Chaque mois, les éditeurs publient leurs correctifs de sécurité. Les équipes informatiques les éprouvent, les déploient en quelques jours et passent au cycle suivant. Ce fonctionnement est si ancré qu'il paraît universel. Proposé à un responsable de production qui exploite une ligne fonctionnant en continu, il suscite pourtant une réaction bien différente.
Le modèle de correction pratiqué en informatique de gestion se heurte aux réalités de la production. C'est néanmoins ce que la plupart des politiques de sécurité imposent aux environnements industriels. Il en résulte des systèmes jamais mis à jour, des rapports d'audit faisant état de centaines de vulnérabilités non traitées, et l'impression que le problème est insoluble. Il ne l'est pas, mais sa résolution ne passe pas par la correction.
Patcher en IT vs patcher en OT
Constat de terrain : lors de nos audits, nous rencontrons régulièrement des automates pilotés depuis des postes fonctionnant sous des systèmes d'exploitation hors support, des stations de supervision n'ayant reçu aucun correctif depuis plusieurs années, et des systèmes dont le fournisseur a cessé son activité. Pour ces installations, la correction n'est pas difficile : elle est indisponible.
Les cinq raisons pour lesquelles le patching échoue en OT
1. La disponibilité prime sur la confidentialité. En informatique de gestion, la confidentialité vient généralement en tête. En production, l'ordre s'inverse. Un système qui fonctionne prime sur un système corrigé, et personne ne souhaite assumer un arrêt de production causé par un correctif.
2. L'absence de fenêtre de maintenance. Une usine fonctionnant en trois-huit ne dispose d'aucune plage naturelle. Les arrêts sont planifiés des mois à l'avance et minutés. Y ajouter des heures de correction se négocie rarement.
3. L'absence d'environnement de test. En informatique de gestion, le correctif est éprouvé avant déploiement. En production, l'installation est unique : il n'existe pas de duplicata de votre ligne de fabrication. Appliquer un correctif non éprouvé sur un système pilotant un procédé revient à en accepter le résultat par avance.
4. Une compatibilité non garantie. Un correctif du système d'exploitation peut perturber le logiciel de supervision. Une mise à jour de micrologiciel peut modifier le comportement d'une boucle de régulation. La validation par le fournisseur demande des mois lorsqu'elle est prévue.
5. Des systèmes en fin de vie. Certains correctifs ne seront jamais publiés, l'éditeur ayant cessé le support ou le fabricant ayant disparu. Le problème n'est alors plus opérationnel mais définitif.
Ce qui fonctionne : les contrôles compensatoires
L'IEC 62443 reconnaît explicitement que la correction n'est pas toujours possible et prévoit le recours à des contrôles compensatoires, c'est-à-dire des mesures qui réduisent le risque associé à une vulnérabilité non traitée.
Voici les sept plus efficaces.
1. Segmentation réseau
À défaut de corriger la vulnérabilité, empêchez qu'elle soit atteinte. Placez le système concerné dans une zone isolée derrière un pare-feu industriel n'autorisant que les flux strictement nécessaires. Un système obsolète isolé, exposant un seul protocole vers la supervision, présente un risque sans commune mesure avec le même système placé sur le réseau de la messagerie.
2. Surveillance réseau passive
Déployez une détection conçue pour ces environnements. Ces solutions observent le trafic et signalent les comportements anormaux : tentatives d'exploitation, communications inattendues, modifications de configuration. Vous ne corrigez pas la faille, mais vous savez quand elle est sollicitée.
3. Durcissement des systèmes
Désactivez ce qui n'est pas nécessaire : services inutilisés, ports, protocoles, comptes superflus. Chaque fonction désactivée retire une possibilité d'accès. Un système ancien correctement durci peut se révéler moins exposé qu'un système récent laissé dans sa configuration d'origine.
4. Listes blanches d'applications
Configurez le poste pour n'exécuter que les applications autorisées. Un code malveillant qui parvient sur un système où seules quelques applications sont admises ne s'exécutera pas, indépendamment de la vulnérabilité qu'il visait.
5. Contrôle d'accès renforcé
Restreignez strictement les personnes autorisées à se connecter au système concerné, avec authentification forte, comptes nominatifs et journalisation. Réduire le nombre de personnes disposant d'un accès réduit d'autant les occasions de compromission de ces accès.
6. Sauvegardes de configuration
Conservez la configuration complète des automates, des systèmes de supervision et des équipements réseau. Si un système non corrigé est compromis, la capacité à le rétablir rapidement dans un état connu constitue la meilleure garantie. Éprouvez ces restaurations périodiquement.
7. Surveillance physique
Pour les systèmes les plus critiques, ajoutez une couche physique : contrôle d'accès aux armoires et journalisation des accès. Si un système ne peut être ni corrigé ni isolé, veillez au minimum à ce que nul ne puisse l'atteindre sans être identifié.
Approche IEC 62443 : la norme définit des niveaux de sécurité de 1 à 4. Lorsqu'un système ne peut atteindre le niveau requis par la seule correction, une combinaison de contrôles compensatoires doit fournir une protection équivalente. La conformité s'apprécie au résultat obtenu et non à la méthode employée.
La stratégie en quatre étapes
Pour une PME industrielle, la gestion des vulnérabilités en environnement de production s'organise ainsi :
- Inventorier. Recensez les systèmes, leurs versions et leur état de support, puis répartissez-les en trois catégories : corrigeables, difficilement corrigeables, non corrigeables.
- Hiérarchiser par le risque. Une vulnérabilité exploitable à distance sur un système exposé appelle un traitement immédiat ; la même vulnérabilité sur un automate isolé dans une zone segmentée relève d'un risque acceptable, à condition que cette appréciation soit consignée.
- Appliquer les contrôles compensatoires. Pour chaque système non corrigeable, définissez les mesures retenues et documentez le raisonnement ainsi que l'acceptation du risque résiduel.
- Planifier le remplacement. Les contrôles compensatoires constituent une réponse transitoire. Intégrez le remplacement des systèmes obsolètes au plan d'investissement à moyen terme.
Ce que la loi 05-20 attend
La DGSSI n'attend pas des opérateurs qu'ils corrigent l'ensemble de leurs systèmes sous trente jours, mais qu'ils démontrent une gestion maîtrisée de leurs vulnérabilités. Un inventaire complet, une analyse de risque documentée, des contrôles compensatoires effectifs et un plan de remédiation constituent une position bien plus solide qu'une affirmation générale de conformité que les faits contrediraient lors d'un contrôle.
Conclusion : arrêtez de patcher, commencez à protéger
La correction est un outil parmi d'autres, et ce n'est ni le plus important ni le plus efficace en environnement industriel. Segmentation, surveillance et durcissement y apportent souvent une réduction de risque supérieure, sans les contraintes opérationnelles associées. Il ne s'agit donc pas de renoncer à corriger là où c'est possible, mais de cesser de traiter la correction comme la seule réponse admissible.