Leur sécurité est souvent négligée. La sécurisation des API qui relient ces capteurs aux applications de supervision est devenue cruciale. Un attaquant peut exploiter une API mal configurée pour envoyer de fausses données ou prendre le contrôle d'un équipement.

Préparer l'incident : le plan qui sauve

Même avec la meilleure prévention, un incident peut arriver. L'important est d'avoir un incident response plan spécifique à l'OT. Ce plan doit définir qui prévenir, comment isoler une zone compromise sans tout arrêter, et comment restaurer la production en limitant les pertes. Il doit inclure des tests réguliers, comme des exercices de crise où l'équipe simule une attaque sur le SCADA.

Les autorités de régulation, comme l'ANSSI en France, publient des guides et des référentiels pour aider les industriels à structurer leur démarche. L'ISA (International Society of Automation) propose également des certifications basées sur l'IEC 62443. Ces ressources sont précieuses, mais elles ne remplacent pas une analyse fine des risques propres à chaque site.

Concilier production et sécurité : un équilibre à trouver

La cybersécurité OT n'est pas un projet technique qu'on déploie une fois pour toutes. C'est un processus continu qui demande de dialoguer avec les équipes de production, de comprendre leurs contraintes, et de trouver des compromis acceptables. Un ingénieur qui voit sa machine ralentir à cause d'un antivirus va chercher à le désactiver. Un responsable de production qui doit choisir entre arrêter une ligne pour un correctif ou prendre le risque d'une attaque fera un calcul économique.

L'enjeu est donc autant humain que technique. Former les opérateurs, intégrer la sécurité dans les cahiers des charges des nouveaux équipements, et mettre en place des indicateurs de sécurité adaptés à l'OT sont des étapes incontournables. Les solutions existent : pare-feu industriels, détection d'intrusion, segmentation réseau, plan de réponse aux incidents. Mais leur efficacité dépend de la capacité à les faire accepter et à les maintenir dans la durée.