Dans de nombreuses usines, stations de traitement d'eau et sites énergétiques au Maroc, le réseau n'a pas été conçu : il s'est constitué au fil du temps. Postes bureautiques, serveurs de supervision, automates et pupitres se retrouvent ainsi sur une même structure plate. Ce qui relevait autrefois de la commodité constitue aujourd'hui la vulnérabilité la plus significative de l'installation.

Ce que signifie concrètement un réseau plat : qui accède à un seul système atteint l'ensemble des autres en peu de temps, y compris ceux qui pilotent les procédés physiques. La distance entre un courriel frauduleux reçu au service administratif et une ligne de production à l'arrêt est, dans une telle architecture, bien plus courte qu'on ne le suppose généralement.

Comment reconnaître un réseau plat ?

Cinq caractéristiques permettent de l'identifier. Si plus d'une s'applique, votre réseau est plat dans les faits :

  • Postes bureautiques et machines de production partagent le même VLAN
  • Aucun pare-feu ne sépare l'informatique de gestion des systèmes industriels, ou celui qui existe laisse passer l'essentiel du trafic
  • Les ingénieurs accèdent aux automates depuis le poste sur lequel ils consultent leur messagerie
  • L'accès distant des fournisseurs aboutit directement sur le réseau industriel
  • Une connexion internet est reliée, directement ou par un chemin détourné, à un système de production

Pourquoi c'est une bombe à retardement

Un ransomware en environnement bureautique est coûteux et perturbant : les fichiers sont chiffrés et les systèmes doivent être restaurés. Le même ransomware en environnement industriel atteint autre chose, à savoir un procédé physique qui continue de fonctionner alors que vous en avez perdu la maîtrise. Les conséquences se répartissent en quatre catégories :

  • Arrêt de production. La perte suit votre marge et votre volume, et elle court tant que la ligne ne redémarre pas.
  • Situations dangereuses. Qui peut agir sur la conduite du procédé peut porter pressions, températures et niveaux au-delà de leurs limites de conception.
  • Atteintes à l'environnement. Un rejet non maîtrisé ou un dépassement de seuil entraîne, au-delà des coûts de remise en état, une obligation de rendre compte à l'autorité compétente.
  • Rétablissement en semaines et non en jours. Il faut des pièces, des micrologiciels parfois détenus par le seul fournisseur, et une reconfiguration rarement documentée dans son intégralité.

Ce que dit la réglementation

La segmentation est longtemps restée au rang des intentions. Trois cadres l'exigent désormais, explicitement ou par voie de conséquence :

  • La loi 05-20 et les référentiels de la DGSSI imposent des mesures techniques de protection des systèmes d'information critiques, exigence à laquelle un réseau non segmenté ne permet pas de répondre.
  • L'IEC 62443 construit l'ensemble de son modèle sur les zones et les conduits. Sans segmentation, il n'existe pas de zones, et le reste de la norme devient inapplicable.
  • L'ISO 27001 traite la segmentation des réseaux dans une mesure dédiée de son annexe A.

Les premières étapes vers la segmentation

Un réseau ne se reconstruit pas en une fois, et ce n'est pas nécessaire. L'ordre qui fonctionne en pratique :

  1. Inventoriez. Recensez les équipements présents et la manière dont ils communiquent. Sans cette base, la conception repose sur des hypothèses.
  2. Tracez une première frontière. Commencez par la séparation entre informatique de gestion et systèmes industriels, avec une zone démilitarisée entre les deux.
  3. Configurez le pare-feu en interdiction par défaut, puis n'ouvrez que ce dont la nécessité est établie. La discussion que cela provoque avec les fournisseurs constitue en elle-même un apport : elle révèle les flux dont personne n'avait connaissance.
  4. Retirez l'accès fournisseur du réseau industriel. Faites transiter les interventions par un serveur de rebond situé dans la zone démilitarisée, jamais directement vers un automate.
  5. Surveillez les frontières. Une détection ou une supervision industrielle placée aux passages entre zones rend visible ce qui circule réellement.

Par où commencer : une première séparation entre l'informatique de gestion et les systèmes industriels ne suppose pas de refondre le réseau. Un pare-feu entre les deux domaines, une règle par défaut qui refuse le trafic et une liste explicite des flux réellement nécessaires suffisent à supprimer le scénario le plus courant, celui d'un poste bureautique compromis qui atteint directement un automate. Le modèle de zones et conduits de l'IEC 62443 décrit l'étape suivante ; il n'est pas le prérequis de la première.

À quel point votre réseau est-il plat ?

Resotech réalise des évaluations de réseaux OT et vous accompagne dans la conception et le déploiement d'une segmentation conforme à l'IEC 62443, par étapes.

Demander une evaluation