En bref
Les environnements IT et OT poursuivent des objectifs différents, mais doivent désormais fonctionner ensemble. Pour réduire les risques sans fragiliser la production, l’enjeu est de construire une gouvernance commune, de sécuriser les accès, de planifier les évolutions et d’impliquer les équipes métiers, techniques et sécurité dès l’amont.
Des communautés techniques pour partager les bonnes pratiques
Chez SYD, nous organisons régulièrement des communautés techniques en interne. Ces temps d’échange permettent à nos collaborateurs de confronter leurs expériences, de partager les tendances du terrain et de faire émerger des bonnes pratiques autour de l’Infrastructure Management.
Pour cette session, Antoine Le Jamtel, chef de projet Infrastructure, s’est intéressé à une question devenue centrale pour les DSI, les responsables de projets informatiques et les décideurs en charge des infrastructures : comment aligner sécurité, performance et continuité métier lorsque les environnements IT et OT se rencontrent ?
Car si ces deux univers sont de plus en plus interconnectés, ils ne fonctionnent ni avec les mêmes priorités, ni avec les mêmes cycles, ni avec les mêmes contraintes. C’est précisément dans cet écart que naissent les principales zones de friction.
IT et OT : deux mondes aux priorités différentes
L’IT, ou Information Technology, désigne les environnements informatiques classiques : datacenters, cloud, machines virtuelles ou conteneurs. Ses priorités portent notamment sur la sécurité, l’intégrité et l’évolutivité des données.
L’OT, ou Operational Technology, concerne les systèmes qui pilotent ou supervisent les opérations physiques : ateliers, lignes de production, capteurs et équipements industriels. Ici, la disponibilité, le temps réel et la sécurité physique sont au premier plan.
Point de comparaison | IT | OT |
Objectifs | Sécurité, intégrité et évolutivité des données | Disponibilité, temps réel et sécurité physique |
Cycles | Agilité, releases fréquentes, DevOps, CI/CD | Cycles longs, validation et non-régression |
Durée de vie | 3 à 5 ans | 10 à 20 ans pour le matériel industriel |
Environnement | Datacenters, cloud, VM, conteneurs | Ateliers, lignes de production, capteurs |
Correctifs | Appliqués rapidement | Complexes, car une mise à jour peut arrêter la production |
Fournisseurs | Standards du marché et contrats IT classiques | Équipementiers spécialisés et protocoles propriétaires |
Le point essentiel
L’IT privilégie la mise à jour et la conformité. L’OT privilégie la stabilité et la continuité de production. L’alignement ne consiste donc pas à appliquer mécaniquement les méthodes de l’un à l’autre, mais à construire un compromis maîtrisé.
Des cycles qui s’opposent
Dans l’IT, les déploiements et les correctifs s’inscrivent dans des cycles courts, de quelques jours à quelques semaines. Un certificat arrive à expiration ? Il peut être renouvelé en 24 heures. La rapidité d’action soutient la sécurité et la conformité.
Dans l’OT, les évolutions se préparent plutôt sur plusieurs mois, voire plusieurs années. Une montée de version de firmware peut dépendre d’une fenêtre de maintenance annuelle, d’une qualification préalable et de tests de non-régression. Toute intervention susceptible d’interrompre une ligne de production doit être anticipée.
La tension est immédiate lorsqu’un serveur Windows doit être corrigé pour une vulnérabilité critique alors qu’il pilote une ligne de production. L’équipe IT veut patcher rapidement. L’équipe OT veut éviter tout arrêt. Le correctif peut alors être repoussé, avec un risque accepté ou contourné.
Trois risques concrets lorsque l’IT et l’OT ne sont pas alignés
1. La cybersécurité des environnements OT
- Des systèmes legacy qui ne sont pas corrigés régulièrement.
- Des protocoles industriels pouvant fonctionner sans chiffrement, comme Modbus ou S7.
- Des rançongiciels susceptibles de cibler l’industrie.
- Un risque qui peut dépasser le système d’information et concerner la sécurité physique des personnes.
2. Le Shadow IT et le Shadow OT
- Des routeurs 4G installés sans validation de l’IT.
- Des prestataires OT qui contournent les procédures existantes.
- Des capteurs, caméras ou sondes IoT non contrôlés.
- Des flux et des échanges de données qui échappent au pare-feu et à la supervision habituelle.
3. Le manque de visibilité transverse
- Un inventaire incomplet des actifs OT.
- Une segmentation réseau absente ou insuffisante.
- Une difficulté à savoir précisément qui accède à quoi.
- Des alertes SIEM qui manquent de contexte OT.
- Des incidents détectés trop tard.
Retour d’expérience : sécuriser les accès distants des fournisseurs
La présentation s’appuie sur un retour d’expérience mené chez Sodebo. La mission consistait à déployer un accès distant sécurisé pour des prestataires externes intervenant sur la maintenance ou les équipements.
