Points clés
- La convergence IT/OT (Information Technology / Operational Technology) expose des systèmes industriels critiques à des vecteurs d'attaque applicatifs pour lesquels ils n'ont pas été conçus.
- Les interfaces entre applications métiers et systèmes critiques (SCADA, DCS, systèmes embarqués) sont des surfaces d'attaque à risque particulièrement élevé.
- La segmentation réseau entre les environnements IT et OT est la mesure de protection fondamentale de la convergence IT/OT.
- Les applications de supervision et de monitoring des systèmes critiques sont elles-mêmes des cibles prioritaires — compromettre la supervision permet de masquer une attaque sur les systèmes supervisés.
La convergence IT/OT comme défi de sécurité structurel
Pendant des décennies, les systèmes opérationnels (OT — Operational Technology) — automates industriels, SCADA, DCS, systèmes de contrôle des utilités — étaient isolés des systèmes IT par une séparation physique ("air gap"). La convergence numérique a progressivement supprimé cet isolement : les systèmes OT sont maintenant connectés aux réseaux d'entreprise pour la supervision à distance, la maintenance prédictive, l'intégration avec les ERP, et le reporting opérationnel.
Cette convergence expose des systèmes industriels conçus pour la disponibilité et la sécurité fonctionnelle (safety) à des vecteurs d'attaque pour lesquels ils n'ont pas été conçus. Les protocoles industriels (Modbus, DNP3, OPC-UA) n'intègrent pas de mécanismes d'authentification et de chiffrement robustes. Les systèmes embarqués ont des cycles de mise à jour de plusieurs années. Les patches de sécurité peuvent nécessiter des arrêts de production coûteux. La surface d'attaque IT/OT est donc plus difficile à sécuriser que l'une ou l'autre surface séparément.
Les interfaces applicatives IT/OT comme surfaces prioritaires
Les interfaces entre les applications IT et les systèmes OT — les serveurs Historian qui agrègent les données de processus, les plateformes de supervision MES (Manufacturing Execution System), les interfaces entre ERP et automates — sont des points de contact qui peuvent être exploités pour traverser la frontière IT/OT. Une application MES compromise qui a accès aux commandes des automates industriels peut devenir le vecteur d'une attaque sur le processus physique lui-même.
La sécurisation de ces interfaces passe par des principes d'architecture spécifiques : communication unidirectionnelle des données OT vers IT quand le cas d'usage le permet (data diodes), filtrage strict des protocoles industriels au niveau des pare-feux de segmentation, authentification renforcée sur les interfaces bidirectionnelles, et journalisation exhaustive de toutes les commandes envoyées aux systèmes OT.
La segmentation réseau IT/OT comme mesure fondamentale
La segmentation entre les réseaux IT et OT est la mesure de protection fondamentale dans les environnements à convergence IT/OT. Elle peut être implémentée à différents niveaux de rigueur : séparation logique (VLANs, règles de pare-feux) pour les environnements à faible criticité ; séparation physique avec une zone démilitarisée (DMZ industrielle) contenant les systèmes de communication entre les deux environnements pour les environnements critiques ; air gap avec passerelle unidirectionnelle (data diode) pour les environnements hautement critiques.
Le modèle Purdue pour la segmentation des réseaux industriels (développé par Purdue University, repris dans l'IEC 62443) reste la référence architecturale. Il définit plusieurs niveaux (niveau 0 à 5) depuis les capteurs et actionneurs physiques jusqu'au réseau d'entreprise, avec des règles de communication strictes entre chaque niveau.
Les applications de supervision comme cibles stratégiques
Les applications de supervision et de monitoring des systèmes critiques (SIEM industriels, plateformes SCADA HMI, systèmes de supervision des utilités) sont des cibles stratégiques pour un attaquant qui cherche à maximiser l'impact d'une intrusion. Compromettre la supervision permet de masquer une attaque sur les systèmes supervisés en modifiant les données affichées aux opérateurs, en supprimant des alertes, ou en injectant de fausses indications d'état normal. Des incidents de sabotage industriel documentés (Stuxnet contre les centrifugeuses iraniennes, attaques contre des stations de traitement d'eau américaines) ont utilisé cette technique de modification des données de supervision.
La protection des applications de supervision doit être traitée avec une priorité proportionnelle à la criticité des systèmes qu'elles supervisent — ce qui les classe souvent parmi les applications les plus critiques du périmètre IT.