Sécurité OT/ICS : le guide complet pour les RSSI industriels

1. OT, ICS, SCADA : de quoi parle-t-on exactement ?

Avant d'aborder les menaces et les contre-mesures, il faut clarifier un vocabulaire que l'on confond souvent. Les technologies opérationnelles, ou OT (Operational Technology), désignent l'ensemble des matériels et logiciels qui détectent ou provoquent un changement physique dans un environnement industriel. Un capteur de température, une vanne motorisée, un variateur de vitesse appartiennent à ce monde : tout ce qui touche directement à la matière.

Les systèmes de contrôle industriel, ou ICS (Industrial Control Systems), forment la catégorie qui regroupe les dispositifs orchestrant ces équipements. On y trouve les automates programmables (PLC), les unités de télégestion (RTU), les systèmes instrumentés de sécurité (SIS) et les systèmes de contrôle distribué (DCS).

Le terme SCADA (Supervisory Control and Data Acquisition) renvoie aux systèmes de supervision et d'acquisition de données : postes opérateurs, interfaces homme-machine (IHM) et serveurs qui donnent aux équipes une visibilité sur le procédé et la capacité d'agir dessus à distance. Un SCADA n'agit pas directement sur la matière : il pilote les automates qui, eux, commandent les actionneurs.

1.1 Une imbrication qui complique la sécurisation

Cette imbrication explique une grande partie des difficultés. Une chaîne de production réunit des composants de générations très différentes, parfois conçus dans les années 2000, communiquant via des protocoles industriels qui n'ont jamais intégré la notion d'authentification. Modbus, Profinet, OPC, DNP3 ou EtherNet/IP transmettent des commandes sans vérifier l'identité de l'émetteur. Sur un réseau IT, cette absence serait impensable. Sur un réseau OT, elle reste la norme pour des raisons historiques et de compatibilité.

2. Pourquoi les systèmes industriels sont devenus des cibles

Pendant des décennies, l'OT a bénéficié d'une protection passive : l'isolation. Un réseau industriel coupé d'Internet présentait une surface d'attaque réduite. Ce temps est révolu. La maintenance à distance, l'Industrial IoT, les analyses dans le cloud et les architectures multi-sites ont relié l'usine au reste du monde. La convergence IT/OT a apporté des gains opérationnels réels, mais elle a aussi ouvert des chemins de latéralisation depuis les réseaux bureautiques vers les automates.

Les chiffres confirment cette bascule. Selon l'analyse de Forescout sur 2025, les avis de sécurité publiés sur les systèmes de contrôle industriel ont atteint un record, avec 508 advisories couvrant 2 155 vulnérabilités, le volume le plus élevé depuis le début du suivi. Plus préoccupant que le nombre : la gravité. Sur les vulnérabilités divulguées en 2025, 82 % étaient classées élevées ou critiques.

Le secteur manufacturier paie le tribut le plus lourd. D'après l'indice IBM X-Force 2026, l'industrie représente 27,7 % de l'ensemble des cyberattaques, le secteur le plus visé pour la cinquième année consécutive. Côté américain, le récapitulatif de la CISA montre que la fabrication critique (45,8 %) et l'énergie (21,3 %) concentrent la majorité des vulnérabilités industrielles documentées, ces secteurs reposant sur des équipements hérités et des impératifs de continuité qui compliquent l'application des correctifs.

Les actifs les plus touchés ne sont pas anodins. Forescout identifie en tête les dispositifs de niveau 1 du modèle Purdue, c'est-à-dire les automates, RTU et IED qui pilotent directement les processus. Autrement dit, les vulnérabilités frappent au cœur du procédé, pas à sa périphérie.

2.1 Une menace qui passe de l'opportunisme au sabotage

La nature des attaques évolue. Au-delà du rançongiciel classique, les agences observent des campagnes visant explicitement la manipulation des processus physiques. En avril 2026, un avis conjoint des agences fédérales américaines, dont la CISA et le FBI, a alerté sur des attaques attribuées à des acteurs liés à l'Iran ciblant des automates exposés sur Internet, avec à la clé des perturbations dans les secteurs de l'eau, de l'énergie et des collectivités.

En France, le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, dénombre 1 366 incidents traités. L'agence souligne que les équipements de bordure restent une cible de choix et que la frontière entre acteurs étatiques et cybercriminels continue de s'éroder. Les groupes hacktivistes ciblent en priorité les interfaces homme-machine et SCADA accessibles depuis le web, qu'ils exposent publiquement pour produire un effet de déstabilisation.

