Il y a, dans la sécurité des systèmes industriels, un renversement de perspective qu’il faut opérer d’emblée sous peine de tout comprendre de travers : ici, ce n’est pas la confidentialité de l’information qui prime, mais la disponibilité et la sûreté d’un procédé qui agit sur le monde physique. Un système d’information de gestion protège des données ; un système de contrôle industriel protège des personnes, des machines et un environnement. Toute la spécificité du domaine découle de ce déplacement.
Ce qu’est un ICS
Les systèmes de contrôle industriels (ICS), ou systèmes d’information industriels, désignent l’ensemble des systèmes numériques ayant une action dans le monde physique. On les regroupe souvent sous le terme d’Operational Technology (OT), par opposition à l’Information Technology (IT) traditionnelle. Leur vocation est triple : piloter, contrôler et surveiller des procédés physiques ; optimiser l’efficacité et la productivité des opérations ; et assurer la fiabilité et la sûreté de fonctionnement (safety).
Architecture : le modèle de Purdue
Pour isoler les fonctions et maîtriser les communications, l’architecture d’un ICS se pense classiquement selon le modèle de Purdue, qui segmente le réseau en niveaux, du plus proche du monde physique au réseau d’entreprise :
| Niveau | Fonction |
|---|---|
| 0 | La partie physique — capteurs, vannes, variateurs |
| 1 | La commande et le contrôle de base — automatismes, analyseurs |
| 2 | La supervision et le pilotage local — IHM, SCADA |
| 3 | Le pilotage de la production — SCADA, maintenance, gestion des données |
| 4 | Le réseau d’entreprise — le reste de l’IT |
La norme IEC 62443 complète ce modèle et introduit la notion de conduit pour sécuriser les flux entre zones.
Les composants et leurs fragilités
Chaque strate mobilise des composants spécifiques, dont il faut connaître les points de vigilance :
- les automates (PLC / API pour le pilotage des procédés, RTU pour la télémétrie distante) souffrent de vulnérabilités dans leur firmware et exigent un maintien en condition de sécurité contrôlé ;
- les automates de sécurité (APS / SIS) surveillent les fonctions de protection des biens et des personnes ; leur intégrité est primordiale, et l’on mesure leur exigence de disponibilité par le Safety Integrity Level (SIL) de la norme CEI 61508, la redondance y étant un principe cardinal ;
- les systèmes de supervision — SCADA pour des ressources géographiquement distribuées (eau, gaz), DCS pour un même site (usines, raffineries) — sont des SI sensibles, à sécuriser by design ;
- les Historians, bases de données temps réel consolidant les données opérationnelles, constituent un point de fragilité majeur : servant de passerelle entre OT et IT, ils offrent un pivot possible du réseau d’entreprise vers le réseau industriel.
À ces éléments s’ajoutent les infrastructures de gestion (Active Directory, WSUS, antivirus, supervision, SIEM), qui chacune étendent la surface d’attaque. L’irruption de l’IoT aggrave encore le tableau : diversité extrême, explosion du nombre d’appareils, hétérogénéité de la « sécurité by design », et surtout un Shadow IoT d’équipements non maîtrisés qui résistent au découpage de Purdue par leur nature distribuée.
Pourquoi la surface d’attaque a explosé
L’ICS d’aujourd’hui est vulnérable parce qu’il est devenu, sous la poussée de « l’Usine 4.0 », un système d’information à part entière. La convergence IT/OT a fait entrer dans le monde industriel :
- des technologies commerciales courantes — Windows, réseaux IP — avec leurs vulnérabilités connues ;
- des protocoles hybrides non sécurisés par défaut, tel Modbus TCP/IP, héritiers de protocoles historiques ouverts ;
- des interconnexions directes ou indirectes avec la bureautique, jusqu’aux supports amovibles et postes à double usage ;
- une demande croissante d’accès à distance pour le diagnostic et la maintenance ;
- des contraintes de production qui rendent malaisée l’application des mesures IT standards — déployer un correctif ou un antivirus sur un automate n’a rien d’anodin.
OT contre IT : des priorités inversées
Le cœur de la spécificité tient dans la hiérarchie des besoins de sécurité. Là où l’IT place la confidentialité en tête, l’OT donne la priorité absolue à la disponibilité, parce qu’une interruption ou une manipulation du procédé peut coûter des vies :
| Priorité | SI industriel (OT) | SI d’entreprise (IT) |
|---|---|---|
| 1 | Disponibilité | Confidentialité |
| 2 | Intégrité | Intégrité |
| 3 | Confidentialité | Disponibilité |
Sûreté et sécurité, à ne pas confondre
Deux notions voisines mais distinctes se croisent ici. La sûreté de fonctionnement (safety) protège le personnel et l’environnement des méfaits du système lui-même — pannes, défaillances — et s’appuie sur des analyses comme HAZOP ou AMDEC. La cybersécurité (security) protège le système des actes malveillants et s’appuie sur des analyses de risque comme EBIOS. La première pense l’accident, la seconde l’adversaire.
À cela s’ajoutent des contraintes opérationnelles étrangères à l’IT : des exigences de temps réel avec des messages courts et fréquents, des équipements conçus pour durer plusieurs décennies, des environnements hostiles (poussière, humidité, zones explosives), des interruptions de service rarissimes et planifiées, et une forte dépendance aux fournisseurs qui rend la réversibilité difficile.
La chaîne d’approvisionnement, vecteur de risque
La sécurité d’un ICS n’est jamais plus solide que celle de ses fournisseurs. Le risque se loge chez les éditeurs de logiciels — l’affaire SolarWinds a montré la réalité de l’introduction de code malveillant, d’où la nécessité d’exigences cyber contractuelles, de revues de code et de validation des correctifs ; chez les fabricants de matériel, où la certification (CSPN ou Critères Communs de l’ANSSI) fait office de gage de confiance ; et chez les mainteneurs, dont l’intervention — souvent à distance — repose sur une confiance qu’il faut savoir encadrer.
S’appuyer sur les cadres normatifs
Face à cette complexité, les référentiels reconnus structurent la démarche et clarifient le dialogue avec les fournisseurs. On retiendra IEC 62443, standard de référence pour la sécurité des réseaux industriels ; le NIST Cybersecurity Framework 2.0, organisé autour de six piliers dont la gouvernance — identifier, protéger, détecter, répondre, récupérer ; et la série ISO 2700x pour le management de la sécurité de l’information (27001 pour le système de management, 27002 pour les mesures).
Ce qu’il faut retenir
Sécuriser un ICS, c’est cumuler la complexité d’un SI classique avec les contraintes propres d’un procédé industriel, et donc arbitrer en permanence entre des injonctions contradictoires — production contre sécurité, ouverture contre isolement. C’est un travail d’équilibriste, où le vocabulaire, les architectures et la hiérarchie des besoins de l’OT sont des prérequis, et où le cadre normatif n’est pas une contrainte administrative mais la seule manière de rendre la démarche gouvernable. La mise en œuvre concrète, elle, s’éprouve dans l’audit d’un système industriel.