Qu'est-ce que la sécurité OT ? Définition, défis et meilleures pratiques

La sécurité OT protège les systèmes industriels qui pilotent les processus physiques dans les infrastructures critiques. Couvre la segmentation selon le modèle Purdue, la convergence IT/OT et les recommandations du NIST.

Qu'est-ce que la sécurité OT ?

En mai 2021, l’attaque par ransomware DarkSide a forcé Colonial Pipeline à arrêter ses opérations pendant cinq jours, et l’entreprise a payé une rançon de 4,4 millions de dollars, selon un communiqué du DOJ. La méthode d’entrée n’était pas une exploitation de vulnérabilité zero-day. Les attaquants ont exploité des faiblesses d’accès à distance et d’identifiants, puis ont transformé un point d’appui côté IT en une perturbation opérationnelle.

La sécurité OT est la discipline qui consiste à protéger les systèmes matériels et logiciels qui surveillent et contrôlent les processus physiques dans les infrastructures critiques. Ces systèmes, tels que définis par le NIST SP 800-82r3, incluent les systèmes de contrôle industriel (ICS), les réseaux de contrôle et d’acquisition de données (SCADA), les systèmes de contrôle distribués (DCS) et les automates programmables industriels (PLC).

Les actifs OT gouvernent directement les résultats physiques. Un PLC compromis peut ouvrir une vanne, surchauffer une turbine ou arrêter un processus de traitement de l’eau. Lorsque ces systèmes échouent, les conséquences dépassent la simple perte de données pour aller jusqu’à la destruction d’équipements, des dommages environnementaux et des menaces pour la vie humaine.

Comment la sécurité OT se rapporte à la cybersécurité

Si vous venez d’un environnement de sécurité IT, vous connaissez déjà la triade CIA : Confidentialité, Intégrité, Disponibilité. La sécurité OT inverse complètement cet ordre de priorité.

Selon l’ Institut SANS, « l’objectif principal de la cybersécurité OT est de maintenir la sécurité, la fiabilité et la disponibilité des opérations industrielles. » En pratique, cela signifie :

• La disponibilité est prioritaire. Une centrale électrique ou une usine de traitement de l’eau ne peut pas être mise hors ligne pour un correctif de sécurité sans risquer la sécurité publique.
• L’intégrité arrive en second. Les commandes de contrôle doivent s’exécuter avec précision pour que les machines effectuent des opérations sûres et prévisibles.
• La confidentialité est en troisième position. Le vol de données importe moins que la perte de contrôle opérationnel des processus physiques.

Ce renversement des priorités crée une tension fondamentale. Les contrôles de sécurité sur lesquels vous comptez dans les environnements IT, tels que l’inspection approfondie des paquets, les cycles de correctifs agressifs et les analyses antivirus en temps réel, peuvent introduire une latence qui perturbe les opérations OT nécessitant une précision à la milliseconde. Comme le documente le  NIST SP 800-82r3, les systèmes OT « peuvent affecter le monde physique, et par conséquent, la définition du risque appliquée à un ICS doit inclure des considérations pour les conséquences potentielles dans le monde réel. »

Ce changement de priorité façonne chaque décision architecturale dans un programme de sécurité OT, de la segmentation des réseaux à la gestion des vulnérabilités. Les composants suivants traduisent ce principe en contrôles concrets.

Composants clés de la sécurité OT

La construction d’un programme de sécurité OT nécessite cinq composants fondamentaux, chacun adapté aux contraintes opérationnelles des environnements industriels.

1. Segmentation réseau basée sur le modèle Purdue

La Purdue Enterprise Reference Architecture (PERA) fournit un cadre hiérarchique pour séparer les réseaux OT des réseaux IT. Selon une  publication du DOE, ce modèle définit six niveaux, du niveau 0 (dispositifs de terrain comme les capteurs et actionneurs) au niveau 5 (connectivité externe incluant le support fournisseur et l’accès cloud). Un ajout critique pour les environnements modernes est le niveau 3.5, une zone démilitarisée (DMZ) qui héberge des services partagés comme les historiens de données, empêchant le trafic direct entre l’IT d’entreprise et les systèmes de contrôle OT. Les  recommandations de segmentation de la CISA exigent plusieurs couches de DMZ avec application de pare-feu à chaque frontière.

