Le titre est volontairement direct. Votre responsable informatique est sans doute compétent. Le problème tient à ce que les connaissances, l'approche et surtout les réflexes qui fonctionnent en environnement bureautique peuvent produire des dégâts en environnement industriel. Une mise à jour de pare-feu qui relève de la routine d'un côté peut arrêter une ligne de production de l'autre. Une analyse de vulnérabilités habituelle peut faire cesser de fonctionner un automate.

Un risque connu : une analyse de vulnérabilités lancée sur le réseau bureautique atteint également l'environnement de production lorsque la segmentation fait défaut. Les automates et pupitres anciens n'ont pas été conçus pour traiter un trafic inattendu et peuvent cesser de répondre. C'est l'un des rares cas où une mesure de sécurité provoque elle-même l'interruption, et c'est la raison pour laquelle ces analyses sont strictement encadrées en milieu industriel.

Les différences fondamentales

Sécurité IT

  • Confidentialité comme priorité première
  • Application régulière des correctifs
  • Les systèmes peuvent être redémarrés
  • Durée de vie de 3 à 5 ans
  • Les analyses de vulnérabilités sont routinières
  • Ordre retenu : confidentialité d'abord
  • L'indisponibilité constitue une gêne

Sécurité OT

  • Disponibilité et sûreté comme priorité première
  • Les correctifs peuvent demander des mois, voire davantage
  • Un redémarrage peut entraîner des pertes ou des risques
  • Durée de vie de 15 à 25 ans
  • Les analyses peuvent mettre les équipements en défaut
  • Ordre retenu : disponibilité d'abord
  • L'indisponibilité constitue une perte ou un danger

Cinq erreurs que les informaticiens commettent en OT

1. Appliquer les correctifs sans encadrement
En environnement bureautique, la campagne mensuelle de correctifs est un acquis. En production, un correctif peut perturber un procédé stable depuis des années. Ces correctifs doivent être éprouvés sur une installation de test, pour autant qu'un correctif existe encore pour le système concerné.

2. Recourir à l'analyse active
Les outils standard d'analyse de vulnérabilités peuvent mettre en défaut des automates, des RTU et des pupitres anciens. Ces environnements appellent une surveillance passive ou des outils conçus pour eux.

3. Fermer par défaut sans analyse préalable
Une configuration restrictive constitue une bonne pratique en bureautique. En production, bloquer un flux peut interrompre une boucle de régulation de sécurité, avec des effets physiques. La règle n'est pas fautive ; c'est l'ordre des opérations qui l'est. Il faut d'abord établir quels flux sont nécessaires, puis fermer.

4. Installer un antivirus sur un pupitre de supervision
Une mise à jour d'antivirus qui mobilise des ressources sur un poste traitant des données en temps réel peut entraîner des alarmes manquées ou des temps de réaction dégradés, précisément au moment où l'opérateur en a besoin.

5. Imposer une politique de mots de passe standard
Une rotation tous les quatre-vingt-dix jours sur un compte partagé entre trois équipes conduit à des mots de passe notés à proximité de l'écran. La règle est alors formellement respectée et le niveau de sécurité effectivement abaissé.

De quoi avez-vous besoin ?

Il ne s'agit pas de plaider contre la collaboration entre les deux domaines, bien au contraire. Il s'agit de disposer de personnes qui les connaissent tous deux :

  • une analyse de risques propre à l'environnement industriel, conforme à l'IEC 62443
  • une surveillance passive plutôt que des analyses actives
  • une segmentation servant de fondation, selon le modèle des zones et conduits
  • des procédures adaptées pour la gestion des correctifs, des changements et des incidents
  • une équipe réunissant les deux compétences, de sorte que l'arbitrage entre disponibilité et sécurité se fasse en amont et non après coup

La règle d'or : la sécurité informatique protège les données. La sécurité industrielle protège les procédés, les personnes et l'environnement physique. Les deux sont indispensables et appellent des approches distinctes.

Expertise en sécurité OT nécessaire ?

Resotech réunit les compétences en sécurité IT et OT, et vous aide à choisir une approche qui protège votre production sans perturber le procédé.

Nous contacter