Auditer un système industriel, ce n’est pas dérouler une check-list : c’est d’abord comprendre ce que l’entreprise fait, puis confronter cette réalité à la surface de risque qu’elle expose. Je consigne ici la démarche telle que je l’ai pratiquée sur le cas d’une PME manufacturière, de l’entretien initial à la feuille de route de remédiation.
Comprendre avant d’inventorier
L’audit commence par la parole, non par le scanner. Avant tout relevé technique, quelques questions ouvrent le terrain et révèlent l’essentiel :
- quel est le flot de travail typique, quels sont les processus et les habitudes ?
- quels sont les prestataires, et à quel titre interviennent-ils ?
- quelles machines industrielles sont en service, sont-elles connectées à Internet, et si oui, à quel besoin réel cette connexion répond-elle ?
- quelle est, en somme, l’exposition de l’entreprise ?
Cette phase déclarative cadre tout le reste : c’est elle qui distingue une connexion Internet nécessaire d’une commodité qu’on pourra supprimer.
Dresser l’inventaire
Vient ensuite le relevé du parc, condition de toute analyse : on ne protège pas ce qu’on ne connaît pas. Sur le cas étudié, l’inventaire mêlait un SI de gestion classique et une composante industrielle, ce qui est précisément la situation à risque — la cohabitation de l’IT bureautique et de l’OT sur des infrastructures mal cloisonnées.
| Type | Localisation | Service |
|---|---|---|
| Serveurs (dont fichiers R&D, comptabilité) | Salle serveur | IT / DAF / R&D |
| Routeur-pare-feu, switchs managés | Salle serveur, étages, atelier | IT |
| Postes fixes bureautiques | Bureaux | Admin, DAF, Marketing |
| PC industriel | Atelier | Production |
| Portables nomades | Terrain, direction | Commerce, direction |
| Périphériques (impression, scan) | Divers | Admin, R&D |
Le point saillant est la présence d’un PC industriel à l’atelier au milieu d’un réseau non segmenté : un maillon OT directement joignable depuis la bureautique.
Analyser et prioriser
De l’inventaire et de la topologie se dégage une feuille de route, ordonnée par gravité du risque. Sur ce cas, les mesures s’imposaient dans l’ordre suivant :
- Segmenter le réseau en VLAN (administration, production, R&D, commerce, serveurs, invités) — faute de quoi un malware se propage librement d’un poste bureautique à l’atelier ;
- Isoler le site web en DMZ (serveur dédié ou hébergement cloud) pour ne jamais exposer l’annuaire au web ;
- Centraliser les sauvegardes (NAS ou serveur dédié, avec réplication externe) plutôt que de s’en remettre au physique ou aux postes individuels ;
- Chiffrer les accès distants en TLS, en bannissant le RDP brut ;
- Durcir l’authentification : politique de mots de passe et MFA sur les accès sensibles ;
- Éliminer les points uniques de défaillance : redondance des switchs (stacking), VPN pour les nomades ;
- Durcir l’Active Directory, mettre en place une supervision, et mener une sensibilisation des utilisateurs.
Ce que l’exercice enseigne
La leçon récurrente d’un tel audit tient en un mot : le cloisonnement. La plupart des remédiations — segmentation, DMZ, isolation de l’OT — reviennent à empêcher qu’une compromission locale ne devienne globale. C’est la traduction opérationnelle, à l’échelle d’une PME, des principes du modèle de Purdue et de la priorité donnée à la disponibilité du procédé sur tout le reste.