2. Inventaire et visibilité des actifs

Vous ne pouvez pas protéger ce que vous ne voyez pas. Les  recommandations d’inventaire de la CISA décrivent une approche par étapes : définir le périmètre, attribuer des rôles de gouvernance, puis effectuer des inspections physiques et des relevés logiques pour compiler des listes d’actifs avec des attributs tels que la criticité et la configuration de sécurité.

Un défi particulier concerne les dispositifs dormants. Les contrôleurs de secours, les systèmes de sécurité redondants et les équipements d’urgence restent inactifs pendant les opérations normales, invisibles pour la surveillance passive du réseau, et exploitables par les attaquants.

3. Accès à distance sécurisé

L’accès à distance des fournisseurs est à la fois une nécessité opérationnelle et une vulnérabilité persistante. Selon le  guide Defense-in-Depth, les contrats fournisseurs exigent fréquemment un accès à distance aux équipements, et les attaquants utilisent ces connexions comme points d’entrée. Sécuriser ce canal nécessite des serveurs de rebond dans les segments DMZ, l’authentification multifacteur, un accès temporaire basé sur les rôles et un chiffrement fort.

4. Gestion des correctifs basée sur le risque

Le déploiement de correctifs sur les systèmes OT est fondamentalement différent de celui sur les terminaux IT. Selon la  feuille de route de la CISA, « les propriétaires et exploitants d’ICS n’appliquent pas les correctifs pour de nombreuses raisons, notamment le risque ou le coût de perturbation des processus opérationnels et l’absence de correctifs fournis par les fournisseurs pour certains équipements. »

Lorsque le correctif direct n’est pas possible, vous déployez des mesures compensatoires : segmentation réseau renforcée autour des actifs vulnérables, liste blanche d’applications, restrictions d’accès accrues et surveillance renforcée des tentatives d’exploitation.

5. Surveillance comportementale spécifique à l’OT

Les environnements industriels bénéficient de la surveillance des anomalies comportementales car le trafic réseau OT suit des schémas prévisibles et répétitifs. Selon le  NIST IR 8219, la surveillance comportementale améliore la fiabilité des ICS en détectant les données anormales avant qu’elles ne perturbent les opérations. Une surveillance efficace nécessite des capacités spécifiques aux protocoles industriels tels que Modbus, DNP3, EtherNet/IP et PROFINET.

Ensemble, ces cinq composants constituent les fondations d’un programme de sécurité OT. L’étape suivante consiste à les intégrer dans un modèle opérationnel qui fonctionne sans perturber la production.

Comment fonctionne la sécurité OT

La sécurité OT fonctionne par des défenses en couches qui tiennent compte des contraintes des environnements industriels.

Étape 1 : Cartographier l’environnement

Votre programme de sécurité commence par la découverte des actifs. Vous effectuez des inspections physiques des dispositifs de terrain, des relevés logiques des communications réseau et la documentation de chaque contrôleur, capteur, IHM et poste d’ingénierie. Cet inventaire se mappe directement aux niveaux du modèle Purdue, vous donnant une vision claire de ce qui existe à chaque couche.

Étape 2 : Segmenter et isoler

En utilisant le modèle Purdue comme plan, vous établissez des frontières d’application entre les zones réseau. Les pare-feu avec des règles par défaut de refus contrôlent le trafic à chaque frontière. La DMZ au niveau 3.5 héberge des services partagés comme les historiens et serveurs de rapports tout en empêchant la communication directe entre le réseau d’entreprise et les systèmes de contrôle.

Étape 3 : Établir des bases de référence

Les PLC exécutent la même logique de contrôle de façon répétée. Les intervalles d’interrogation SCADA suivent des horaires fixes. Vous capturez ces schémas de communication normaux comme bases de référence, puis signalez les écarts : commandes de protocole inattendues, nouvelles connexions entre des dispositifs qui ne communiquaient jamais auparavant, ou modifications de la logique PLC.

