Sécurité OT/IoT, quand l'usine devient une cible

Selon le cabinet Forrester, 30 % des décideurs français dans la sécurité - dont l’entreprise a déjà subi une attaque externe - ont déclaré que les appareils IoT internes avaient été pris pour cible, les pirates profitant souvent d’exploitations de vulnérabilités non corrigées, d’un manque total de fonctions de sécurité embarquées (security by design), de l’absence de politique de sécurité autour de l’IoT ou encore de l’obsolescence de ces objets. Eric Antibi, directeur technique de Palo Alto France, alerte sur tous ces risques tout en rappelant la grande diversité des objets connectés existants sur le marché entre les devices (smartphones, PC portables, etc.), l’IoT grand public qui se retrouve aussi parfois sur le réseau de l’entreprise et les systèmes industriels dans les environnements OT. Dans le dernier rapport intitulé Device Security Threat Report 2025 et publié par l’éditeur, on y apprend que près de 42 % des organisations industrielles françaises déclarent subir mensuellement une attaque ou un incident de sécurité sur leur environnement OT. En outre, sur plus de 27 millions d’appareils provenant de la télémétrie de 1803 réseaux d’entreprises clientes de Palo Alto, 23 millions proviennent de l’IT et 4 millions de l’IoT. Et les résultats de l’étude font froid dans le dos puisque 21 % des appareils IoT présentent au moins une vulnérabilité connue, et 2 % sont même exposés à des failles activement exploitées. De plus, pour Emmanuel Serrurier, directeur des ventes chez Armis France, les entreprises ne connaissent parfois même pas le nombre d’assets connectés sur leur réseau et le découvrent en déployant un outil capable de faire un inventaire précis.

Beaucoup de comportements à risques

« Aujourd’hui, dans le monde de l’OT/IoT, tous les automates mis sur le marché depuis les années 2010 disposent d’un port USB et sont donc vulnérables à partir d’une simple clé USB suspecte. Durant mes expériences, j’ai pu observer tous ces comportements problématiques comme la box Internet reliée à l’automate pour lui donner un accès au web sans aucune autorisation préalable, j’appelle cela du shadow OT, ou encore des switches configurés avec les mots de passe par défaut. J’ai même découvert chez l’un de nos clients que le téléphone portable d’un prestataire était connecté à distance à un serveur de supervision, et aussi vu, dans le domaine de la santé cette fois-ci, des soignants qui jouaient sur des machines servant normalement aux rayons X », donne en exemple Arnaud Masson, directeur technique OT/XIoT chez l’intégrateur Nomios. Face à ce constat, toutes les agences et autres consortiums nationaux et internationaux s’alarment. Récemment, le Centre canadien pour la cybersécurité (Canadian Centre for Cyber Security) en a remis une couche en exhortant les responsables de sécurité (RSSI) à prendre des mesures aux très vulnérables systèmes de contrôle industriel (ICS) connectés à Internet (comme les automates programmables ou encore les Scada) qui sont des cibles faciles pour les groupes de menace affiliés à un gouvernement et les hacktivistes. Cette agence met en avant quelques exemples dont des pirates qui ont réussi à accéder à une jauge de réservoir automatisée connectée à Internet appartenant à une société pétrolière et gazière canadienne et ont pu ainsi manipuler ses valeurs, déclenchant de fausses alarmes. Ces jauges sont utilisées pour surveiller le niveau, la pression et la température du carburant à l'intérieur des réservoirs et pour détecter les fuites potentielles et déclencher des contre-mesures. L'an dernier, des chercheurs ont révélé des vulnérabilités critiques et très graves dans six modèles de jauges provenant de cinq fabricants et ont alerté à ce moment-là contre le défaut d’authentification de plus de 6000 d’entre elles directement exposées à Internet. Par le passé, on peut citer plusieurs autres exemples comme celui du groupe de cybercriminels lié à l'Iran, connu sous le nom de Cyber Av3ngers, qui avait pris la main en 2023 sur un système de contrôle industriel appartenant à la Municipal Water Authority of Aliquippa en Pennsylvanie. Ce système était également utilisé pour réguler la pression de l'eau, mais l'intrusion a été détectée avant que l'approvisionnement en eau ne soit affecté. Souvenons-nous aussi du malware Triton qui ciblait les équipements SIS de la marque Schneider Electric en 2017 et qui avait permis à des pirates de prendre le contrôle du système de sécurité d'un site pétrochimique en Arabie saoudite.

