Le phénomène du Shadow IT est désormais connu : ces applications en ligne, ces espaces de stockage personnels et ces tableurs partagés que les collaborateurs utilisent sans l'aval du service informatique. Le Shadow OT en constitue la transposition dans l'univers industriel, et ses conséquences sont d'une autre nature.

Dans les usines, les stations de traitement d'eau, les centrales et les infrastructures de transport, des équipements sont raccordés au réseau industriel sans que personne n'en soit informé. Un routeur mobile branché sur un automate pour permettre la téléassistance d'un fournisseur. Un petit ordinateur installé pour relever des données de vibration. Un outil de prise en main à distance configuré sur un poste de supervision afin d'intervenir plus vite. Ces équipements constituent une surface d'attaque que personne ne surveille, ne met à jour ni ne recense.

Ce que mesurent les études : la proportion d'équipements absents de l'inventaire n'est établie par aucune donnée publique, au Maroc pas plus qu'ailleurs. L'ordre de grandeur du problème, lui, est documenté. Pour State of CPS Security: OT Exposures 2025, Claroty a analysé près d'un million d'équipements OT dans 270 organisations et y a relevé 111 000 équipements porteurs d'une vulnérabilité activement exploitée, dont 68 % sont rattachées à des groupes de rançongiciel. Le nombre présent sur votre réseau ne se connaît qu'après inventaire.

Pourquoi le Shadow OT prolifère

Le Shadow OT ne procède pas d'une intention de contourner les règles, mais d'un écart de rythme. Les équipes de production et de maintenance poursuivent des objectifs précis : maintenir la production, réduire les arrêts, tenir les délais. Lorsque la validation d'une demande d'accès distant demande plusieurs mois, le raccordement d'un routeur acheté quelques centaines de dirhams demande quelques minutes.

Les causes sont structurelles :

  • Lenteur des processus : les procédures de validation sont conçues pour l'informatique de gestion et n'intègrent pas l'urgence de production. Une ligne à l'arrêt coûte à l'heure, ce qui pousse les équipes à contourner une procédure qui se compte en semaines.
  • Absence de politique dédiée : peu de PME industrielles disposent d'une règle explicite sur le raccordement d'équipements au réseau industriel. Ce réseau n'est souvent pas même formellement délimité.
  • Demandes des fournisseurs : intégrateurs et fabricants sollicitent systématiquement un accès distant pour la maintenance, et proposent volontiers l'outil grand public qu'ils utilisent chez leurs autres clients.
  • Manque de visibilité : faute d'outils de découverte adaptés, personne ne sait ce qui est raccordé. Les analyses classiques risquant de perturber les protocoles industriels, on s'en abstient ; et ce qui n'est pas observé demeure inconnu.

Les types de Shadow OT les plus courants

Routeurs mobiles

Raccordés directement à des automates ou à des commutateurs industriels pour ouvrir un accès distant. Souvent avec les identifiants d'origine, sans pare-feu et sans journalisation.

Micro-ordinateurs et microcontrôleurs

Déployés pour la collecte de données ou des projets internes. Rarement mis à jour, souvent accessibles à distance avec des mots de passe élémentaires.

Outils en ligne non autorisés

Services de prise en main à distance, plateformes de collecte et tableaux de bord raccordés directement aux capteurs sans transiter par la zone démilitarisée.

Postes personnels

Ordinateurs raccordés au réseau industriel pour un diagnostic, une mise à jour de micrologiciel ou simplement pour disposer d'un accès depuis l'atelier.

Les risques concrets du Shadow OT

Chaque équipement non recensé constitue une voie d'accès possible, mais le risque dépasse la seule compromission.

1. Contournement de la segmentation. Une architecture en zones conforme à l'IEC 62443 représente un investissement conséquent. Un seul routeur raccordé du mauvais côté du pare-feu en annule l'effet : l'attaquant n'a pas à franchir vos défenses, il les contourne.

2. Surface d'attaque invisible. Votre surveillance porte sur le trafic transitant par les points de contrôle connus. Ce qui passe par un équipement non recensé n'emprunte aucun de ces points, ne produit aucune alerte et ne laisse aucune trace exploitable.

3. Non-conformité réglementaire. La loi 05-20 impose aux opérateurs d'infrastructures d'importance vitale un inventaire complet de leurs actifs et la maîtrise de leur surface d'exposition. Le Shadow OT rend cette obligation matériellement impossible à satisfaire.