3. Les vecteurs d'attaque spécifiques au monde industriel

Comprendre pourquoi les systèmes industriels sont visés ne suffit pas. Encore faut-il savoir par où l'attaquant entre. Les chemins de compromission en OT diffèrent de ceux que connaissent les équipes IT. Les analyses récentes des agences convergent sur quelques vecteurs récurrents.

4. Sécurité IT et sécurité OT : pourquoi les recettes ne se transposent pas

L'erreur la plus fréquente consiste à plaquer les méthodes IT sur l'environnement industriel. Les deux mondes partagent un vocabulaire mais obéissent à des priorités inversées. En IT, la triade classique place la confidentialité en premier. En OT, l'ordre s'inverse : la disponibilité et l'intégrité du procédé priment, et la confidentialité passe au second plan. Un automate qui s'arrête une fraction de seconde peut compromettre une coulée, gâcher un lot pharmaceutique ou déclencher une mise en sécurité coûteuse.

La contrainte des correctifs mérite une attention particulière. Sur un parc industriel, appliquer un correctif suppose souvent d'arrêter une ligne, de valider la non-régression du procédé et d'obtenir l'accord de l'exploitant. Beaucoup d'équipements ne reçoivent plus de mises à jour de leur fabricant. Dans ce contexte, la gestion des vulnérabilités ne peut pas se résumer à corriger : elle doit reposer sur des mesures compensatoires, la segmentation et la priorisation. On ne corrige pas tout, on protège ce qui compte le plus, dans l'ordre où cela compte.

5. Le modèle Purdue, la norme IEC 62443 et la visibilité des actifs

Pour structurer la défense d'un réseau industriel, deux référentiels dominent. Le modèle Purdue, formalisé dans les années 1990, organise les systèmes en niveaux hiérarchiques, du niveau 0 des capteurs et actionneurs au niveau 4 des systèmes de gestion d'entreprise. Cette structuration aide à séparer les fonctions et à raisonner la défense en profondeur.

5.1 Les niveaux du modèle Purdue

• Niveau 0 : le procédé physique. Capteurs, actionneurs, moteurs, vannes au contact direct de la matière.
• Niveau 1 : le contrôle de base. Automates, RTU et systèmes instrumentés de sécurité qui commandent le niveau 0.
• Niveau 2 : la supervision. Interfaces homme-machine, postes SCADA et stations d'ingénierie.
• Niveau 3 : les opérations de production. Systèmes d'exécution de la fabrication (MES), historiens, gestion de la qualité.
• Zone démilitarisée industrielle : la frontière entre niveaux 3 et 4, point de contrôle le plus critique de la plupart des architectures.
• Niveau 4 : la gestion d'entreprise. ERP, messagerie, systèmes financiers, soit le domaine IT classique.

Le modèle Purdue conserve sa valeur, mais il faut le manier avec discernement. L'adoption de l'IIoT, de l'edge computing, de la virtualisation et de l'accès distant des fournisseurs a brouillé les frontières nettes du schéma originel. La question n'est plus de savoir si le modèle est dépassé, mais comment l'utiliser sans le réduire à un diagramme simpliste.

5.2 Les niveaux de sécurité de l'IEC 62443

Là où Purdue propose des niveaux fixes, l'IEC 62443 raisonne en zones et conduits, selon une logique pilotée par le risque. Une zone regroupe des actifs partageant les mêmes exigences de sécurité. Un conduit est le canal de communication entre zones, sécurisé au niveau de criticité de la zone la plus sensible qu'il relie. La norme définit des niveaux de sécurité cible, ou SL (Security Level), de 0 à 4 :

• SL 1 : protection contre les violations accidentelles ou les erreurs non intentionnelles.
• SL 2 : protection contre une attaque volontaire à faibles moyens et compétences génériques.
• SL 3 : protection contre une attaque ciblée disposant de moyens modérés et de compétences OT.
• SL 4 : protection contre un adversaire étatique disposant de moyens étendus.

Les architectures les plus matures combinent les deux : Purdue pour communiquer où se situent les systèmes, IEC 62443 pour définir comment les zones se protègent et s'interconnectent. Pour la conformité NIS2 industrielle, l'alignement sur un niveau SL 2 constitue une cible souvent recommandée comme point de départ.

5.3 Le préalable absolu : voir ce que l'on doit protéger

Aucune de ces mesures ne tient sans un préalable trop souvent négligé : l'inventaire des actifs. On ne protège pas, on ne segmente pas, on ne priorise pas ce que l'on ne voit pas. Or la visibilité reste le talon d'Achille des environnements industriels. Les automates et capteurs n'acceptent ni agent ni scan actif agressif sans risque de perturbation, les protocoles propriétaires échappent aux outils IT, et les intégrateurs introduisent du shadow OT au fil des interventions.