Étape 4 : Surveiller et répondre

La surveillance continue observe le trafic réseau aux frontières d’application et à l’intérieur des zones. Lorsque des anomalies apparaissent, telles qu’une commande d’écriture non autorisée vers un PLC ou une connexion inattendue du réseau d’entreprise vers un contrôleur de niveau 1, vos procédures de réponse s’activent. La  réponse aux incidents OT diffère de la réponse IT car isoler un système compromis peut entraîner l’arrêt d’un processus critique. Les plans de réponse doivent tenir compte de la continuité opérationnelle et de la sécurité physique.

Étape 5 : Maintenir par la gestion du cycle de vie

La sécurité OT n’est pas un déploiement ponctuel. Vous mettez continuellement à jour les inventaires d’actifs, réévaluez les risques à mesure que de nouvelles vulnérabilités apparaissent et testez les mesures compensatoires lorsque les correctifs restent indisponibles. Recoupez les évaluations de vulnérabilité avec le  catalogue des vulnérabilités exploitées connues de la CISA pour prioriser la remédiation.

Une fois que vous pouvez exécuter ces étapes de manière fiable, la question suivante devient : où les attaquants sont-ils le plus susceptibles d’entrer ? De plus en plus, la réponse est la frontière convergée IT/OT.

Pourquoi la convergence IT/OT augmente le risque

Le plus grand changement structurel dans la sécurité OT est la convergence des réseaux IT et OT. Selon un  rapport du DOE sur la chaîne d’approvisionnement, cette convergence « continue de s’accroître », créant de nouveaux risques à mesure que les systèmes du secteur de l’énergie connectent les TIC et l’OT pour gagner en efficacité. Le  rapport stratégique du NSTAC résume le paradoxe : la connectivité apporte des gains d’efficacité tout en exposant les systèmes OT à des menaces pour lesquelles ils n’ont jamais été conçus.

La convergence crée des chemins d’attaque spécifiques que votre programme de sécurité doit traiter :

• Architectures réseau plates où les attaquants se déplacent latéralement vers les environnements SCADA parce que les frontières réseau sont faibles ou inexistantes, selon le  rapport paysage de la CISA.
• Exploitation de protocoles hérités via des protocoles industriels non chiffrés comme Modbus, DNP3 et ICCP qui transmettent des données sans chiffrement ni authentification.
• Vulnérabilités d’accès à distance via des VPN et des canaux de support fournisseur qui contournent l’authentification ou la surveillance appropriée.

Pour les responsables de la sécurité gérant des environnements convergés, le côté IT du réseau est le principal point d’entrée par lequel les adversaires atteignent les actifs OT. Si vous raisonnez déjà en termes d’ approche XDR, appliquez ce même état d’esprit de visibilité aux chemins reliant les terminaux d’entreprise à votre réseau de contrôle. Comprendre ces chemins révèle également pourquoi la construction d’un programme de sécurité OT est difficile en pratique.

Défis de la sécurité OT

La mise en place d’un programme de sécurité OT présente des obstacles distincts, même avec des cadres établis et des recommandations gouvernementales.

1. Systèmes hérités impossibles à mettre à jour : Le  rapport du DOE souligne que les dispositifs SCADA hérités n’ont pas été conçus avec la cybersécurité à l’esprit et que tenter de les mettre à niveau pourrait casser des dépendances avec d’autres systèmes connectés. Vous pouvez être amené à protéger des PLC fonctionnant sur des systèmes d’exploitation non supportés avec des mots de passe codés en dur, des protocoles non chiffrés et aucune possibilité de correctif sans tests approfondis ou arrêts système.
2. Contraintes de disponibilité opérationnelle : L’application de correctifs aux systèmes OT nécessite des arrêts. Pour une installation de production d’électricité ou une usine de traitement de l’eau fonctionnant 24/7, toute interruption comporte un risque. Cette contrainte vous oblige à recourir plus souvent à des mesures compensatoires qu’à une remédiation directe.
3. Multiplicité des acteurs de la menace : Des acteurs étatiques sophistiqués comme des hacktivistes peu expérimentés ciblent désormais l’OT. Selon un  avis conjoint de décembre 2025, des groupes hacktivistes pro-Russie ont ciblé avec succès des réseaux SCADA en utilisant des méthodes basiques, réalisant parfois des attaques DDoS simultanées pour faciliter les intrusions SCADA. Par ailleurs, une  alerte CISA décrit comment des attaquants ont perturbé Prykarpattyaoblenergo en Ukraine en 2015, privant environ 225 000 clients d’électricité pendant plusieurs heures.
4. Coordination interfonctionnelle : La sécurité OT exige la collaboration entre la sécurité IT, les ingénieurs de contrôle, les opérateurs d’usine et le personnel de sécurité physique. Aucune discipline ne détient la vision complète. Le  rapport SANS 2025 a constaté que les organisations incluant les techniciens de terrain dans les exercices sur table sont presque deux fois plus susceptibles de démontrer une réelle préparation.
5. Lacunes de visibilité dans l’environnement OT : Les dispositifs dormants, les actifs non documentés et les connexions fournisseurs chiffrées créent des angles morts. Selon le rapport SANS 2025, 49 % des incidents sont désormais identifiés en moins de 24 heures, mais près d’un sur cinq nécessite plus d’un mois pour être résolu.

