Introduction : la connectivité élargit la surface d’attaque industrielle
L’automatisation industrielle entre dans une nouvelle phase où l’intelligence artificielle, la connectivité au cloud, la robotique et les systèmes de contrôle axés sur les données sont de plus en plus interconnectés. Ces technologies aident les fabricants à mieux suivre la production, à optimiser les performances des équipements et à répondre à l’évolution des besoins opérationnels. Cependant, elles créent aussi de nouveaux défis de cybersécurité dans les domaines des technologies de l’information (IT), des technologies opérationnelles (OT), des systèmes d’ingénierie et des points d’accès tiers.
L’IA de pointe transforme le paysage des menaces en aidant les attaquants à accélérer la recherche de vulnérabilités, à développer des exploits et à planifier des attaques plus sophistiquées. Pour les fabricants, les inquiétudes vont au-delà du vol de données ou de la compromission des réseaux bureautiques. Un incident cyber peut interrompre la production, nuire à la qualité des produits, exposer la propriété intellectuelle ou créer des conditions d’exploitation dangereuses.
Du point de vue de l’ingénierie industrielle, le véritable défi ne consiste pas simplement à empêcher les accès non autorisés. Il s’agit de garder le contrôle de l’ensemble de l’environnement de production en cas d’incident de sécurité. La cybersécurité doit donc être considérée comme un élément de la résilience opérationnelle, et les stratégies de protection doivent tenir compte du comportement des équipements, des dépendances entre les processus et des exigences de sécurité.
Comment l’IA de pointe transforme la cybersécurité industrielle
Les attaques assistées par l’IA peuvent réduire le délai entre la découverte d’une vulnérabilité et son exploitation. Les équipes de sécurité qui s’appuient sur des enquêtes manuelles, des inventaires d’actifs fragmentés et de longues procédures d’approbation peuvent avoir du mal à réagir avant qu’une intrusion ne touche les systèmes de production.
Le risque se complexifie lorsque les connexions de maintenance à distance, les postes de travail d’ingénierie, les réseaux Ethernet industriels et les applications d’entreprise interagissent avec les systèmes de contrôle. Une vulnérabilité dans un domaine peut servir de point d’entrée vers un autre, en particulier lorsque la segmentation du réseau et les restrictions d’accès sont insuffisantes.
L’utilisation croissante des jumeaux numériques, des robots autonomes, de la vision industrielle et de l’optimisation des processus assistée par l’IA introduit des interfaces supplémentaires qu’il faut protéger. Ces systèmes peuvent dépendre de services logiciels, de sources de données externes, de contrôleurs spécialisés et de connexions gérées par les fournisseurs.
Un point mérite une attention particulière : une usine connectée ne peut pas être efficacement sécurisée en traitant chaque équipement comme un terminal informatique isolé. Par exemple, selon ses autorisations et ses liens avec les contrôleurs, les systèmes de sécurité et les équipements de production, un poste de travail d’ingénierie compromis peut présenter un niveau de risque opérationnel différent de celui d’un terminal de supervision compromis. Les décisions de sécurité doivent tenir compte de ces différences.
La lacune dans la réponse opérationnelle : la détection n’est qu’un début
De nombreux fabricants ont investi dans des pare-feu, la protection des terminaux, la détection des intrusions et la surveillance de la sécurité. Pourtant, la présence de ces outils ne garantit pas qu’une organisation puisse intervenir efficacement en cas d’incident.
Dans les environnements industriels, les responsabilités sont souvent réparties entre les équipes de cybersécurité, les ingénieurs en automatisation, les opérateurs d’usine, le personnel de maintenance, la direction de l’ingénierie et les prestataires de services externes. Chaque groupe peut connaître une partie du système, mais l’absence de responsabilités décisionnelles clairement attribuées peut retarder le confinement et le rétablissement.
Dans les environnements informatiques classiques, il peut être relativement simple d’isoler un terminal compromis. Dans une usine, déconnecter un appareil peut interrompre une boucle de commande, supprimer la visibilité du système de supervision ou perturber un processus coordonné. Un arrêt immédiat n’est pas toujours la réponse la plus sûre, et il n’est pas forcément acceptable de laisser un système compromis connecté.
La bonne mesure dépend du processus, de l’architecture du système, des mécanismes de secours disponibles et des conséquences d’une perte de contrôle ou de visibilité. Les fabricants ont besoin de procédures d’intervention qui distinguent le confinement informatique, le confinement des TO, l’arrêt contrôlé de la production et le rétablissement d’un état de fonctionnement vérifié.
