Vos pare-feu sont configurés. Votre segmentation réseau est en place. Vos systèmes de détection surveillent chaque paquet qui franchit le périmètre. Des sommes considérables ont été engagées pour empêcher les attaquants d'entrer. Reste la question de ceux qui se trouvent déjà à l'intérieur.

La menace interne figure parmi les risques les plus sous-estimés. Le collaborateur qui connaît vos systèmes, qui sait où sont stockées les données sensibles et qui dispose des accès aux automates et aux postes de supervision peut causer en quelques minutes des dommages qu'un attaquant extérieur mettrait des mois à produire. Il n'a pas à franchir votre pare-feu : il dispose d'un badge.

68 %
des organisations ont connu entre 21 et plus de 40 incidents internes en 2025
67 jours
délai moyen pour contenir un incident interne
750 000 $
coût moyen par incident interne

Ces trois chiffres proviennent du Cost of Insider Risks Global Report 2026 du Ponemon Institute. La proportion d'organisations connaissant plus de vingt incidents par an est passée de 57 % en 2024 à 68 % en 2025, tandis que le délai de containment s'est réduit de 81 à 67 jours sur la même période.

Les trois visages de la menace interne

La menace interne n'est pas homogène. Elle recouvre trois situations distinctes, chacune appelant des contre-mesures différentes. Les proportions indiquées ci-dessous découlent de la fréquence relative des incidents relevée par Ponemon.

L'initié malveillant

Il s'agit du collaborateur ou du sous-traitant qui agit délibérément contre l'entreprise. Les motivations varient : ressentiment après une sanction ou un licenciement, appât du gain par la revente de données ou de secrets industriels, conviction personnelle, ou recrutement par un acteur criminel.

Manifestation en environnement industriel : l'automaticien qui, avant son départ, modifie des seuils d'alarme ou introduit une fonction dormante dans un programme automate. Le technicien qui cède les schémas de l'installation à un concurrent. L'opérateur qui neutralise volontairement une sécurité.

Proportion : environ un quart des incidents internes.

L'initié négligent

Ce collaborateur ne cherche pas à nuire, mais crée des vulnérabilités par défaut de formation ou par recherche de simplicité. Il réutilise le même mot de passe, connecte un support trouvé, ouvre un lien frauduleux, ou raccorde un routeur mobile au réseau industriel afin de faciliter une intervention.

Manifestation en environnement industriel : l'opérateur qui partage le mot de passe du poste de supervision avec toute l'équipe par commodité. Le technicien qui raccorde son téléphone personnel au réseau industriel. L'ingénieur qui transmet des schémas par messagerie personnelle parce que l'accès distant lui paraît trop lent.

Proportion : plus de la moitié des incidents internes. C'est de loin la première source.

L'initié compromis

Ici, les identifiants du collaborateur ont été dérobés par un attaquant extérieur, le plus souvent par hameçonnage, par logiciel malveillant ou à la faveur d'une fuite de mots de passe. L'intéressé n'a commis aucune faute, mais son compte est utilisé avec l'ensemble de ses privilèges. C'est aussi la catégorie dont le coût unitaire est le plus élevé.

Manifestation en environnement industriel : l'ingénieur dont l'accès distant est compromis à la suite d'un courriel frauduleux. L'administrateur dont le mot de passe apparaît dans une fuite et qui l'employait également pour le réseau industriel. Le sous-traitant dont l'ordinateur infecté est raccordé au réseau de l'usine.

Proportion : environ un cinquième des incidents internes.

Incidents industriels réels liés à la menace interne

Deux affaires documentées illustrent la portée du risque en environnement industriel.

Maroochy Shire (Australie, 2000). Un ancien intervenant d'un intégrateur, éconduit lors d'une candidature à un poste permanent, utilise un équipement radio pour transmettre des commandes au système de supervision de la station d'épuration. Environ 800 000 litres d'eaux usées non traitées sont déversés dans des parcs et des cours d'eau. Plusieurs semaines s'écoulent avant que les dysfonctionnements soient reconnus comme des actes délibérés, ce qui constitue l'enseignement principal de cette affaire.

Tesla (2020). Un salarié est approché par un groupe criminel qui lui propose un million de dollars pour installer un logiciel malveillant sur le réseau de l'usine. Le salarié alerte les autorités fédérales et la tentative échoue. L'affaire documente néanmoins une pratique établie : le recrutement d'initiés comme voie d'accès, à un coût jugé acceptable par les attaquants au regard du gain escompté.

À ces cas s'ajoute une catégorie récurrente, moins spectaculaire mais plus fréquente : l'ancien collaborateur dont les accès n'ont jamais été révoqués. Il ne s'agit pas alors d'une intrusion mais de la persistance d'une autorisation légitime, ce qui rend la détection d'autant plus improbable.

Le facteur aggravant en environnement industriel : dans un système d'information classique, un initié malveillant peut soustraire des données ou perturber un service. Sur une installation industrielle, il peut provoquer des rejets, des dégradations d'équipement ou des arrêts de production prolongés. La menace interne y devient une question de sécurité des personnes, et relève à ce titre autant de la prévention des risques que de la cybersécurité.