Des mises en garde répétées des autorités compétentes

L'année dernière, l'augmentation des activités de cybercriminalité contre les ICS a également incité l'Agence américaine de cybersécurité et de sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency, CISA), ainsi que d'autres agences gouvernementales, à émettre une alerte à l'intention des propriétaires d'actifs technologiques opérationnels. Les entreprises ont un besoin légitime de gérer et de surveiller à distance leurs systèmes de contrôle industriel. Cependant, elles doivent le faire à l'aide de protocoles sécurisés et testés, comme les VPN avec authentification multifactorielle, plutôt qu’en exposant directement les interfaces de contrôle à Internet. En France, l’Anssi émet aussi régulièrement, auprès des entreprises, des alertes, guides et recommandations. Le Clusif a également pris cette problématique à bras le corps en publiant des guides de bonnes pratiques autour de l’OT/IoT comme le mentionne Arnaud Masson, directeur technique OT/XIoT chez l’intégrateur Nomios.

Il faut bien se rappeler qu’auparavant, les systèmes industriels et l’IT étaient construits de manière disjointe, les interactions entre ces deux mondes n’existaient pas ou étaient limitées et maîtrisées. L’automate programmable, qui n’avait pas ou peu de fonctions de sécurisation embarquées, fonctionnait en vase clos. Aujourd’hui, ce même automate dispose d’un accès à distance créant ainsi un pont vers l’extérieur souvent peu voire pas sécurisé du tout. De plus, la généralisation des capteurs IIoT (Industrial Internet of Things) fait qu’il est obligatoire de repenser sa politique SSI (sécurité des systèmes d’information) en sécurisant les réseaux OT aussi bien que les réseaux IT.

« La règlementation NIS 2 est un pas important car c’est tout le SI qui est concerné, y compris les environnements OT et plus seulement le SI administratif comme c’était le cas auparavant. De plus, des sanctions pénales et financières sont prévues, il faut peut-être en arriver là mais s’il n’y a pas de sanctions il n’y aura pas de changements », intervient Arnaud Masson, directeur technique OT/XIoT chez l’intégrateur Nomios et d’ajouter : « Contrairement à d’autres pays européens, l’application a pris du retard en France, le décret n’étant pas encore correctement retranscrit, en soi, il n’y a pas encore d’obligations et de contrôles. » En effet, les remous politiques actuels font que la France a pris du retard dans la transposition des lois européennes dont la NIS 2. Rappelons que cette directive est une évolution de la NIS 1 (Network & Information Security) adoptée en 2016 par l’Union européenne et transposée en France en 2018. Son objectif est toujours de renforcer la cybersécurité en Europe mais d’en élargir le spectre, ainsi, plus de 20 000 structures en France sont concernées par cette directive, appartenant à plus de 18 secteurs. Selon l’Anssi, environ 600 types d’entités différentes seront ciblés, parmi eux des administrations de toutes tailles et des entreprises allant des PME aux groupes du CAC 40. « Les entreprises industrielles de plus de 50 salariés et 10 millions de CA sont très nombreuses et leurs réseaux OT vont être largement impactés par NIS 2 », précise à ce titre Arnaud Masson. Pour Emmanuel Serrurier, directeur des ventes pour Armis France, la NIS 2 participe à une prise de conscience généralisée dans toutes les entreprises : « Nous observons qu’une feuille de route se dessine dans toutes les catégories d’entreprises et qu’elle prend en compte les environnements IT et OT/IoT, les métiers y participant avec les équipes IT. »

