1.2 IT vs OT : pourquoi le périmètre industriel est critique

Le vocabulaire OT est dense. Il faut maîtriser les acronymes pour ne pas se tromper d'objet de défense :

• PLC (Programmable Logic Controller) — automate programmable industriel, cœur de l'usine moderne. Il pilote les actionneurs (vannes, moteurs, vérins) selon un programme exécuté en boucle, avec un temps de cycle typique de 10 à 100 ms.
• SCADA (Supervisory Control And Data Acquisition) — supervision et acquisition de données. C'est un logiciel installé sur des postes Windows, souvent vieillissants, qui affiche les synoptiques de l'usine et permet à un opérateur de surveiller le procédé et d'envoyer des consignes.
• HMI (Human-Machine Interface) — interface homme-machine : pupitre opérateur ou écran tactile au bord de la ligne, intégré au SCADA ou autonome.
• DCS (Distributed Control System) — système numérique de contrôle-commande. Proche du SCADA dans sa fonction, mais conçu pour les procédés continus (raffinage, pétrochimie, cimenterie, sucrerie) avec une architecture distribuée et une forte intégration régulation.
• RTU (Remote Terminal Unit) — terminal distant, installé sur le terrain (poste électrique, station de pompage, ouvrage isolé) et relié à des automates ou directement au SCADA. Il communique fréquemment par radio, réseau cellulaire ou liaison satellite — autant de liens souvent oubliés des cartographies réseau.
• SIS (Safety Instrumented System) — système instrumenté de sécurité, indépendant du contrôle-commande, qui met l'installation en position de repli sûre en cas de dérive (normes IEC 61508 et IEC 61511). C'est la dernière barrière avant l'accident : c'est précisément ce type de système qu'a visé l'attaque Triton en 2017.
• IIoT (Industrial Internet of Things) — capteurs et actionneurs connectés (LoRaWAN, Zigbee, 5G privée), greffés sur des installations qui n'avaient pas été conçues pour être connectées.
• Historian et MES — bases de données temps réel qui historisent les variables de procédé, et systèmes d'exécution de la production. Position charnière entre OT et IT : ce sont les serveurs par lesquels l'IT « voit » l'usine, donc des cibles de premier plan.

Ces systèmes ont leurs métiers dédiés : voir les fiches automaticien, développeur SCADA / superviseur IHM et administrateur réseaux industriels (OT).

En cybersécurité classique IT, le triptyque historique est CIA — Confidentialité, Intégrité, Disponibilité. La hiérarchie habituelle est la confidentialité d'abord (protéger les données), puis l'intégrité (ne pas les altérer), puis la disponibilité (les garder accessibles).

En OT, cette hiérarchie est inversée : on parle d'AIC (parfois aussi « DIC ») — Availability, Integrity, Confidentiality :

1. Disponibilité (A) en priorité absolue. Une chaîne arrêtée, ce sont des pertes de production immédiates, des engagements clients manqués, parfois un risque humain ou environnemental — une unité de procédé continu ne se met pas à l'arrêt sans séquence maîtrisée. L'ordre de grandeur des incidents documentés se compte en dizaines voire centaines de millions d'euros (voir le module 2).
2. Intégrité (I) en deuxième position. Une mesure faussée, un ordre détourné, un seuil de sécurité bypassé peut causer une explosion, une intoxication, un déversement. Triton visait précisément cette dimension : modifier les SIS pour rendre une explosion possible.
3. Confidentialité (C) en dernier. Le programme d'un automate n'est pas un secret industriel critique en soi (à de rares exceptions près : pharma, défense). Ce qui compte, c'est qu'il ne soit pas altéré.

Conséquence majeure : les défenses OT ne peuvent jamais arrêter un processus en cas de soupçon. Un EDR qui isolerait un automate compromis pendant le fonctionnement d'une raffinerie causerait un accident bien plus grave que l'attaque elle-même. Les défenses OT sont donc essentiellement passives (détection sans action), avec une réponse pilotée par l'humain et coordonnée avec les équipes de production.

Les protocoles OT historiques ont été conçus dans les années 1970-1990 pour des réseaux isolés, sans aucune notion de sécurité. Leur principal défaut : pas d'authentification, pas de chiffrement. Quelques exemples :

• Modbus TCP : spécification ouverte, le protocole industriel le plus répandu au monde. Aucune authentification : n'importe quel équipement présent sur le réseau peut envoyer une commande d'écriture à un automate, qui l'exécutera.
• Profinet : protocole temps réel sur Ethernet, très répandu en manufacturier. Authentification limitée, trames de configuration manipulables.
• EtherNet/IP : déclinaison du protocole CIP sur Ethernet. Mêmes limites structurelles.
• S7comm : protocole propriétaire d'une grande famille d'automates, longtemps dépourvu d'authentification réelle — c'est la faiblesse que Stuxnet a exploitée en 2010.
• DNP3 (énergie, eau) : version sécurisée (DNP3 Secure Authentication) existe depuis 2012, mais peu déployée.
• OPC Classic (DA, HDA, A&E) : reposant sur DCOM sous Windows, difficile à filtrer et à sécuriser. OPC UA, sa réécriture moderne, intègre chiffrement et authentification — mais son déploiement dans les parcs existants reste lent.
• BACnet (bâtiments, climatisation) : protocole GTB sans sécurité native.

Que peut faire un attaquant qui accède au réseau OT ?

• Lire en clair les valeurs des capteurs (température, pression, débit, position de vannes).
• Émettre des commandes d'écriture aux automates : ouvrir/fermer une vanne, démarrer/arrêter un moteur, modifier un seuil d'alarme.
• Reprogrammer un automate (téléchargement de programme) avec n'importe quelle logique.
• Mettre un automate en mode STOP, en arrêt forcé, ou faire planter son OS.

Cette vulnérabilité by design rend la segmentation réseau absolument vitale. C'est pourquoi le modèle de Purdue (Module 3) repose entièrement sur l'isolation par zones et conduits.

Au-delà des contraintes techniques, le plus grand défi de la cybersécurité OT est organisationnel : il faut faire travailler ensemble des équipes qui parlent des langues différentes.

Sans gouvernance commune, les programmes NIS2 OT échouent. La meilleure pratique recommandée par l'ANSSI et l'ISA (International Society of Automation) est :

• Une équipe dédiée à la cybersécurité OT, rattachée selon les cas au RSSI groupe ou au directeur industriel, avec des compétences mixtes (cyber + automatisme).
• Un RSSI OT (ou OT Security Officer), profil rare, qui fait le pont entre les deux mondes.
• Un comité cyber OT trimestriel : RSSI groupe + directeur industriel + responsable production + responsable automatismes + responsable BE.
• Des exercices conjoints de gestion de crise IT + OT (au moins 1 fois par an).
• Une cartographie partagée des actifs IT/OT, accessible aux deux équipes.