Ces contraintes ne changent pas l’objectif, mais elles modifient votre plan d’action. Les cadres reconnus fournissent la structure pour les traiter de manière systématique.

Cadres et conformité en sécurité OT

Plusieurs cadres guident la façon dont les organisations construisent et mesurent leurs programmes de sécurité OT. Les trois plus largement adoptés sont le  NIST SP 800-82, l’ IEC 62443 et le  NERC CIP. Chacun a une fonction différente, et la plupart des programmes matures s’inspirent de plusieurs d’entre eux.

NIST SP 800-82 Révision 3, publié en septembre 2023, est le principal guide fédéral américain pour la sécurisation des systèmes de contrôle industriel. Il propose une approche basée sur le risque pour la sécurité OT et s’aligne sur le  NIST Cybersecurity Framework 2.0, incluant la nouvelle fonction Govern qui élève la gouvernance de la cybersécurité OT au niveau organisationnel. Le NIST SP 800-82 est descriptif plutôt que prescriptif : il indique ce qu’il faut considérer et comment évaluer le risque, mais laisse les décisions d’implémentation spécifiques à chaque organisation. Considérez-le comme l’ossature de gestion de votre programme.

IEC 62443, maintenu conjointement par l’ISA et l’IEC, comble les détails techniques laissés ouverts par le NIST SP 800-82. Là où le NIST décrit ce qu’il faut atteindre, l’IEC 62443 définit comment structurer votre programme pour y parvenir. Il est normatif, couvrant les concepts généraux, les politiques et procédures, la sécurité au niveau système et au niveau composant à travers quatre séries de normes. Sa contribution majeure est le modèle de Security Level (SL), qui associe les contrôles à la capacité de l’acteur de la menace que vos défenses doivent pouvoir contrer :

• SL-1 : Protection contre l’exposition accidentelle ou involontaire.
• SL-2 : Protection contre une attaque intentionnelle utilisant des méthodes basiques et des ressources limitées.
• SL-3 : Protection contre des attaques sophistiquées avec des ressources modérées et des connaissances spécifiques à l’automatisation.
• SL-4 : Protection contre des adversaires étatiques ou bien financés disposant d’une expertise OT approfondie.

Le modèle de zones et de conduits de l’IEC 62443 informe directement la façon dont les organisations mettent en œuvre la segmentation du modèle Purdue décrite plus haut dans cet article.

Les normes NERC CIP (Critical Infrastructure Protection) adoptent une approche totalement différente. Elles sont obligatoires pour les opérateurs du réseau électrique nord-américain et prescrivent des contrôles de sécurité spécifiques pour l’identification des actifs, la gestion des accès, la déclaration des incidents et la planification de la reprise. Les organisations soumises au NERC CIP font face à des exigences auditées avec des sanctions en cas de non-conformité. Si vous opérez dans le secteur de l’énergie, le NERC CIP n’est pas optionnel.

Le rapport SANS 2025 confirme que les organisations réglementées ne subissent pas moins d’incidents que leurs homologues, mais elles enregistrent environ 50 % de pertes financières et d’impacts sur la sécurité en moins lors d’incidents. La conformité impose des investissements dans des capacités fondamentales, telles que la visibilité des actifs, la journalisation et la détection des changements, qui constituent également les bases d’une détection et réponse aux menaces efficace.