Des exigences et des sanctions

Pour les entreprises déjà concernées par la NIS 1, la mise à jour vers la NIS 2 devrait être plus simple, pour les autres, notamment les PME, qui intègreront le périmètre, l’Anssi a publié un guide accessible en ligne sur leur site, qui constitue une base solide de mesures concrètes et pérennes. Pour Eric Antibi, directeur technique de Palo Alto France, les grandes entreprises, déjà matures sur cette réglementation, vont aider ces plus petites entreprises nouvellement concernées car elles sont souvent leurs sous-traitants.

Plus stricte, en cas d’incident, la NIS 2 oblige les acteurs à émettre une alerte dans les 24 heures puis une notification plus détaillée dans les 72 heures. Cette notification doit notamment inclure une évaluation initiale de l’incident indiquant sa gravité, son impact et les indicateurs de compromission. Un rapport final doit être fourni au bout d’un mois pour montrer que des leçons peuvent être tirées des incidents précédents. De plus, tous devront se soumettre à des audits de sécurité dans le but de recevoir des recommandations et ainsi répondre à des normes de sécurité drastiques. En cas de non-respect, les sanctions seront sévères avec des amendes pouvant atteindre les 10 millions d’euros ou 2 % du CA de l’entité concernée. A relativiser car l’Anssi a annoncé en septembre 2024 qu’aucune sanction ne sera appliquée pendant les trois premières années après le lancement de la directive.

« Il n’est plus possible de voir un automate raccordé sur le réseau bureautique comme je l’ai déjà constaté dans une entreprise, il faut faire les choses dans les règles de l’art », recommande Arnaud Masson, directeur technique OT/XIoT chez Nomios. Cela commence toujours par un audit comme le relève le porte-parole de l’intégrateur, celui-ci doit servir à cartographier l’existant, bref de faire un état des lieux et d’inventorier les assets, les flux réseaux et les vulnérabilités potentielles. Ensuite, il faut segmenter les réseaux entre l’IT et l’OT et les sécuriser. A ce titre, les entreprises se doivent d’ailleurs de respecter les normes internationales en vigueur comme l’IEC 62443 qui aide à structurer et à améliorer la cybersécurité des systèmes industriels et de continuer à s’inspirer de certains modèles comme Purdue (créé en 1992) pour la sécurité des ICS. Certes, ce modèle, qui organisait historiquement la sécurité OT en zones étanches, est de moins en moins respecté. La segmentation logique entre les niveaux s’efface, laissant place à des zones de communication élargies, souvent mal maîtrisées. Toutefois, ce dernier participe toujours à cette segmentation en identifiant des zones dont la zone démilitarisée (DMZ) qui comprend des systèmes de sécurité tels que des pares-feux et des proxys utilisés dans le but d’empêcher le déplacement latéral des menaces entre l’IT et l’OT. Et dès l’introduction de capteurs IoT dans ce type de modèle, il faut bien sûr adapter sa politique de sécurité, par exemple en construisant une architecture sécurisée composée d’une infrastructure de transport de la donnée et de deux passerelles, l’une pour l’interconnexion OT vers IT afin de garantir l’intégrité des données provenant de l’OT et une autre pour l’interconnexion IT vers l’OT pour sécuriser cette fois-ci les données envoyées par l’IT vers l’OT. « Notre métier Chez Palo Alto est justement de sécuriser ces passerelles, d’intégrer nativement cette segmentation dans nos pare-feux en prenant en compte les différents protocoles des systèmes grâce à l’IA, d’effectuer en quelque sorte une analyse comportementale de l’équipement, et ce, de manière transparente pour les entreprises, non intrusif comme nous le faisons aussi pour le virtual patching afin de bloquer les vulnérabilités », souligne Eric Antibi, directeur technique de Palo Alto France.