4. Atteinte au procédé physique. Un équipement compromis raccordé au réseau industriel peut transmettre des commandes aux automates, ou servir de point d'entrée à un ransomware qui chiffrera les postes de supervision. Les conséquences ne restent pas dans le domaine informatique.

Un précédent documenté : en février 2021, dans une station de traitement d'eau à Oldsmar, en Floride, un opérateur a constaté que le pointeur se déplaçait seul à l'écran et que la consigne de soude caustique était portée à une valeur très supérieure à la normale. Il a rétabli le réglage immédiatement. L'accès s'appuyait sur un outil de prise en main à distance installé sur le poste de supervision et partagé entre plusieurs personnes. C'est exactement la configuration que nous rencontrons régulièrement lors de nos audits.

Découvrir le Shadow OT : par où commencer

Cette recherche ne peut être conduite avec les outils habituels : une analyse active lancée sur un réseau industriel peut mettre un automate ancien en défaut. Quatre méthodes s'y prêtent :

  • Découverte passive : des outils qui écoutent le trafic sans émettre identifient les équipements par leurs échanges plutôt que par une sollicitation.
  • Inspection physique : rien ne remplace une visite en salle de contrôle et dans les armoires. Cherchez les câbles non documentés, les boîtiers placés derrière un automate et les antennes discrètes.
  • Analyse des flux : comparez le trafic observé au trafic attendu. Toute communication sortante vers une destination inconnue mérite une vérification.
  • Entretiens avec les opérateurs : posez la question sans porter de jugement, en demandant quels outils sont utilisés pour intervenir à distance. Les réponses sont généralement complètes lorsque la question ne se présente pas comme un contrôle.

Gouvernance : empêcher la réapparition du Shadow OT

Le recensement ne suffit pas. Il faut établir une gouvernance qui réponde aux besoins opérationnels légitimes, faute de quoi la situation se reconstituera.

Créer un circuit d'approbation rapide. Si la procédure ordinaire demande plusieurs mois, prévoyez une voie accélérée pour les demandes industrielles : un formulaire court, une décision sous quarante-huit heures, une solution déployée dans la semaine. C'est la seule manière de rivaliser avec un équipement acheté le jour même.

Fournir une alternative sûre. Déployez une solution d'accès distant conçue pour l'industrie et formez les opérateurs à son usage. Si elle s'avère aussi simple que l'outil qu'elle remplace, elle sera adoptée.

Établir une règle claire. Définissez ce qui peut être raccordé au réseau industriel. Affichez cette règle en salle de contrôle et intégrez-la à l'accueil des intervenants extérieurs.

Surveiller en continu. Une surveillance passive permanente doit signaler tout nouvel équipement dès son apparition, et non lors de la revue suivante.

Associer les opérateurs. Le Shadow OT apparaît lorsque les équipes de production estiment que leurs contraintes ne sont pas prises en compte. Les associer à la définition des solutions traite la cause plutôt que le symptôme.

Le Shadow OT et la loi 05-20

Pour les opérateurs désignés, il ne s'agit pas seulement d'un risque technique mais d'un risque de conformité. La loi et ses textes d'application exigent :

  • un inventaire exhaustif des actifs des systèmes d'information sensibles
  • une cartographie des interconnexions
  • la maîtrise des accès distants
  • la notification des incidents au maCERT

Aucune de ces obligations n'est satisfiable sur un périmètre partiellement inconnu : on ne déclare pas un incident survenu sur un équipement dont l'existence n'est pas établie, et on ne cartographie pas des liaisons que l'on ne voit pas.

Conclusion : ce que vous ne voyez pas peut vous détruire

Le Shadow OT est le symptôme d'un écart entre les besoins opérationnels de la production et la capacité du service informatique à y répondre dans les délais. Le combler suppose moins de restrictions supplémentaires que des processus ajustés et des outils compatibles avec les contraintes industrielles.

Commencez par un audit de découverte afin d'établir ce qui est réellement raccordé, puis mettez en place la gouvernance qui empêchera la situation de se reconstituer. L'incident suivant a plus de chances de provenir d'un boîtier installé de bonne foi il y a deux ans que d'une attaque élaborée.