Les capacités de la main-d’œuvre posent un défi supplémentaire. Deloitte a souligné que l’industrie manufacturière doit remédier aux importantes pénuries de main-d’œuvre, notamment aux quelque 2,3 millions de postes dans le secteur manufacturier qui devraient être à pourvoir entre 2025 et 2030. Il devient donc de plus en plus important d’élaborer des procédures qui aident le personnel en place à prendre des décisions éclairées sans dépendre entièrement d’un petit nombre de spécialistes en cybersécurité.
Cinq mesures concrètes pour sécuriser l’usine connectée
1. Mettre en place une gouvernance unifiée des TI, des TO et de l’ingénierie
La gouvernance de la cybersécurité doit relier les politiques de sécurité de l’entreprise aux exigences pratiques des opérations de l’usine. Une équipe permanente et transversale doit réunir des spécialistes de la cybersécurité, des ingénieurs en automatisation, des responsables des opérations, du personnel chargé de la sécurité et les décideurs concernés.
Les responsabilités doivent être documentées avant qu’un incident ne survienne. Chaque scénario d’intervention doit préciser qui peut révoquer l’accès à distance, isoler un segment réseau, désactiver un service, approuver une modification liée à un contrôleur ou autoriser une interruption de la production.
Les mesures préapprouvées peuvent réduire les délais, mais elles doivent s’inscrire dans des limites techniques et de sécurité définies. Les changements susceptibles d’affecter une fonction instrumentée de sécurité, une boucle de commande critique ou la stabilité du processus doivent suivre les procédures d’examen et d’autorisation d’ingénierie appropriées.
À mon avis, la gouvernance n’est efficace que lorsqu’elle aboutit à des décisions exécutables. Une politique qui impose une escalade sans préciser qui est responsable de la décision, le délai de réponse et les mesures de remplacement sûres apportera peu d’aide lors d’un incident qui évolue rapidement.
2. Hiérarchiser les actifs en fonction des conséquences opérationnelles
Un inventaire complet des actifs constitue le point de départ, et non l’objectif final. Les fabricants doivent également comprendre les interactions entre les actifs et ce qui se passe lorsqu’un composant particulier devient indisponible ou perd son intégrité.
L’évaluation des priorités doit prendre en compte les automates programmables industriels (API), les serveurs des systèmes de contrôle distribué (DCS), les contrôleurs de sécurité, les postes d’ingénierie, les interfaces homme-machine (IHM), l’infrastructure réseau industrielle, les historiens de données et les passerelles d’accès à distance. Les priorités réelles varieront selon le site et le processus.
La criticité des actifs doit être évaluée en fonction de plusieurs facteurs :
- L’effet potentiel sur la sécurité du personnel et la protection de l’environnement.
- Les conséquences d’une perte du contrôle des processus ou de la visibilité opérationnelle.
- La possibilité d’une interruption de la production, d’écarts de qualité ou de dommages matériels.
- La disponibilité d’équipements redondants, de procédures d’exploitation manuelles et de solutions de reprise.
- Le degré de connexion aux réseaux externes et aux systèmes tiers.
Cette approche favorise une gestion des vulnérabilités fondée sur les risques. Une vulnérabilité sur un poste d’ingénierie essentiel à la production peut nécessiter une intervention plus urgente qu’une faille similaire sur un système de test déconnecté.
Il est également important de tenir compte des équipements anciens. Certains contrôleurs industriels ne peuvent pas être mis à jour rapidement en raison des limites de leur micrologiciel, des restrictions imposées par les fournisseurs, des exigences de certification ou de la nécessité de prévoir un arrêt pour maintenance. Dans ces cas, des restrictions d’accès, la segmentation du réseau, des contrôles des applications et d’autres mesures compensatoires validées peuvent réduire l’exposition pendant l’élaboration d’un plan de remédiation sûr.
3. Utiliser l’IA pour la défense sans lui accorder de pouvoirs incontrôlés
L’IA peut aider les équipes de sécurité à corréler les alertes, à repérer les comportements inhabituels sur le réseau, à analyser l’exposition aux vulnérabilités, à cartographier les chemins d’attaque possibles et à hiérarchiser les mesures correctives. Ces capacités peuvent réduire le temps consacré aux analyses répétitives et aider les ingénieurs à se concentrer sur les incidents ayant des conséquences opérationnelles plus importantes.
Cependant, les recommandations générées par l’IA ne sont pas automatiquement correctes, et un agent d’IA ayant accès aux systèmes de production peut introduire des risques supplémentaires si ses autorisations sont mal conçues.
