Segmentation réseau OT : séparer IT et OT avec une DMZ industrielle

Beaucoup d’incidents industriels commencent loin des machines : un courriel piégé, un poste bureautique compromis. Si le réseau de l’usine est « à plat », rien n’empêche l’attaque de rejoindre les automates. La segmentation est la mesure qui limite ce risque.

Le modèle de Purdue, comme carte

Le modèle de Purdue décrit une usine en niveaux : capteurs et actionneurs (niveau 0), automates (1), supervision (2), gestion de la production (3), puis informatique de gestion (4 et 5). Il n’est pas à appliquer à la lettre, mais il donne un vocabulaire commun pour décider qui a le droit de parler à qui.

La DMZ industrielle

Entre l’informatique de gestion et la production, on place une zone démilitarisée industrielle (souvent appelée niveau 3.5). Les échanges nécessaires y transitent par des serveurs relais : historien répliqué, serveur de mises à jour, bastion d’accès distant. Aucun flux ne traverse directement de l’IT vers les automates.

Des règles de flux simples

• Tout est interdit par défaut, puis on autorise les flux justifiés, un par un.
• Les flux sortants de la production sont privilégiés aux flux entrants.
• Chaque règle est documentée : source, destination, protocole, raison, responsable.
• Les accès de maintenance passent par un point unique et tracé (voir notre article sur les accès distants).

Segmenter sans arrêter la production

La segmentation se prépare : observation passive des flux existants, règles en mode « journalisation » avant blocage, bascule planifiée hors production. C’est un chantier que nous inscrivons dans la feuille de route de notre diagnostic OT, en cohérence avec les zones et conduits d’IEC 62443.