Protéger ce que l'on ne connaît pas n'est pas possible. Or la majorité des sites industriels marocains ne disposent pas d'un inventaire complet de leurs actifs industriels. Sans cette visibilité, ni l'évaluation des risques, ni la gestion des vulnérabilités, ni la réponse à un incident ne peuvent s'appuyer sur autre chose que des suppositions.
Point clé : l'inventaire des actifs constitue le point de départ de toute démarche de cybersécurité industrielle. Il figure également parmi les exigences de l'IEC 62443 et des référentiels de la DGSSI.
Pourquoi un inventaire d'actifs OT est-il indispensable ?
Un inventaire complet permet de :
- Évaluer les risques : identifier les systèmes critiques et leur degré d'exposition
- Gérer les correctifs : savoir quelles versions de micrologiciel sont en service sur chaque équipement
- Segmenter le réseau : comprendre les flux de communication réels entre les actifs
- Répondre aux incidents : déterminer rapidement quels systèmes sont concernés
- Répondre aux exigences : l'IEC 62443 comme la loi 05-20 supposent un inventaire documenté
Étape 1 : Définir le périmètre
Commencez par les procédés dont l'arrêt aurait les conséquences les plus lourdes en matière de sécurité, de production ou d'environnement. Le modèle des zones et conduits de l'IEC 62443 fournit le cadre pour tracer ces limites. Un inventaire engagé partout à la fois est rarement mené à son terme.
Étape 2 : Découverte passive du réseau
Déployez une supervision passive qui analyse le trafic sans solliciter les équipements. Ces outils reconnaissent les protocoles industriels tels que Modbus, Profinet ou OPC UA et identifient automatiquement les actifs raccordés.
Attention : ne lancez jamais un balayage actif sur un réseau industriel sans préparation. Les équipements anciens peuvent cesser de fonctionner face à des requêtes qu'ils n'ont pas été conçus pour traiter, ce qui transformerait une mesure de sécurité en incident de production.
Étape 3 : Vérification manuelle
La supervision passive ne détecte pas les équipements qui produisent peu ou pas de trafic. Parcourez l'installation et consignez, pour chaque équipement :
- Fabricant, modèle et numéro de série
- Version du micrologiciel et état des correctifs
- Adresse IP, adresse matérielle et segment réseau
- Fonction exercée dans le procédé de production
- Service ou personne responsable
Étape 4 : Classifier et prioriser
Les conséquences d'une compromission varient fortement d'un équipement à l'autre. Évaluez chaque actif sur trois plans :
- Criticité : quelles seraient les conséquences sur la sécurité et la production en cas de défaillance ?
- Vulnérabilité : le micrologiciel est-il à jour et des vulnérabilités connues sont-elles publiées ?
- Accessibilité : depuis quelles zones l'équipement est-il atteignable ?
C'est la combinaison de ces trois critères qui détermine l'ordre des mesures. Un équipement vulnérable mais isolé appelle moins d'urgence qu'un équipement moins vulnérable accessible depuis le réseau bureautique.
Étape 5 : Maintenir l'inventaire
Un inventaire ponctuel perd sa valeur en quelques mois. Mettez en place :
- une détection continue des nouveaux équipements raccordés
- un suivi des modifications de micrologiciel et de configuration
- une revue trimestrielle de l'inventaire
- un référentiel centralisé tenant lieu de source unique
Erreurs courantes
- Ne recenser que les actifs informatiques. Automates, capteurs et commutateurs industriels échappent au recensement parce qu'ils ne relèvent pas du service informatique.
- Utiliser un tableur comme source de vérité. Il décroche de la réalité en quelques semaines.
- Ne désigner aucun responsable. Sans propriétaire identifié, l'inventaire n'est pas tenu à jour, quelle que soit la qualité du travail initial.
Besoin d'aide pour votre inventaire OT ?
Resotech établit la cartographie complète de vos actifs industriels, évalue les risques par système et vous remet une priorisation des actions.
Nous contacter Scan OT gratuit