Pourquoi la détection est si difficile

Les menaces internes sont par construction les plus difficiles à détecter. L'initié agit dans le cadre de ses fonctions, avec des identifiants légitimes, depuis des postes autorisés. Les dispositifs de détection périmétrique ne relèvent aucune anomalie. Quatre facteurs aggravent encore la difficulté en environnement industriel :

  • Comptes partagés : lorsque les opérateurs utilisent un même compte sur le poste de supervision, il devient impossible d'établir qui a effectué une action donnée.
  • Absence de journalisation : les automates et les systèmes de supervision anciens n'enregistrent ni l'auteur ni l'horodatage des modifications. Les traces d'audit font simplement défaut.
  • Légitimité apparente des actions : modifier un programme automate ou ajuster une consigne relève du travail quotidien. Distinguer une intervention normale d'un acte de sabotage suppose de connaître l'intention, ce qu'aucun outil ne fournit.
  • Délai de manifestation : une modification introduite dans un programme peut demeurer sans effet pendant des semaines. Le lien avec le départ d'un collaborateur n'apparaît alors plus comme évident.

Détection : les indicateurs à surveiller

Malgré ces difficultés, certains signaux comportementaux et techniques méritent attention.

Indicateurs comportementaux :

  • Connexions aux systèmes en dehors des plages horaires habituelles
  • Téléchargement massif de documentation technique ou de schémas
  • Tentatives d'accès à des systèmes situés hors du périmètre de responsabilité
  • Situation de conflit ouvert, sanction récente ou départ annoncé
  • Modification sensible des habitudes de travail

Indicateurs techniques :

  • Raccordement d'un support amovible non autorisé sur un poste de supervision
  • Modification d'un programme automate sans ordre de travail correspondant
  • Création de comptes utilisateurs non documentés
  • Installation d'un logiciel d'accès distant non approuvé
  • Copie de fichiers de configuration ou de programmes sur un support externe

Prévention : les mesures concrètes

La prévention repose sur la combinaison de mesures techniques, organisationnelles et humaines.

Mesures techniques

  • Supprimer les comptes partagés. Chaque opérateur doit disposer de son propre identifiant, y compris sur les postes de supervision. C'est la condition préalable à toute traçabilité.
  • Activer la journalisation. Enregistrez les connexions, les modifications de configuration et les actions critiques, et conservez ces journaux au moins un an.
  • Déployer une gestion des accès privilégiés. Les comptes d'administration et les accès aux automates doivent être contrôlés, enregistrés et limités dans le temps.
  • Encadrer les supports amovibles. Désactivez les ports non nécessaires sur les postes de supervision et les stations d'ingénierie, et n'autorisez que les supports analysés au préalable.
  • Suivre les modifications des automates. Recourez à une gestion de versions des programmes, de sorte que chaque modification soit tracée, justifiée et approuvée.

Mesures organisationnelles

  • Principe du moindre privilège. Les accès se limitent aux systèmes nécessaires à la fonction exercée : un opérateur affecté à une zone n'a pas à atteindre les automates d'une autre.
  • Processus de départ maîtrisé. Les accès sont révoqués le jour même du départ, y compris les accès industriels, qui sont précisément ceux que l'on oublie.
  • Séparation des tâches. Les modifications critiques, telles qu'un changement de programme ou de seuil de sécurité, requièrent l'approbation de deux personnes.
  • Encadrement des sous-traitants. Leurs accès sont limités dans le temps, supervisés pendant l'intervention et révoqués à son terme.

Mesures humaines

  • Sensibilisation. Formez les équipes à reconnaître les tentatives d'approche et les techniques de manipulation, en présentant des cas concrets plutôt que des principes généraux.
  • Culture du signalement. Signaler un comportement préoccupant doit être encouragé et protégé. Un collaborateur qui redoute les conséquences d'un signalement laissera la situation se développer.
  • Attention portée aux équipes. Une part importante des cas malveillants concerne des personnes en situation de conflit ou d'isolement. Un management attentif constitue à ce titre une mesure de prévention.

Exigence loi 05-20 : la loi 05-20 et les directives de la DGSSI imposent aux OIV la maîtrise des accès aux systèmes d'information sensibles, la traçabilité des actions et la gestion des habilitations. La menace interne relève donc explicitement du périmètre de conformité, et non de la seule bonne pratique.

Le paradoxe de la confiance

Aborder la menace interne met mal à l'aise, car surveiller ses collaborateurs paraît contraire à la relation de confiance qui fonde le travail en commun. Ce malaise repose toutefois sur une confusion entre la surveillance des systèmes et celle des personnes. Journaliser les accès aux automates et détecter les anomalies ne traduit pas une défiance : c'est une mesure de protection qui bénéficie aussi aux collaborateurs.

Un salarié mis en cause à tort trouvera dans les journaux d'audit de quoi établir qu'il n'est pas concerné. L'absence de traçabilité ne protège personne ; elle expose chacun, y compris ceux qui n'ont rien à se reprocher.

Conclusion : le risque vient de l'intérieur

Des investissements importants peuvent être consacrés aux pare-feu, à la détection sur les postes et à la surveillance permanente. Si un automaticien modifie le programme d'un équipement critique avant son départ, aucun de ces dispositifs n'interviendra. La menace interne constitue l'angle mort de la cybersécurité industrielle, et c'est aussi celui dont les conséquences sont les plus lourdes.

Commencez par l'essentiel : supprimez les comptes partagés, activez la journalisation, révoquez les accès le jour du départ et installez une culture où la sécurité est une responsabilité partagée. Aucune de ces mesures ne suppose un investissement majeur ; toutes supposent une décision.