Cybersécurité OT : 7 premières actions pour sécuriser un site industriel

Sur un site industriel, la cybersécurité ne se traite pas comme dans un bureau : on ne redémarre pas un automate en production pour appliquer un correctif, et un incident peut avoir des conséquences physiques. Voici les sept actions par lesquelles nous recommandons de commencer, dans l’esprit de la famille de normes IEC 62443.

1. Inventorier les actifs et les flux

Automates, IHM, postes de supervision, commutateurs, passerelles : on ne protège pas ce qu’on ne connaît pas. L’inventaire peut s’appuyer sur des captures réseau passives, sans perturber les équipements.

2. Recenser les accès distants

Modems 4G oubliés, logiciels de prise en main à distance installés par un prestataire, VPN permanents : c’est souvent la porte d’entrée la plus simple. Nous y consacrons un article dédié.

3. Séparer l’informatique de gestion et le réseau industriel

Une frontière claire entre IT et OT, avec une zone intermédiaire (DMZ industrielle) pour les échanges nécessaires, limite la propagation d’un incident venu de la messagerie ou d’un poste bureautique.

4. Découper en zones et conduits

IEC 62443-3-2 propose de regrouper les équipements en zones de même niveau d’exigence et de contrôler les conduits qui les relient. C’est la base d’une segmentation qui reste compatible avec l’exploitation.

5. Maîtriser les comptes et les mots de passe

Comptes partagés, mots de passe par défaut, comptes de maintenance jamais désactivés : une revue des comptes est rapide et très efficace.

6. Sauvegarder les programmes et configurations

Programmes d’automates, projets de supervision, configurations des équipements réseau : des sauvegardes à jour, testées et conservées hors ligne réduisent fortement la durée d’un arrêt après un incident.

7. Surveiller et préparer la réponse

Une sonde de détection passive sur le réseau OT et une procédure d’incident connue des équipes de production et de maintenance permettent de réagir vite, et de répondre aux obligations de signalement prévues par NIS2.

Et ensuite ?

Ces actions donnent une base. Pour savoir lesquelles traiter en premier sur votre site et préparer les obligations de la loi Résilience (NIS2), un diagnostic de cybersécurité OT établit une feuille de route priorisée.