Les fabricants doivent appliquer le principe du moindre privilège, limiter les actions autorisées, tenir des registres vérifiables et définir les cas où une autorisation humaine est obligatoire. Les changements à fort impact concernant les configurations des contrôleurs, les systèmes liés à la sécurité, l’isolement du réseau ou l’arrêt de la production doivent suivre des procédures explicitement approuvées plutôt que d’être confiés sans discernement à des agents autonomes.
Avant leur déploiement, les flux de travail de sécurité intégrant l’IA doivent être testés dans un environnement isolé et représentatif. Les tests doivent couvrir les alertes inexactes, les informations incomplètes sur les actifs, l’indisponibilité des services, les demandes non autorisées et les interactions inattendues avec les protocoles industriels.
Une distinction pratique s’impose : l’IA doit accélérer l’analyse et les tâches de réponse strictement encadrées, sans se substituer au jugement des ingénieurs lorsque des processus physiques et la sécurité du personnel sont en jeu. Le degré d’automatisation approprié dépend des conséquences d’une action incorrecte, et non simplement de la rapidité d’exécution d’un modèle.
4. Tester la réponse aux incidents dans des conditions industrielles réalistes
Les procédures écrites et les exercices sur table sont utiles, mais ils ne permettent pas de démontrer toutes les dépendances techniques d’une usine en activité. Les fabricants doivent valider leurs capacités de réponse au moyen d’exercices contrôlés reflétant l’architecture réelle du réseau, le comportement des équipements et les exigences de reprise.
Les tests doivent permettre d’évaluer si les équipes peuvent identifier les actifs touchés, déterminer l’ampleur d’une intrusion, contenir les connexions compromises, préserver la visibilité nécessaire sur les processus et rétablir les systèmes dans un état vérifié.
Parmi les indicateurs de performance utiles :
- Temps nécessaire pour détecter et évaluer un incident.
- Temps nécessaire pour autoriser une mesure de confinement.
- Temps nécessaire pour contenir la menace sans créer de risque opérationnel inacceptable.
- Temps nécessaire pour rétablir une production sûre et stable.
- Pourcentage des actifs critiques dont la propriété est vérifiée et les données de configuration à jour.
- Exposition liée aux comptes fournisseurs et aux voies d’accès à distance.
- Pertes de production ou écarts de processus associés aux activités de réponse.
L’objectif n’est pas d’obtenir le temps de réponse le plus court possible à tout prix. Un changement rapide mais insuffisamment validé peut provoquer un deuxième incident. Les performances en matière de réponse doivent être évaluées selon la rapidité avec laquelle l’organisation peut réduire les risques tout en préservant la sécurité et la maîtrise des opérations.
Lorsqu’une mise à jour immédiate n’est pas réalisable, les mesures temporaires de confinement doivent être consignées, surveillées et réexaminées jusqu’à la mise en œuvre d’une correction permanente dans le cadre d’un processus de gestion des changements approuvé.
5. Développer les connaissances en cybersécurité dans l’ensemble du personnel
La cybersécurité industrielle ne relève pas uniquement du service informatique. Les opérateurs, les techniciens de maintenance, les ingénieurs en automatisation, les intégrateurs de systèmes et les prestataires de services externes influent tous sur la sécurité des environnements de production connectés.
La formation devrait être adaptée aux responsabilités de chaque groupe. Les opérateurs doivent savoir repérer les comportements anormaux du système et comprendre les procédures d’escalade. Les ingénieurs en automatisation doivent évaluer les effets des modifications de configuration et de l’isolation du réseau. Les équipes de maintenance ont besoin de règles claires concernant l’accès à distance, les appareils d’ingénierie portables et l’installation de logiciels.
Les outils assistés par l’IA peuvent aider le personnel à interpréter les alertes, à trouver les procédures pertinentes et à accéder à des conseils techniques. Toutefois, ces outils devraient soutenir les procédures d’exploitation établies plutôt que de produire des consignes contradictoires ou d’encourager des modifications non autorisées.
Les fabricants devraient également répéter des scénarios réalistes, notamment la compromission d’identifiants de fournisseurs, des activités suspectes sur un poste de travail d’ingénierie, des rançongiciels touchant les systèmes de supervision et la perte de communication avec des équipements essentiels.
Une main-d’œuvre bien formée peut accélérer le passage des premières observations à une action éclairée. C’est particulièrement précieux dans les installations où des spécialistes de la cybersécurité ne sont pas présents en permanence sur site.
L’architecture des réseaux industriels et la gestion du cycle de vie sont essentielles
Les cinq actions ci-dessus gagnent en efficacité lorsqu’elles s’appuient sur une architecture de réseau industriel claire et une gestion rigoureuse du cycle de vie.
