Du risque à la résilience : les 3 piliers de la cybersécurité OT

Expert métier : Chad Humphries, Solution Consultant, Networks & Cybersecurity chez Rockwell Automation

Dans un environnement manufacturier très compétitif, l’intégration de technologies de pointe est cruciale pour la survie et la compétitivité des entreprises. Les technologies opérationnelles (OT — Operational Technologies) telles que les systèmes de commande industriels (ICS), les systèmes de contrôle et d’acquisition de données (SCADA) et les automates programmables industriels (API) jouent un rôle essentiel dans ces innovations. Elles dépassent le cadre des ateliers pour connecter les opérations à l’échelle des entrepôts, des plateformes logistiques et la chaîne d’approvisionnement au sens large afin d’améliorer les opérations industrielles.

Cependant, l’interconnexion croissante des systèmes augmente leur exposition aux cybermenaces. En 2024, le secteur manufacturier est le plus touché, représentant 70% de toute l’activité des ransomwares, avec pour conséquence une perturbation des opérations et des pertes financières significatives. Pourtant, de nombreuses entreprises priorisent la cybersécurité des systèmes informatiques (IT) en négligeant leur environnement OT ou en le sécurisant de manière inadaptée — une approche fragmentée qui expose les machines et les infrastructures critiques aux cyberattaques.

En parallèle, de nouvelles règlementations internationales sur les cyberactivités voient le jour. Leur objectif est de définir clairement les facteurs de risque et de responsabilité associés à la transparence et à la responsabilisation en matière de cybersécurité OT. Ces initiatives soulignent la nécessité d’une approche holistique de la cybersécurité, intégrant à la fois les environnements IT et OT. Pour protéger efficacement ces environnements, les entreprises doivent adopter une stratégie de cybersécurité de grande envergure reposant sur trois piliers clés :

· la gouvernance de la sécurité ;

· la sécurité des produits ;

· et les services de sécurité.

Ces piliers forment un cadre robuste pour défendre les systèmes IT et OT contre des cybermenaces toujours plus sophistiquées.

1er pilier : gouvernance de la sécurité

La gouvernance forme la colonne vertébrale de toute stratégie de cybersécurité OT efficace. Elle garantit que les entreprises mettent en place une structure clairement définie pour gérer les vulnérabilités et expositions communes (CVE) de leurs systèmes IT et OT. Cette approche inclut la définition des rôles, des responsabilités et des processus de prévention, de détection et de réponse aux cybermenaces. En désignant clairement les personnes en charge de chaque aspect de la cybersécurité, les entreprises peuvent répondre plus rapidement aux incidents et réduire les possibilités d’erreurs coûteuses. La

gouvernance permet d’aligner les règles et les procédures de sécurité des entreprises sur des exigences règlementaires appliquées de plus en plus couramment aux quatre coins du monde. À titre d’exemple, la directive SRI 2 et le règlement européen sur la cyberrésilience (CRA — Cyber Resilience Act) entrés en vigueur en décembre 2024 exigent des entreprises qui réalisent des transactions dans des secteurs critiques au sein de l’Union européenne qu’elles signalent les cyberincidents, mettent en œuvre des programmes de cybersécurité robustes et évaluent régulièrement les risques de sécurité de leurs fournisseurs extérieurs. Ces mesures élèvent la cybergouvernance organisationnelle au rang de pratique exemplaire et d’impératif, afin de prévenir l’émergence de nouvelles réglementations globales en matière de cybersécurité qui chercheraient à établir la responsabilité des entreprises et à chiffrer les obligations liées aux cyberrisques tolérés.

2e pilier : sécurité des produits

Si la gouvernance pose le cadre, la technologie fournit les outils indispensables pour protéger les environnements opérationnels. Il est donc crucial pour les entreprises d’exiger de leurs fournisseurs de technologies des certifications de conformité axées sur la sécurité. Cette démarche permet de s’assurer que la technologie acquise est effectivement « adaptée à l’usage pour laquelle elle a été conçue ». Les produits certifiés en matière de sécurité intègrent des niveaux de défense essentiels contre les cyberattaques. Grâce à cela, les systèmes IT et OT sont non seulement adaptés à leur fonction, mais aussi capables de contenir et d’éliminer diverses menaces.

