Après plus de dix ans d'interventions dans des environnements industriels en Europe et au Maroc, nos experts constatent les mêmes erreurs à répétition. Des erreurs évitables — mais qui laissent les infrastructures industrielles vulnérables à des cyberattaques aux conséquences parfois catastrophiques. Voici les cinq plus fréquentes.
Absence de segmentation entre réseaux IT et OT
La plupart des organisations industrielles ont historiquement séparé leur réseau bureautique (IT) de leur environnement de production (OT). Mais avec la digitalisation — accès distant, intégrations ERP, cloud — ces frontières ont été effacées. Résultat : une attaque ransomware sur le réseau informatique peut se propager directement aux automates de production.
C'est exactement ce qui s'est produit lors de l'attaque du Colonial Pipeline aux États-Unis en 2021 : une intrusion sur le réseau IT a entraîné l'arrêt d'un oléoduc de 8 850 km, provoquant une pénurie de carburant sur la côte Est américaine.
✅ Solution : Mettre en place une segmentation réseau en couches avec une DMZ entre IT et OT. Utiliser des pare-feux industriels, des diodes de données ou des passerelles unidirectionnelles pour les liaisons critiques. Appliquer le modèle Zones & Conduits de l'IEC 62443.
Mots de passe par défaut sur les équipements industriels
Lors de nos évaluations OT, nous trouvons régulièrement des interfaces SCADA, des IHM ou des routeurs industriels qui conservent encore les identifiants d'usine : admin/admin, 1234 ou le nom du fabricant. Ces combinaisons sont les premières vérifiées par les attaquants.
La difficulté est souvent pratique : dans un environnement de production 24/7, changer les mots de passe est une opération complexe. Mais ne pas le faire représente un risque bien plus grand.
✅ Solution : Définir une politique de mots de passe pour tous les composants OT. Utiliser un système de gestion des accès privilégiés (PAM) et documenter les identifiants dans un coffre-fort sécurisé. Planifier les changements lors des arrêts de maintenance programmés.
Absence de gestion des correctifs (patch management) OT
Dans l'IT, les mises à jour régulières sont une pratique standard. Dans l'OT, c'est une autre réalité : les systèmes tournent en continu, les fournisseurs certifient parfois les correctifs des mois après leur publication, et un redémarrage d'automate peut signifier des heures d'arrêt de production.
Conséquence : les environnements OT fonctionnent souvent sur des systèmes d'exploitation obsolètes (Windows XP, etc.) et des firmwares non mis à jour — parfois depuis des années.
✅ Solution : Établir un calendrier de correctifs priorisé par niveau de risque. Pour les vulnérabilités critiques ne pouvant être corrigées immédiatement, appliquer des mesures compensatoires (segmentation réseau, whitelisting). Toujours tester les correctifs dans un environnement de test avant déploiement.
Accès distant non contrôlé
L'accès distant aux systèmes industriels a explosé ces dernières années — fournisseurs, sous-traitants, équipes de maintenance se connectent directement aux composants OT via VPN ou bureau à distance. Souvent sans authentification multi-facteurs, sans journalisation et sans limitation de durée de session.
Chaque connexion distante est un vecteur d'attaque potentiel qui doit être sécurisé et surveillé.
✅ Solution : Déployer une solution d'accès distant sécurisé dédiée à l'OT (différente d'un VPN IT standard). Exiger le MFA pour toutes les connexions externes. Journaliser toutes les sessions et définir des limites de durée. Envisager un serveur saut (jump server) comme couche de protection supplémentaire.
Absence d'inventaire des actifs OT
On ne peut pas protéger ce qu'on ne connaît pas. En pratique, de nombreuses organisations n'ont pas d'inventaire complet de leurs composants OT : quels automates font tourner quel firmware ? Quels équipements sont connectés au réseau ? Quels fournisseurs disposent d'un accès distant ?
Sans cette visibilité, toute analyse de risque — et donc tout programme de sécurité efficace — est impossible.
✅ Solution : Commencer par une découverte passive des actifs OT (outils tels que Claroty, Dragos ou Nozomi Networks). Construire une CMDB à jour pour tous les composants industriels et la maintenir activement. C'est également la première étape de toute mise en conformité IEC 62443.
Conclusion
Ces cinq erreurs sont évitables — mais elles nécessitent des choix délibérés, des priorités claires et des ressources dédiées. Un programme de sécurité OT n'a pas besoin d'être parfait dès le premier jour. Ce qui compte, c'est de savoir où vous en êtes, quels risques sont acceptables et quelles sont les premières mesures à prendre.
Où en est la sécurité de votre environnement OT ?
Resotech réalise un scan OT gratuit et vous fournit une image concrète de votre niveau de sécurité — sans engagement.
Demander le scan gratuit Notre service OT Security