Pour les prestataires IT, une procédure existait déjà : VPN, poste standardisé et conformité avec les exigences du RSSI. La difficulté concernait les prestataires OT, dont certains arrivaient avec leurs propres routeurs 4G. Pour le RSSI, cette connexion parallèle constituait une porte dérobée, sans contrôle ni visibilité.
Le point de blocage
Lors de la mise en place du premier accès OT, plusieurs fournisseurs ont refusé le nouveau fonctionnement. Leurs habitudes, l’absence de standards OT internes chez certains prestataires et le temps non prévu dans leurs interventions ont créé une impasse : bloquer les accès pouvait menacer la continuité de production, mais laisser faire maintenait le risque cyber.
La réponse mise en place
- Organiser des ateliers collaboratifs réunissant IT, OT et RSSI.
- Définir une procédure simple et claire dès la signature.
- Prévoir une clause contractuelle en amont.
- Mettre en place un VPN avec bastion lorsque cela est possible, ou un accès direct adapté.
Les enseignements
- Impliquer les équipes OT en amont plutôt que leur imposer une solution.
- Faire du contrat un levier d’alignement.
- Privilégier une solution adaptée au contexte plutôt qu’une solution théoriquement parfaite.
- Accorder autant d’importance à la pédagogie qu’à la technique.
Quelles bonnes pratiques pour rapprocher IT et OT ?
L’alignement repose sur quatre dimensions complémentaires : la gouvernance, la technique, la pédagogie et les processus.
1. Mettre en place une gouvernance transverse
- Créer un comité IT/OT réunissant RSSI, production et DSI.
- Définir une politique de sécurité commune, mais différenciée selon les contraintes.
- Cartographier les flux et les actifs OT.
- Formaliser les exigences dès le contrat fournisseur.
2. Adapter les mesures techniques
- Déployer le MFA et le VPN pour les prestataires.
- Ajouter un bastion lorsque cela est possible, ou prévoir un accès direct adapté.
- Mettre en place un monitoring OT avec des solutions IDS/IPS industrielles, comme Nozomi cité dans la présentation.
- Planifier les correctifs selon les fenêtres de maintenance OT.
3. Développer une culture commune
- Former les équipes IT aux enjeux OT et les équipes OT aux enjeux IT.
- Privilégier les ateliers collaboratifs aux injonctions verticales.
- Partager une documentation accessible à tous.
- Organiser régulièrement des retours d’expérience.
- Respecter les délais de prévenance.
4. Unifier les processus
- Mettre en commun la gestion des incidents IT et OT.
- Planifier le cycle de vie des équipements OT.
- Réaliser des tests de pénétration sur les surfaces OT.
- Encadrer les dérogations et les limiter dans le temps.
Pour les DSI : rechercher l’équilibre plutôt que l’uniformité
La convergence IT/OT ne peut pas reposer sur l’application uniforme des règles IT aux environnements industriels. Les impératifs de sécurité doivent être conciliés avec la disponibilité, la stabilité et les contraintes de production.
L’expérience présentée par Antoine Le Jamtel montre qu’une réponse durable passe par une meilleure compréhension mutuelle, des règles anticipées, une gouvernance partagée et des solutions proportionnées au contexte. La sécurité devient alors un sujet collectif, intégré à la continuité métier plutôt qu’opposé à elle.
À retenir
Pour aligner sécurité, performance et continuité métier, il faut rendre visibles les actifs et les flux, sécuriser les accès, anticiper contractuellement les exigences, planifier les changements et associer IT, OT, RSSI et production aux décisions.
FAQ : convergence IT/OT et sécurité des infrastructures
L’IT concerne les systèmes informatiques et la gestion des données. L’OT concerne les systèmes qui pilotent ou supervisent des opérations physiques, comme les lignes de production, les capteurs et les équipements industriels.
L’IT fonctionne avec des mises à jour et des déploiements fréquents. L’OT privilégie des cycles longs, la validation, la non-régression et la continuité de production. Une intervention rapide côté IT peut donc présenter un risque d’arrêt côté OT.
La présentation identifie trois risques majeurs : la cybersécurité OT, le Shadow IT ou Shadow OT et l’absence de visibilité sur les actifs, les flux et les accès.
Les pistes présentées sont le MFA, le VPN, le bastion lorsque cela est possible, une procédure claire et des exigences prévues contractuellement. La solution doit rester adaptée aux contraintes opérationnelles.
Elle permet de mieux connaître le périmètre réel, les flux, les équipements et les accès. Sans cette visibilité, la segmentation, la supervision et la détection des incidents sont plus difficiles.
L’approche recommandée consiste à impliquer les équipes OT en amont, à organiser des ateliers collaboratifs, à expliquer les enjeux et à éviter les injonctions verticales.
Le contrat permet d’anticiper les exigences d’accès et de sécurité dès la signature. Il devient ainsi un levier pour éviter les blocages au moment d’une intervention.
La présentation recommande un comité transverse associant notamment le RSSI, la production et la DSI.
