Cybersécurité Industrielle : 5 enjeux clés du Référentiel ANSSI
La protection des installations de production contre les menaces numériques soulève des questions spécifiques que vous ne rencontrez pas dans un environnement informatique classique. Voici les cinq défis majeurs auxquels vous êtes confrontés et les pistes concrètes pour y répondre progressivement.
1. L'obsolescence technique du parc installé
Vos équipements industriels fonctionnent souvent pendant vingt à trente ans, bien au-delà des cycles de vie habituels en informatique. Cette longévité crée une accumulation naturelle d’obsolescences : automates programmables dont les firmwares datent de plusieurs générations, systèmes d’exploitation qui ne reçoivent plus de correctifs de sécurité, interfaces de supervision développées pour Windows XP.
Le remplacement systématique de ces équipements représenterait un investissement considérable et nécessiterait des arrêts de production prolongés. Vous devez donc composer avec cette réalité en renforçant les protections périphériques. Le cloisonnement réseau devient particulièrement important : vous isolez les équipements anciens dans des zones dédiées avec un contrôle strict des flux entrants et sortants. La surveillance accrue des comportements anormaux compense l’impossibilité d’appliquer des correctifs sur les systèmes eux-mêmes.
Pour les nouveaux projets ou les modernisations planifiées, vous intégrez dès la conception des critères de maintenabilité en sécurité. Votre cahier des charges précise la durée de support attendue, la capacité à recevoir des mises à jour sans interruption de service, et l’existence de mécanismes de journalisation exploitables.
2. L'absence de cloisonnement entre IT et OT
La connexion directe entre le réseau de gestion et le réseau de commande constitue une vulnérabilité fréquente. Un simple courriel malveillant reçu sur un poste administratif peut devenir le point d’entrée vers vos systèmes de contrôle industriel, avec des conséquences sur la production physique.
La mise en place d’une segmentation réseau efficace demande une analyse préalable de vos flux de communication. Vous identifiez précisément quels systèmes doivent échanger des informations et par quels protocoles. Cette cartographie vous permet de définir des zones de sécurité distinctes, reliées par des points de passage contrôlés où vous filtrez activement le trafic autorisé.
Pour les communications nécessaires entre l’IT et l’OT, vous installez une zone démilitarisée industrielle avec rupture protocolaire. Les données transitent par des serveurs intermédiaires qui assurent la conversion et le contrôle, empêchant la propagation latérale d’une éventuelle intrusion. Cette architecture demande un investissement initial mais améliore significativement votre posture de défense.
Les accès Wi-Fi invités méritent une attention particulière. Vous les isolez complètement du réseau industriel, même si cela complique parfois l’accès aux applications métier pour les visiteurs. Cette séparation stricte prévient les scenarios où un appareil infecté utiliserait votre infrastructure sans fil comme tremplin vers les équipements de production.
3. La gestion complexe des accès distants
Vos prestataires de maintenance ont souvent besoin d’accéder à distance à vos installations pour diagnostiquer des pannes ou mettre à jour des paramètres. Ces connexions de télémaintenance représentent un vecteur d’intrusion potentiel, d’autant que certains contrats imposent ces accès sous peine de perte de garantie constructeur.
La solution ne consiste pas à interdire totalement ces connexions, mais à les encadrer strictement. Vous mettez en place des dispositifs dédiés qui tracent toutes les actions effectuées pendant la session distante. L’authentification forte devient la règle pour ces accès, avec validation systématique de l’identité du technicien avant l’ouverture du tunnel de communication.
Les prestataires qualifiés par l’ANSSI apportent des garanties techniques supplémentaires sur la sécurité du rebond vers vos installations. Leur infrastructure d’accès intègre des mécanismes de contrôle et de journalisation qui complètent vos propres dispositifs. Cette approche permet de maintenir la relation contractuelle avec vos fournisseurs tout en maîtrisant les risques associés.
Pour les interventions ponctuelles, vous privilégiez l’activation temporaire des accès, avec fermeture automatique en fin de session. Cette gestion “juste-à-temps” limite la fenêtre d’exposition et facilite le suivi des connexions actives. Vous documentez chaque intervention distante dans un registre qui sert de référence en cas d’audit ou d’investigation suite à un incident.
4. Le manque de visibilité sur les événements de sécurité
Contrairement aux environnements informatiques classiques où les outils de supervision de sécurité sont largement déployés, vos installations industrielles souffrent souvent d’un manque de visibilité. Les équipements anciens ne génèrent pas toujours de journaux d’événements exploitables, et les protocoles de communication industriels comme Modbus ne comportent pas de mécanismes d’audit natifs.