C'est précisément le rôle du CAASM (Cyber Asset Attack Surface Management). Cette approche consolide en un inventaire unifié les données issues de multiples sources pour offrir une vue à 360 degrés de la surface d'attaque interne. Appliqué à l'OT, le CAASM privilégie l'analyse passive du trafic réseau, l'interrogation prudente des protocoles industriels et la corrélation de sources existantes plutôt que le scan intrusif. L'objectif : une cartographie fiable et continue qui distingue les actifs gérés des actifs non gérés et établit les relations entre eux.

5.4 La chaîne d'approvisionnement, maillon faible

Un parc industriel ne vit pas en vase clos. Il dépend d'un écosystème d'équipementiers, d'intégrateurs et de prestataires de maintenance. Le CERT-FR observe que les attaquants ne cherchent plus seulement à compromettre une entité, mais à infiltrer son écosystème de fournisseurs. La gestion du risque fournisseur, ou TPRM (Third-Party Risk Management), devient une composante à part entière de la sécurité OT. La cartographie des actifs et la gestion des risques tiers se nourrissent l'une l'autre : l'inventaire révèle les dépendances, l'évaluation tierce qualifie le risque qu'elles portent.

6. NIS2, ANSSI et CRA : le cadre réglementaire de l'OT

La sécurité OT n'est plus une option laissée à la maturité de chacun. La directive NIS2, adoptée le 14 décembre 2022, couvre explicitement les systèmes OT et IACS, et non les seuls systèmes de gestion. Pour les industriels, ce point est décisif : sous-investir dans l'OT par rapport à l'IT expose directement à un manquement.

Le périmètre s'élargit considérablement. Là où la première directive ne concernait qu'environ 500 opérateurs en France, NIS2 vise selon l'ANSSI entre 15 000 et 18 000 entités. Les entités essentielles, dans onze secteurs hautement critiques, relèvent d'un régime de supervision proactif et de sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Les entités importantes relèvent d'un contrôle a posteriori et de sanctions plafonnées plus bas.

L'article 21 de la directive impose une série de mesures techniques et organisationnelles. Sur le terrain industriel, l'ANSSI a clarifié sa doctrine avec deux documents de référence : la méthode de classification des systèmes industriels, dans sa deuxième version publiée en mars 2025, et le guide des mesures détaillées, refondu en novembre 2025. Sa principale évolution est un passage d'un raisonnement centré sur des composants vers une lecture en fonctions de sécurité à composer selon les classes et les sens de flux.

Un point mérite l'attention des RSSI : l'ANSSI audite la réalité opérationnelle, pas la documentation papier. Une démarche de conformité réduite à la rédaction de politiques, sans contrôles techniques effectifs, ne résistera pas à un contrôle. C'est une raison de plus de bâtir la conformité sur des fondations techniques solides, à commencer par la visibilité des actifs.

À ce dispositif s'ajoute le Cyber Resilience Act, règlement européen 2024/2847, qui fait de la cybersécurité une exigence de mise sur le marché pour les produits comportant des éléments numériques. À partir du 11 septembre 2026, les fabricants devront signaler au CERT-FR toute vulnérabilité activement exploitée et tout incident grave affectant leurs produits. La pression réglementaire remonte ainsi toute la chaîne, du fabricant à l'exploitant.

7. Construire une démarche de sécurité OT pragmatique

Les fondamentaux posés, reste à les articuler dans une démarche soutenable. Aucune usine ne se sécurise en un trimestre, et la recherche de la perfection immédiate paralyse plus qu'elle ne protège. Deux erreurs ruinent régulièrement les démarches : traiter la conformité comme une fin plutôt qu'un moyen, et vouloir tout sécuriser en même temps. La sécurité OT progresse par paliers, en commençant par les actifs les plus critiques et les expositions les plus béantes.

7.1 La couverture OT/ICS de Beareye

C'est sur ces fondations que la plateforme Beareye, éditée par BEAROPS, apporte une réponse pensée pour les environnements industriels. La découverte non intrusive des actifs, l'inventaire continu via le CAASM, la priorisation des vulnérabilités fondée sur l'exploitabilité réelle et la gestion du risque fournisseur s'articulent en une vue unifiée et souveraine de la surface d'attaque. Le RSSI industriel ne présente plus à sa direction un constat daté, mais une tendance actualisée en permanence, sur laquelle arbitrer les investissements de sécurité.