Des coûts supplémentaires à supporter

Toutes ces étapes prennent du temps et coûtent cher surtout pour des PME qui n’ont pas forcément les moyens, leurs investissements étant d’abord logiquement orientés vers leur outil de production et moins dans leur sécurité. Et pourtant, les budgets consacrés à l’IoT grimpent selon le cabinet Forrester, avec pour priorités dans les dépenses un renforcement dans la gestion des vulnérabilités, une sécurisation des réseaux IoT et OT et une mise en œuvre d’une segmentation intelligente. Des budgets qui augmentent car la réglementation NIS 2 et ses exigences à venir ne vont pas leur donner le choix. Pour Nomios, c’est aussi le temps long qui prime dans ces projets permettant aussi de lisser ces coûts. « Notre démarche est justement de les accompagner sur le long terme, nous construisons une offre sur mesure, nous posons les premières briques puis petit à petit nous bâtissons leur approche cyber OT », indique Arnaud Masson, et d’ajouter : « Tout cela, nous l’illustrons au sein de nos nouveaux locaux dans notre showroom dédié à l’OT qui permet à nos clients de venir s’informer et d’assister à des démonstrations. »

Comme dans la sécurité IT, les entreprises ont besoin d’acculturation dans le domaine de l’OT afin de changer les comportements. « Il faut savoir dire au technicien qu’il n’aura plus accès aussi facilement à son port USB pour effectuer des mises à jour ou réaliser des sauvegardes sans contreparties sécuritaires. Les équipes IT nous demandent d’ailleurs d’évangéliser les équipes OT avant même de les former, c’est d’autant plus important quand vous voyez les écrans et les claviers où sont collés des post-it remplis de mots de passe », explique Arnaud Masson, directeur technique OT/XIoT chez Nomios. A ce titre, Arnaud Masson ne manque pas d’idées pour simuler des attaques, il a ainsi réalisé une usine miniature en Lego de la taille d’une valise pour montrer aux industriels l’impact d’une cyberattaque après une infiltration dans un système obsolète. Sous cette maquette se cachent de véritables routeurs et équipements nécessaires à la connectivité des machines d’une usine. Le bon déroulement de la chaîne de production est signalé par différents voyants lumineux entre les figurines d’ouvriers. Depuis cette usine, il peut simuler une attaque via deux automates qui échangent des données via le port 502, associé au protocole Modbus, lequel est largement répandu mais ancien et qui ne prévoit aucun chiffrement. Pour illustrer le risque, Arnaud Masson ouvre donc un terminal sur son ordinateur, récupère l’adresse IP d’un automate et accède à ses registres internes, lisant en direct l’état de la machine. En modifiant une valeur critique — remplacée par zéro — il envoie une commande d’arrêt. Immédiatement, sur la maquette Lego qui simule une ligne de production, les voyants lumineux s’éteignent, reproduisant l’effet d’un arrêt brutal en usine.

Un discours cyber dès l’école

Au-delà des messages et des formations que les experts de la cybersécurité industrielle font passer dans les entreprises, le discours a également changé dans les écoles, notamment dans les sections de BTS qui forment les futurs techniciens supérieurs, nombreux dans les sites de production. Il existe désormais plusieurs BTS dédiés à la cyber comme Ciel (Cybersécurité, informatique et réseaux, électronique) ou encore SIO (Services informatiques aux organisations). Le lycée militaire de Saint-Cyr-l’Ecole propose même dans son cursus un BTS Cyberdéfense. Il y a encore quelques années, la majorité de ces formations n’abordait pas du tout cette problématique de la cybersécurité industrielle.