Cette cécité vous empêche de détecter les signaux faibles qui précèdent généralement une attaque : tentatives d’authentification échouées, flux de communication inhabituels, modifications non autorisées de programmes automates. Sans cette détection précoce, vous découvrez souvent l’intrusion au moment où elle produit ses effets destructeurs.
La collecte et l’analyse des événements disponibles constituent un premier niveau de surveillance. Vous centralisez les journaux des équipements qui en génèrent et vous analysez les flux réseau pour identifier les anomalies de comportement. Des sondes passives placées sur les segments critiques capturent le trafic sans perturber le fonctionnement des équipements, même les plus fragiles.
L’établissement d’une ligne de base de comportement normal facilite ensuite la détection d’écarts significatifs. Vous documentez les patterns habituels de communication : quels équipements dialoguent ensemble, à quelle fréquence, avec quels volumes de données. Tout écart par rapport à cette référence déclenche une alerte pour investigation. Cette approche demande une phase d’apprentissage initiale mais s’avère efficace pour repérer les activités suspectes.
5. L'absence de cartographie précise des installations
Vous ne pouvez protéger efficacement que ce que vous connaissez avec précision. Or, nombreux sont les sites industriels où la documentation technique est incomplète, dispersée entre plusieurs systèmes, ou simplement obsolète suite aux modifications successives non documentées.
Cette cartographie imprécise pose problème à plusieurs niveaux. Vous ignorez l’existence de certains équipements connectés, vous ne maîtrisez pas tous les flux de communication, vous perdez la trace des versions de logiciels installées. En cas d’incident de sécurité, cette méconnaissance ralentit considérablement votre capacité à évaluer l’étendue de la compromission et à mettre en œuvre les mesures de confinement appropriées.
La constitution d’un inventaire exhaustif représente un chantier de fond mais reste indispensable. Vous documentez la topologie réseau physique et logique, vous listez l’ensemble des matériels avec leurs caractéristiques techniques, vous recensez les applications et leurs versions. Cette base de données devient votre référentiel pour toutes les décisions de sécurité ultérieures.
Les matrices de flux complètent utilement cette cartographie. Vous identifiez qui communique avec qui, via quels protocoles et quels ports. Cette vision détaillée des échanges vous aide à définir des règles de filtrage pertinentes et à détecter rapidement les communications anormales. Pour éviter de perturber les équipements fragiles, vous privilégiez l’analyse passive de trafic plutôt que les scans actifs qui peuvent saturer les piles de communication des automates anciens.
La mise à jour régulière de cette documentation fait partie de vos processus standard. Toute modification sur l’installation – ajout d’équipement, changement de configuration, nouvelle interconnexion – donne lieu à une actualisation de la cartographie. Cette rigueur administrative garantit la fiabilité de votre référentiel dans la durée.
Vers une amélioration progressive
Ces cinq défis ne se résolvent pas du jour au lendemain. Vous adoptez une démarche progressive, en commençant par les actions qui apportent le meilleur rapport bénéfice-effort pour votre contexte particulier. Le guide ANSSI 2025 structure cette progression à travers ses classes de sécurité C1 à C4, permettant d’adapter l’intensité des mesures à la criticité réelle de chaque système.
La classe C1 constitue le socle minimal applicable à toutes vos installations : gouvernance formalisée, cartographie de base, suppression des comptes partagés, sécurisation des sauvegardes, isolation élémentaire des réseaux. Ces fondations établies, vous montez graduellement vers les classes supérieures selon vos besoins et vos contraintes opérationnelles.
L’alignement avec la norme internationale IEC 62443 facilite cette démarche en fournissant un vocabulaire commun avec vos fournisseurs et intégrateurs. Les spécifications techniques que vous définissez s’appuient sur un référentiel reconnu, simplifiant les échanges et réduisant les risques de malentendus lors des phases de conception et de recette.
La formation de vos équipes accompagne nécessairement ces évolutions techniques et organisationnelles. Les automaticiens et techniciens de maintenance, sensibilisés aux enjeux de cybersécurité adaptés à leur contexte, deviennent les premiers détecteurs d’anomalies et appliquent naturellement les bonnes pratiques dans leurs interventions quotidiennes. Cette montée en compétence collective constitue un investissement durable dans la résilience de vos installations.
Pour aller plus loin : Le guide complet de l’ANSSI sur la sécurisation des systèmes industriels (version 2025) est disponible en téléchargement à l’adresse suivante : https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-systemes_industriels-methode_de_classification_v2-0.pdf.pdf