La gestion de l’inventaire des actifs (AIM — Asset Inventory Management) au niveau des terminaux constitue l’un des types d’outils les plus importants pour les processus OT. Elle contribue à maintenir une haute disponibilité et un fonctionnement sécurisé de la production, tout en assurant avec pragmatisme les mises à jour des terminaux. De plus, ces outils offrent souvent une analyse poussée de la vulnérabilité des actifs hôtes. L’adoption de telles technologies renforce également les capacités de réponse aux incidents tout en permettant aux opérateurs OT de gérer plus efficacement des technologies anciennes, encore largement utilisées dans les environnements de production malgré leur fin de vie.

Des protocoles open source tels que CIP™ (Common Industrial Protocol) Security renforcent la stratégie de défense en profondeur et devraient idéalement être vérifiés sur les actifs de l’environnement OT. Par exemple, le protocole CIP Security contribue à assurer la confidentialité, l’intégrité et l’authentification des communications entre les appareils OT grâce à des règles de sécurité prédéfinies pour chaque composant industriel. Avec l’interconnexion croissante des systèmes industriels, il est primordial d’une part, de s’appuyer au niveau de chaque composant sur des politiques de sécurité prédéfinies qui régissent les communications entre les actifs OT hôtes et, d’autre part, d’adopter des technologies compatibles avec CIP Security.

Les systèmes de détection d’intrusion et de réponse du réseau (IDS/NDR — Intrusion Detection System/Network Detection and Response) sont très précieux pour analyser les données qui circulent sur le réseau. La majorité des cyberattaques impliquent un acteur malveillant accédant à un système informatique sensible par des moyens illégitimes, ce qui comprend forcément les données en transit. Il

est par conséquent indispensable d’utiliser un outil capable de détecter tout comportement anormal ou inhabituel dans ces données.

3e pilier : services de sécurité

Le troisième pilier de la cybersécurité OT est le recours à des spécialiste de la sécurisation des environnements industriels. Leur but est de protéger l’environnement de production tout en assurant la disponibilité opérationnelle des processus. De nombreuses entreprises ne disposent ni des ressources ni de l’expertise nécessaires en interne pour sécuriser leurs systèmes opérationnels. C’est là que les fournisseurs de services de cybersécurité deviennent indispensables.

Ces prestataires offrent une gamme variée de services : évaluation des risques, surveillance des menaces, réponse aux incidents et gestion de la conformité. En faisant appel à cette expertise externe, les entreprises peuvent renforcer considérablement leur niveau de sécurité, assurer leur conformité aux nouvelles règlementations et protéger la disponibilité opérationnelle sécurisée de leurs processus de production.

Dans ce contexte, les services de sécurité jouent un rôle essentiel en aidant les entreprises à anticiper les nouvelles menaces et à maintenir leur conformité durablement. Ils allègent la pression sur les ressources internes et sécurisent les processus grâce à de technologies appropriées. On pourrait y voir une adaptation moderne et équilibrée du modèle traditionnel « personnes-processus-technologie » (PPT).

Du risque à la résilience

Le paysage industriel actuel expose les environnements OT aux cyberattaques, au même titre que les données. Une cybersécurité réactive et partielle ne suffit plus. Les entreprises doivent adopter une stratégie globale en trois piliers. Mettre en place une gouvernance solide, investir dans des outils de sécurité avancés et collaborer avec des experts permet aux entreprises de développer une cybersécurité OT résiliente. Cette approche protège les infrastructures critiques, assure la conformité, minimise les risques opérationnels et réduit la responsabilité liée aux cyberrisques tolérés. Il est impératif pour les entreprises manufacturières et industrielles d’agir maintenant : une stratégie de cybersécurité basée sur ces trois piliers est essentielle pour transformer le risque en résilience.