En pratique, ces cadres fonctionnent mieux en combinaison. Utilisez le NIST SP 800-82 comme structure de gestion de programme et l’IEC 62443 comme spécification technique d’implémentation. Même les organisations sans obligations réglementaires bénéficient de l’adoption de ces normes comme voies structurées de maturité. Avec cette base, vous pouvez traduire les exigences des cadres en pratiques opérationnelles quotidiennes.

Bonnes pratiques en sécurité OT

En s’appuyant sur le NIST SP 800-82r3, les normes IEC 62443 et les  recommandations publiées par la CISA, les pratiques suivantes constituent la base d’un programme de sécurité OT mature.

1. Mettre en œuvre une segmentation réseau en profondeur. Suivez le modèle Purdue pour établir des zones hiérarchiques avec des pare-feu appliquant des règles par défaut de refus à chaque frontière. N’autorisez jamais de trafic direct entre les réseaux IT d’entreprise et les réseaux de contrôle OT.
2. Maintenir un inventaire d’actifs continuellement à jour. Suivez l’approche par étapes de la CISA : définissez le périmètre et la gouvernance, effectuez des relevés physiques et logiques, et capturez les attributs prioritaires, notamment la criticité, les versions de firmware et les configurations de sécurité. Prenez en compte les dispositifs dormants.
3. Imposer l’authentification multifacteur pour tout accès à distance. Utilisez des serveurs de rebond dans les segments DMZ, accordez un accès temporaire basé sur les rôles aux fournisseurs et journalisez toutes les sessions à distance. Éliminez toute connectivité directe au réseau OT depuis des parties externes.
4. Adopter une gestion des correctifs basée sur le risque. Planifiez les correctifs lors de fenêtres de maintenance programmées. Lorsque le correctif n’est pas possible, déployez des mesures compensatoires : liste blanche d’applications, segmentation renforcée et surveillance accrue. Recoupez les vulnérabilités avec le catalogue des vulnérabilités exploitées connues de la CISA.
5. Déployer une surveillance comportementale spécifique à l’OT. Établissez des bases de référence des schémas de communication normaux et signalez les écarts. Surveillez les protocoles industriels (Modbus, DNP3, OPC-UA) pour détecter les commandes non autorisées. Intégrez la surveillance à vos opérations de sécurité globales pour une visibilité unifiée.
6. Élaborer des plans de réponse aux incidents interfonctionnels. Incluez les ingénieurs de contrôle et les opérateurs d’usine aux côtés du personnel de sécurité IT. Réalisez des exercices sur table dirigés par l’ingénierie simulant des scénarios où l’isolement d’un dispositif compromis pourrait perturber des processus critiques.

L’extension de ces bonnes pratiques dans les opérations quotidiennes commence par le renforcement des contrôles côté IT que les adversaires utilisent le plus souvent pour atteindre l’OT.

Points clés à retenir

La sécurité OT protège les systèmes industriels qui contrôlent les processus physiques dans les infrastructures critiques, en privilégiant la disponibilité et la sécurité par rapport à la confidentialité des données. La convergence IT/OT a accru l’exposition, mettant les systèmes hérités en danger. Un programme efficace nécessite une segmentation en profondeur basée sur le modèle Purdue, un inventaire rigoureux des actifs, une gestion des correctifs basée sur le risque et une surveillance comportementale spécifique à l’OT. 

Des cadres comme le NIST SP 800-82 et l’IEC 62443 offrent des voies structurées de maturité, et la sécurisation de la frontière IT avec une protection autonome réduit directement le risque pour les environnements opérationnels connectés.

FAQ

Qu'est-ce que la sécurité OT ?

La sécurité OT est la pratique qui consiste à protéger les systèmes matériels et logiciels qui surveillent et contrôlent les processus physiques dans les environnements industriels. Ces systèmes incluent les ICS, les réseaux SCADA, les DCS et les PLC présents dans des secteurs tels que l'énergie, la fabrication, le traitement de l'eau et les transports. 