Sur ce marché de la sécurisation des environnements OT/IoT, il existe de nombreux fournisseurs dont certains sortent du lot comme le reconnaît Arnaud Masson et de citer pêle-mêle Stormshield, Palo Alto, Nozomi Networks, Armis, Fortinet, TXOne (co-entreprise entre Trend Micro et Moxa) ou encore Wallix et Claroty. Par exemple, la société américaine Armis intervient sur l’exposition aux risques via sa plateforme SaaS Centrix qui peut, depuis le rachat de la société Otorio, être déployée sur site. En quelque sorte, Armis se place comme un acteur qui apporte une gestion unifiée des vulnérabilités (UVM). « Nous introduisons la détection passive (sans agent), la priorisation contextuelle et la remédiation automatisée en nous appuyant sur des capacités d’observation avancées dopées à l’IA », résume Emmanuel Serrurier, directeur des ventes chez Armis France. A ce titre, Armis dispose d’une énorme base de connaissances qui compte plus de 6 milliards d’appareils connectés à partir de laquelle la plateforme va pouvoir comparer et détecter des anomalies et des compromissions suspectes. De son côté, Palo Alto, via sa solution OT Device Security, protège tous les environnements opérationnels (réseaux, actifs, opérations à distance et réseaux 5G). Le fournisseur propose un ensemble de solutions (souvent boostées à l’IA) composé de pare-feux dont le modèle durci PA-400R mais aussi d’applications comme Guided Virtual Patching qui permet de corriger les vulnérabilités critiques sur les systèmes OT hérités, ou encore d’Enterprise IoT Security qui applique les principes du zero trust à tous les appareils connectés. « Il faut aussi s’assurer de l’identité de l’utilisateur et de contrôler ses accès », ajoute Eric Antibi, directeur technique de Palo Alto France.

Des navigateurs sécurisés pour une prise en main à distance

Palo Alto propose même Prisma Access Browser, un navigateur d’entreprise sécurisé qui permet par exemple à un télémainteneur d’intervenir à distance en toute sécurité, les flux étant filtrés et les données protégées. A ce titre, Teamviewer a aussi lancé récemment Agentless Access, un outil intégré à sa plateforme Tensor qui permet d’accéder à distance aux systèmes OT sans installation logicielle sur les appareils. Cette innovation veut simplifier en quelque sorte la maintenance et le dépannage à distance des automates programmables, IHM et systèmes hérités, en appliquant les principes du zero trust sur des environnements segmentés. De son côté, Edouard de Rémur, l’un des fondateurs d’Oodrive a créé Virtual Browser et se positionne ainsi comme une offre alternative européenne, là aussi, la session web s’exécute à distance dans un environnement isolé ; sur le poste, seul un rendu visuel est affiché. Aucun code ne tourne localement, la rupture protocolaire coupe court aux malwares et au phishing, et les interactions (saisie, formulaires, téléchargements) restent sous contrôle sans changer les habitudes.

Terminons par l’entreprise Nozomi Networks, récemment rachetée par Mitsubishi Electric, qui propose un certain nombre de sondes et capteurs, reconnus sur le marché, pour le réseau et les endpoints, lesquels viennent par la suite fournir une visibilité sur les menaces, bloquer l’exécution des menaces, de les isoler en toute sécurité et/ou de les supprimer. Toutes ces capacités de détection et de prévention sont alimentées par le renseignement sur les menaces aux environnements OT de Nozomi Networks via sa plateforme Vantage et enrichies par la Threat Intelligence de Mandiant. Pour les équipes de sécurité et opérationnelles, les bénéfices sont immédiats avec entre autres une diminution du temps moyen de réponse et des arrêts liés aux intrusions.

Arnaud Masson, responsable technique OT / XIoT chez Nomios

Des environnements OT aussi variés que leurs contraintes

Agro-industrie, énergie, transport, santé… Derrière le terme OT se cachent des réalités très différentes. Les architectures, les protocoles, les cycles de vie et les contraintes d’arrêt varient considérablement d’un secteur à l’autre. Un audit OT mené dans un réseau d’hôpitaux n’aura rien à voir avec celui d’un site pétrochimique ou d’un entrepôt logistique.