Les fabricants devraient séparer les systèmes informatiques d’entreprise, les réseaux de supervision industrielle, les réseaux de contrôle et les environnements liés à la sécurité, en fonction de leurs exigences opérationnelles. Les communications entre les zones devraient être explicitement contrôlées, surveillées et limitées aux services nécessaires. L’accès à distance pour la maintenance devrait emprunter des voies authentifiées, autorisées et auditables plutôt que des connexions sans restriction.
Les équipements anciens nécessitent une attention particulière. Les anciens automates programmables, composants de systèmes de contrôle distribué (DCS), passerelles de communication et outils d’ingénierie peuvent ne pas disposer de fonctionnalités de sécurité modernes ou rester en service, car leur remplacement entraînerait des coûts importants et des travaux de validation considérables. Leur maintien en service devrait s’appuyer sur des évaluations des risques documentées, une connectivité restreinte, des sauvegardes de configuration et des procédures de reprise testées.
Les mesures de sécurité doivent également être compatibles avec les communications déterministes, la disponibilité des procédés et les configurations prises en charge par les fournisseurs. Le déploiement d’un outil d’inspection peu familier ou la modification non testée d’un pare-feu directement sur un réseau de production peut entraîner des problèmes opérationnels, même si l’objectif de sécurité est pertinent.
Pour cette raison, les projets de cybersécurité devraient intégrer l’automatisation et l’ingénierie des procédés dès la phase de conception. Les exigences de sécurité sont plus faciles à mettre en œuvre lorsque la segmentation du réseau, la gestion des identités, la journalisation, l’architecture de reprise et le soutien tout au long du cycle de vie sont pris en compte lors de la conception du système plutôt qu’ajoutés après sa mise en service.
Évaluer la résilience au-delà du nombre d’outils de sécurité
Le nombre de produits de sécurité déployés indique peu la capacité d’une usine à résister à un cyberincident. Une évaluation plus pertinente consiste à déterminer si l’organisation sait ce qu’elle exploite, comprend ses dépendances et peut mettre en œuvre une réponse sûre sous pression.
Les fabricants devraient vérifier régulièrement les inventaires d’actifs, tester les sauvegardes au moyen d’exercices de restauration, examiner les comptes à privilèges, évaluer les accès des fournisseurs et confirmer que les procédures d’intervention restent compatibles avec la configuration actuelle de l’usine. Les constats devraient déboucher sur des mesures correctives attribuées, assorties d’échéances claires et de responsables désignés.
La résilience devrait également inclure le rétablissement après la perte de services essentiels. Par exemple, un plan d’intervention devrait préciser comment les opérateurs maintiendront une visibilité suffisante sur les processus si les systèmes de supervision deviennent indisponibles, et comment les équipes d’ingénierie vérifieront les configurations des contrôleurs avant de rétablir les communications normales.
Ces activités relient la cybersécurité aux disciplines bien établies de l’ingénierie industrielle : gestion des changements, sécurité fonctionnelle, planification de la maintenance, assurance qualité et évaluation des risques opérationnels. L’intégration de ces disciplines peut rendre les mesures de sécurité plus concrètes et plus faciles à maintenir tout au long du cycle de vie des équipements.
Conclusion : faire de la cybersécurité une capacité opérationnelle
L’IA de pointe accroît la vitesse et la sophistication des cybermenaces potentielles, mais la technologie à elle seule ne déterminera pas quels fabricants sauront réagir efficacement. L’issue dépendra aussi de la visibilité sur les actifs, de l’architecture réseau, des pouvoirs décisionnels, de la rigueur technique et de la préparation du personnel.
Les fabricants devraient privilégier les mesures qui protègent les processus critiques, limitent les connexions inutiles et permettent un confinement rapide et encadré des menaces. L’IA peut améliorer la détection et l’analyse, à condition que son accès et ses actions restent soumis à des garde-fous adaptés. Les plans d’intervention doivent être validés au regard des dépendances industrielles réelles, et non simplement consignés pour satisfaire aux exigences de conformité.
La leçon essentielle est simple : une usine connectée sécurisée n’est pas une usine qui suppose pouvoir prévenir toutes les attaques. C’est une usine capable de détecter les situations anormales, de prendre des décisions éclairées, de contenir les menaces dans des limites de sécurité définies et de rétablir ses opérations selon une procédure testée. À l’ère de l’IA de pointe, cette capacité devrait être considérée comme une composante mesurable de la performance industrielle et de la résilience opérationnelle.
