Sécurité OT : pourquoi l'isolement ne suffit plus, et comment segmenter avec IEC 62443
Connecter les machines à l'informatique d'entreprise crée de la valeur et de l'exposition. La norme IEC 62443 donne une méthode : zones, conduits, niveaux de sécurité, accès distants maîtrisés.
Longtemps, la sécurité des systèmes industriels (OT) reposait sur l'isolement : un réseau d'atelier non relié au reste. La supervision à distance, la maintenance prédictive et l'analyse de performance ont changé la donne : les données doivent sortir de l'atelier, et les prestataires y accèdent à distance. Le modèle passe de l'isolement à la segmentation, la visibilité et le contrôle des accès (SRQL, IIoT World).
Pourquoi l'OT est une cible attractive
Arrêter une production oblige à payer plus vite que chiffrer des fichiers bureautiques : les attaquants l'ont compris, et les rançongiciels visent désormais les chaînes de fabrication. Or les équipements industriels ont des cycles de vie de plusieurs décennies, des systèmes d'exploitation anciens, et ne tolèrent pas toujours des correctifs fréquents. On ne peut pas appliquer à l'atelier les règles de l'informatique de bureau.
La méthode IEC 62443 en cinq idées
- Inventorier : on ne protège pas ce que l'on ne connaît pas. Machines, automates, passerelles, versions, connexions.
- Découper en zones : regrouper les équipements de même criticité et de mêmes besoins de sécurité (une ligne de production, un système de supervision, la zone « entreprise »).
- Contrôler les conduits : les flux entre zones sont limités à ce qui est nécessaire, filtrés et journalisés. C'est ce que les modèles de référence (dont le modèle de Purdue) appellent la séparation entre l'informatique, une zone démilitarisée et l'OT.
- Dimensionner par niveau de sécurité : la norme définit quatre niveaux, de SL1 à SL4. Tout n'exige pas le plus élevé ; on proportionne l'effort au risque de chaque zone.
- Encadrer les accès distants et les fournisseurs : comptes nominatifs, authentification multifacteur, accès limités dans le temps, traçabilité des interventions.
Le lien avec la réglementation
La directive NIS2 étend les obligations de cybersécurité à de nombreux acteurs de l'industrie et exige la maîtrise des risques de la chaîne d'approvisionnement. Les guides sectoriels présentent IEC 62443 comme un cadre technique cohérent pour y répondre côté OT. Un fabricant d'équipements ou un intégrateur peut aussi se voir demander, par ses clients, des preuves de maîtrise : segmentation, gestion des correctifs, procédure de réponse aux incidents.
Une trajectoire réaliste
- Cartographier les actifs et les flux existants, sans rien modifier.
- Fermer les risques les plus évidents : accès distants permanents non maîtrisés, mots de passe par défaut, équipements exposés sur Internet.
- Segmenter par étapes, en commençant par séparer l'OT de l'informatique d'entreprise, puis les lignes critiques entre elles.
- Surveiller le trafic pour détecter les comportements inhabituels, sans perturber les automates.
- Préparer la réponse : sauvegardes des configurations d'automates, procédure de repli manuel, exercice de reprise.
Ce qui vaut pour tous les objets connectés
La même logique s'applique aux capteurs, passerelles et dispositifs que nous concevons : identifiants uniques, communications chiffrées, mises à jour signées et surface d'exposition minimale (voir le CRA et la directive RED, et la maintenance prédictive). Pour un projet précis, décrivez-nous votre contexte.
Sources
Un projet IoT en tête ?
Décrivez votre contexte, on vous propose une solution sur mesure.