Cette diversité impose une méthodologie d’évaluation adaptée. « Chaque environnement OT est unique : notre rôle n’est pas d’imposer une solution type, mais de révéler les angles morts de la sécurité en s’appuyant sur la connaissance métier des équipes terrain », résume Arnaud Masson, Responsable Technique OT au sein du groupe Nomios.

Dans les faits, beaucoup d’industries pensent connaître leur parc OT. Pourtant, les audits révèlent quasi systématiquement des équipements oubliés, des connexions non documentées, voire des usages détournés – comme des automates reliés à Internet pour la télémaintenance, sans supervision centrale. La première cartographie permet souvent de découvrir des assets critiques non protégés (caméras, capteurs, automates de sécurité) ou des flux inattendus entre réseaux OT et IT.

Cartographier pour comprendre, prioriser pour agir

La réussite d’un projet de sécurisation OT commence par un audit approfondi de l’architecture existante. Cette étape, loin d’être purement technique, doit intégrer un cadrage métier : ateliers avec les responsables de production, les automaticiens, les équipes maintenance, pour comprendre les usages réels et les contraintes opérationnelles.

L’objectif est de produire une cartographie dynamique – vivante, évolutive, et exploitable dans le temps. Celle-ci doit identifier non seulement les équipements (automates, SCADA, IHM, capteurs…), mais aussi les flux, les dépendances et les vulnérabilités connues.

Dans son quotidien, Arnaud Masson est souvent confronté à des cas qui illustrent parfaitement l’importance de cette approche. « A l’occasion d’un projet récemment mené pour un acteur du transport, la cartographie a révélé que des équipements critiques étaient en réalité gérés par des sous-traitants, ce qui complexifiait fortement la sécurisation et la gestion des accès à distance. »

Cette phase d’audit débouche sur une matrice de criticité, un outil clé pour prioriser les risques et planifier les actions. Quels assets sont les plus exposés ? Quels flux méritent d’être segmentés ? Où concentrer les efforts de remédiation ? Cette hiérarchisation aide les DSI et RSSI à bâtir une feuille de route claire, équilibrée entre enjeux techniques et contraintes de production.

Co-construire la sécurité avec les équipes terrain

Pour Arnaud Masson, l’un des points clés de la réussite des projets de sécurisation OT réside dans un plan co-construit avec les équipes OT. « Les initiatives les plus abouties débutent toujours par des entretiens et des visites terrain. » Impliquer les responsables d’atelier, les automaticiens ou les équipes de maintenance dès la phase de diagnostic permet d’identifier les angles morts et de lever les réticences face aux mesures de sécurité : peur d’un arrêt de production, méfiance vis-à-vis de l’IT, ou contraintes liées aux machines anciennes non « patchables ».

La confiance est ici un facteur clé. « Les équipes OT détiennent une connaissance irremplaçable du terrain », rappelle Arnaud Masson. « C’est en associant leur expertise à la méthodologie cyber que l’on peut concevoir une stratégie de sécurité réaliste et durable. »

Cette approche intégrée permet ensuite de déployer des mesures proportionnées : segmentation des zones et conduits selon la norme IEC 62443, gestion des accès distants via des bastions sécurisés, supervision continue avec le déploiement d’un SOC industriel, ou encore gestion proactive des vulnérabilités (programme VOC).

Pas de dogme. Du cas par cas.

En définitive, sécuriser l’OT implique une démarche personnalisée d’écoute et d’ajustement. Chaque audit devient une opportunité de révéler les dépendances invisibles entre IT et OT, de renforcer la collaboration interne, et de construire une feuille de route sécurité adaptée au terrain. Dans un contexte où les attaques industrielles se multiplient, cette approche pragmatique, co-construite et sectorisée s’impose désormais comme le nouveau standard de la cybersécurité opérationnelle.

Une immersion indispensable dans l’environnement industriel

Les environnements industriels sont souvent hétérogènes, parfois anciens, avec des machines dont les mises à jour risquent de compromettre la continuité de la production si les bonnes pratiques ne sont pas mises en œuvre. D’où l’importance, quelle que soit l’action ou le déploiement envisagé, de s’entourer d’experts disposant d’une compréhension fine de la réalité du site à protéger.

