Sécurité OT : à quoi vos clients sont-ils réellement exposés et comment y faire face

Les conséquences physiques changent tout

L'OT englobe les systèmes programmables qui surveillent ou contrôlent des processus physiques : systèmes de contrôle industriel (ICS), SCADA, automates programmables (PLC), gestion technique des bâtiments et ordinateurs d'atelier qui les exécutent. La définition du NIST est plus large que ce que la plupart des gens imaginent. Tout élément capable de détecter ou de provoquer une modification physique directe - qu'il s'agisse d'une chaîne de production, d'une sous-station ou des systèmes de régulation thermique d'un bâtiment - se situe dans le périmètre de l'OT.

C'est crucial, car le scénario catastrophe n'est pas le même. En informatique d'entreprise (IT), le pire scénario crédible est généralement la perte, le chiffrement ou la fuite de données. En OT, il peut s'agir d'un état physique dangereux : une cuve en surpression, une sous-station privée d'électricité ou un lot de production non conforme aux critères de validation. C'est pourquoi la sécurité OT donne la priorité absolue à la sécurité physique (safety), puis à la disponibilité, et enfin à l'intégrité et à la confidentialité. La sécurité IT fonctionne généralement en sens inverse, en commençant par la confidentialité. Si un client vous demande pourquoi il ne peut pas simplement appliquer sa politique existante de protection des terminaux aux ateliers de production, voici la réponse honnête à lui donner.

Cela redéfinit également la notion de « tolérance aux arrêts ». Une usine à processus continu incapable d'absorber un redémarrage imprévu n'est pas en retard en matière de sécurité : elle fonctionne simplement selon les contraintes physiques de son procédé. De plus, une configuration d'automate certifiée par le fabricant (OEM) ne peut souvent pas être mise à jour au même rythme qu'un parc d'ordinateurs portables sans imposer une nouvelle certification. Les contrôles compensatoires et les fenêtres de maintenance planifiées remplissent le rôle qu'un cycle régulier de correctifs assumerait en IT.

Ce qui se passe réellement sur le terrain

Deux schémas distincts expliquent la majorité des incidents sur lesquels les clients s'interrogent, et ils exigent des stratégies de défense différentes. Le premier est le ciblage direct des environnements de contrôle. Dragos a relié une attaque coordonnée contre des systèmes polonais de cogénération et d'énergies renouvelables, fin décembre 2025, au groupe ELECTRUM, la décrivant comme la première attaque coordonnée à grande échelle contre des ressources énergétiques distribuées. Une autre campagne menée à la mi-2025 contre la compagnie nationale pakistanaise de transport d'électricité impliquait la recherche active d'exploits SCADA et le balayage de ports Modbus - précisément le type de reconnaissance que la visibilité des actifs et la surveillance tenant compte des protocoles sont conçues pour intercepter.

Le second schéma est plus fréquent et, à bien des égards, plus représentatif de la manière dont la plupart des clients de nos partenaires sont réellement touchés : des incidents IT avec des répercussions opérationnelles, sans aucune compromission confirmée d'un automate. Nucor a interrompu une partie de sa production par précaution après un accès non autorisé à son réseau IT. Masimo a dû faire fonctionner ses lignes de fabrication en sous-capacité pendant des semaines à la suite d'une intrusion réseau. Jaguar Land Rover a prolongé l'arrêt de sa production de plus d'une semaine après un incident survenu en septembre 2025. Le rançongiciel qui a frappé Asahi au cours du même mois a paralysé les systèmes de commande et d'expédition, la logistique ne revenant totalement à la normale qu'en février 2026. Aucune de ces attaques ne ciblait directement un automate. Toutes ont pourtant stoppé la production, car l'IT et l'OT sont bien plus interconnectées que la plupart des évaluations des risques ne le supposent.

Les chiffres le confirment. Dragos a recensé 119 groupes de rançongiciels ciblant des organisations industrielles en 2025 (contre 80 l'année précédente), touchant environ 3 300 organisations, le secteur manufacturier absorbant plus des deux tiers des attaques. Siemens évalue le coût des arrêts imprévus à près de 1 400 milliards de dollars par an pour les 500 plus grandes entreprises mondiales. Ce qui ressort de l'enquête 2025 du SANS Institute n'est pas la détection - près de la moitié des incidents ont été détectés en moins de 24 heures -, mais la reprise d'activité : près d'un incident sur cinq a nécessité plus d'un mois pour être résolu. La détection est devenue plus rapide que la restauration, et c'est pourtant dans la restauration que se concentre le coût réel.

Le cadre réglementaire sur lequel vos clients sont réellement évalués

Pour la plupart de vos clients, la directive NIS 2 détermine si la résilience OT constitue une obligation légale ou un simple avantage facultatif. La directive ne crée pas de cadre distinct pour l'OT, mais elle s'applique directement aux secteurs de l'énergie, des transports, de l'eau, de la santé et de l'industrie manufacturière. De plus, son article 21 formule des exigences concrètes : gestion des incidents, sauvegarde et reprise après sinistre, sécurité de la chaîne d'approvisionnement et contrôle des accès. Pour un client de ces secteurs, la conformité NIS 2 et la résilience OT ne forment qu'un seul et même sujet, et non deux démarches distinctes.

Dans la pratique, la lacune la plus courante chez les clients affirmant être prêts pour NIS 2 est toujours la même : ils disposent d'une routine de sauvegarde, mais celle-ci n'a jamais été testée face à des contraintes matérielles réelles, où le composant d'origine n'existe plus et où aucun équivalent direct n'est disponible. Sauvegarder la logique des automates, les configurations SCADA et DCS, les fichiers IHM et les configurations des équipements réseau est une chose. Démontrer concrètement que vous pouvez les restaurer - ce dont l'article 21 exige la preuve tangible - en est une autre.

Ce que cela implique pour vos échanges OT avec vos clients

Une architecture de sécurité OT crédible et défendable nécessite de conjuguer visibilité des actifs, segmentation, surveillance et reprise d'activité ; or, aucun fournisseur unique ne couvre ces quatre aspects de manière optimale. C'est précisément pour cela qu'échanger avec un distributeur vous apporte bien plus qu'écouter le discours d'un seul éditeur : vous pouvez composer la solution qui correspond véritablement à l'environnement du client, au lieu d'étendre artificiellement un produit unique à quatre problématiques distinctes pour lesquelles il n'a pas été conçu.

Concernant plus particulièrement le volet résilience - la sauvegarde et la restauration des équipements de type PC dont l'arrêt bloque la production (postes de travail IHM, serveurs SCADA, consoles d'ingénierie, serveurs historiens) -, Acronis Cyber Protect for OT a été conçu autour de la sauvegarde basée sur des images, de la reprise sur matériel hétérogène et de la prise en charge des systèmes d'exploitation Windows et Linux hérités (legacy) omniprésents dans les usines existantes (brownfield). La solution est pensée pour revenir rapidement à un état de production validé, et non simplement pour mener à bien une tâche de sauvegarde ; elle fonctionne également dans des environnements isolés (air-gap) où la connectivité au cloud n'est pas envisageable. Pour le volet de la visibilité des actifs et de la gestion des vulnérabilités, Nanitor offre aux clients l'inventaire et la cartographie d'exposition dont la documentation est de plus en plus exigée au titre de l'article 21 de NIS 2.

Si un client s'interroge sur la sécurité OT, la prochaine étape constructive n'est généralement pas de lui présenter un p

[...]