La sécurité OT privilégie la disponibilité et la sûreté par rapport à la confidentialité des données, car les défaillances de ces systèmes peuvent entraîner des dommages matériels, des atteintes à l'environnement ou des menaces pour la vie humaine.

Comment la DMZ du modèle Purdue protège-t-elle les réseaux OT ?

Le niveau 3.5 agit comme un point d'échange contrôlé où résident des services partagés tels que les historiens de données et les serveurs de rapports. Le trafic provenant de l'informatique d'entreprise s'arrête dans la DMZ au lieu de continuer directement vers les systèmes de contrôle. Les pare-feu appliquent des règles strictes et spécifiques aux protocoles à chaque frontière : l'une tournée vers les réseaux d'entreprise et l'autre vers les zones OT. 

Les connexions sont unidirectionnelles autant que possible, utilisant des diodes de données ou des passerelles unidirectionnelles qui permettent aux données OT de circuler vers l'extérieur pour l'analyse métier tout en bloquant les commandes entrantes.

Quels sont les vecteurs d'attaque OT les plus courants ?

Les attaquants exploitent principalement une gestion faible des identifiants, des passerelles VPN non corrigées et des dispositifs OT exposés à Internet. Le spear-phishing ciblant les stations de travail d’ingénierie qui relient les réseaux IT et OT reste très efficace. 

Les compromissions de chaîne d’approvisionnement via des mises à jour de microprogrammes malveillantes ou des logiciels fournisseurs compromis introduisent des portes dérobées persistantes. Les organisations se défendent en appliquant des politiques de rotation des identifiants sur tous les dispositifs OT, en déployant une surveillance passive du réseau, en mettant en œuvre un contrôle d’accès réseau aux frontières des zones et en exigeant que les fournisseurs utilisent des jump hosts dédiés avec enregistrement des sessions.

Comment protéger les systèmes OT hérités qui ne peuvent pas être corrigés ?

Isolez les systèmes hérités à l'aide de passerelles unidirectionnelles qui permettent le flux de données sortant pour la surveillance tout en bloquant les commandes entrantes, empêchant ainsi l'exploitation à distance. Déployez des taps réseau passifs pour assurer la visibilité sans introduire de latence. 

Restreignez l'accès physique à l'aide de serrures, de badges et de scellés inviolables sur les panneaux de contrôle. Utilisez des pare-feux sensibles aux protocoles qui n'autorisent que des séquences de commandes industrielles spécifiques tout en bloquant les codes de fonction non autorisés. Mettez en œuvre des politiques d'accès basées sur le temps qui désactivent la connectivité à distance en dehors des fenêtres de maintenance.

Que doit inclure un plan de réponse aux incidents OT ?

Votre plan de réponse aux incidents OT doit prédéfinir des seuils spécifiques aux processus qui déclenchent des chemins de réponse alternatifs. Classez les actifs selon leur criticité et préautorisez les actions : isolez immédiatement les systèmes non critiques ; pour les contrôleurs critiques pour la mission, exécutez des opérations en mode dégradé à l'aide de commandes manuelles ou de sauvegardes redondantes tout en contenant les attaquants en amont. 

Établissez des arbres de décision permettant aux opérateurs de salle de contrôle d'exécuter des protocoles de sécurité prédéfinis sans attendre l'approbation de la sécurité. Documentez les états de sécurité pour chaque processus contrôlé afin que les intervenants sachent quels systèmes peuvent être arrêtés en toute sécurité et lesquels nécessitent une exploitation continue.

Pourquoi la protection des endpoints côté IT est-elle importante pour la sécurité OT ?

La plupart des attaques visant les systèmes OT proviennent du réseau IT et se déplacent latéralement vers les zones opérationnelles. La protection des endpoints IT, des identités et des workloads cloud avec des capacités de réponse autonome arrête les attaquants avant qu'ils n'atteignent la frontière IT/OT. 

L’IA comportementale sur les endpoints IT peut détecter et contenir les mouvements latéraux en temps réel, réduisant ainsi la fenêtre d’exposition pour les actifs OT connectés. Cela fait de la protection côté IT une couche fondamentale de tout programme de sécurité pour un environnement convergent.