Les projets réussis commencent systématiquement par des ateliers sur site, des visites terrain et des échanges directs avec les équipes OT et métiers. Cette immersion permet d’identifier les usages réels, les zones de vulnérabilité et les points de défaillance qu’un simple audit à distance ne détecterait pas.

Ce premier critère est décisif : le prestataire doit disposer d’une culture de terrain suffisamment riche pour bâtir une stratégie cyber réaliste, fondée sur les contraintes du site envisagé, et non sur un cahier des charges théorique.

La double compétence, clé d’un partenariat durable

Un bon partenaire OT doit avant tout parler le langage des automaticiens. Comprendre les temporalités longues, les cycles de maintenance, les contraintes de redémarrage : autant de paramètres que seul un acteur issu du monde industriel peut intégrer naturellement. La maîtrise des référentiels (IEC 62443, NIS2, ou guides ANSSI) est nécessaire, mais pas suffisante. Tout va se jouer dans la capacité d’adapter ces cadres à la réalité opérationnelle, sans perturber la production ni compromettre la sécurité physique des opérateurs.

« Les équipes OT et IT ne parlent pas toujours la même langue » souligne Arnaud Masson, responsable technique OT / XIoT chez Nomios : « il y a encore une guerre de tranchées entre les deux mondes. Le rôle d’un bon prestataire est d’agir comme un “casque bleu” entre ces univers. »

C’est ce double profil – industriel et cyber – qui fait la différence : un partenaire capable de dialoguer avec un DSI et un responsable d’atelier, de traduire les exigences de sécurité en mesures concrètes, et de bâtir un pont entre les deux mondes.

Transparence, engagement sur la durée et gestion de crise

Dans l’industrie, la confiance se gagne sur la durée. La traçabilité et la transparence des interventions sont des critères décisifs pour maintenir cette confiance. Lors de certains incidents, par exemple sur des presses hydrauliques ou des lignes de production critiques, la capacité du prestataire à agir sans interrompre la production est un critère déterminant. « Nous devons être en mesure de documenter nos actions, alerter sans alarmer, et nous intégrer dans les process métier existants » précise Arnaud Masson. Au-delà de la mise en place d’une solution technique, l’engagement s’inscrit donc dans la durée.

Un processus de sélection structuré et pragmatique

Afin de garantir une collaboration équilibrée, quelques critères de sélection méritent une attention particulière :

• La phase d’écoute et d’audit : le partenaire doit prendre en compte les contraintes et les priorités propres à votre environnement, et être en mesure de réaliser un audit complet, de la découverte des assets jusqu’à l’évaluation des vulnérabilités, en passant par la cartographie des flux. • L’expérience sectorielle : un prestataire qui n’a jamais travaillé en milieu industriel aura du mal à appréhender la criticité d’un automate ou les impératifs de disponibilité. Le choix d’un partenaire issu du terrain industriel est donc judicieux pour instaurer le dialogue avec les équipes OT. • Les capacités d’intervention et de supervision : gestion des accès à distance, intégration d’un SOC ou d’un VOC adaptés à l’OT, reporting clair et suivi continu. • Enfin, l’association aux comités de pilotage : avec la capacité à mettre en place des indicateurs de performance et à mener des points réguliers d’ajustement.

Accompagner le changement et transférer les compétences

Un bon prestataire OT ne se contente pas de sécuriser : il fait monter en compétence les équipes internes. Chez Nomios, cette approche se traduit par des ateliers pratiques, des sessions de formation sur la segmentation réseau, la gestion des accès ou la réponse aux incidents, adaptées au niveau de maturité de chaque site. Cette pédagogie favorise l’autonomie des équipes et la pérennité de la démarche.

Nomios applique cette philosophie à tous les projets : conseil, intégration, supervision et formation forment un continuum, sans catalogue figé. De plus l’hybridation des profils des équipes (experts IT et OT, ingénieurs cyber) garantit la compréhension fine des enjeux industriels. Dans un univers où la moindre erreur peut immobiliser une chaîne de production, ce sont moins les solutions techniques que la qualité de la relation qui font la différence.

Très différents les uns des autres, ces environnements OT ont chacun leurs contraintes et leurs spécificités. Impossible, donc, d’appliquer les mêmes recettes à tous : les normes et standards — directive NIS2, IEC 62443 ou encore NIST Cybersecurity Framework — doivent être adaptés à chaque contexte industriel.

Des textes structurants, mais à adapter au terrain

Les cyberattaques sur l’OT ont un coût potentiellement colossal : le ransomware NotPetya, en 2017, a paralysé la production du groupe Saint-Gobain et engendré un impact financier d'environ 220 millions d'euros sur ses ventes pour le premier semestre 2017.

Pour éviter de tels scénarios, la directive NIS2 fixe des obligations strictes : évaluation des risques, formation, réponse aux incidents et notification obligatoire en cas d’attaque.

Les standards comme l’IEC 62443 complètent ce cadre avec des exigences techniques : authentification forte, intégrité et résilience des systèmes, confidentialité et segmentation des flux, gestion des vulnérabilités et incidents. Le NIST Cybersecurity Framework partage la même logique : contrôle des accès, chiffrement, usage de firewalls, solutions de détection d’intrusion (IDS) et orchestration de la réponse aux incidents.

« Le cadre normatif et les standards servent de repères, mais leur mise en œuvre dépend de la maturité cyber, de l’ancienneté des équipements et de la culture métier », rappelle Arnaud Masson, expert OT chez Nomios. Une segmentation de réseau, par exemple, n’aura pas le même sens ni la même complexité dans une usine de production chimique que dans un port ou un hôpital. L’efficacité des mesures repose donc sur leur adaptation aux usages réels des équipes terrain.

Gouvernance : une affaire de culture et de collaboration

La conformité OT n’est pas qu’une affaire de technologies : elle suppose une collaboration étroite entre IT et OT. Mais cette coopération reste complexe : quand l’IT veut verrouiller, standardiser et contrôler, l’OT veut produire, maintenir la cadence et assurer la continuité. Malgré leurs cultures différentes, ces deux entités doivent apprendre à travailler ensemble pour avancer sur le terrain de la mise en conformité.

Les opérateurs représentent souvent la première ligne de défense. Leur formation et leur implication dès la conception du plan de conformité est essentielle. De même que leur implication aux côtés des équipes IT. Dans l’approche de Nomios, OT et IT travaillent en miroir : le CISO définit la stratégie, que les équipes industrielles traduisent ensuite dans les processus de production. « La réussite passe par la co-construction et par une gouvernance partagée », souligne Arnaud Masson. Cette gouvernance doit s’appuyer sur des référentiels éprouvés — IEC 62443, NIS, NIST — et sur une implication constante du terrain.

Les étapes clés d’une mise en conformité réussie

La conformité OT n’est pas un projet ponctuel : c’est une démarche d’amélioration continue. Nomios structure son approche en trois grandes étapes, qu’Arnaud Masson illustre par une analogie : « On peut comparer la démarche à un déménagement. On commence par l’état des lieux — la cartographie des équipements et des flux. Ensuite, on aménage : segmentation des zones, mise en place de bastions. Enfin, on protège et on contrôle les accès : alarmes, honeypots, supervision. »

La première phase est essentielle : la plupart des interventions démarrent en effet par un audit complet pour identifier les assets, cartographier les flux et évaluer les vulnérabilités. « On ne protège que ce que l’on connaît ».

Une fois la base établie, vient la traduction opérationnelle des exigences fondamentales de l’IEC 62443 : monitoring continu, gestion proactive des vulnérabilités, orchestration centralisée des solutions et supervision unifiée grâce à des plateformes modernes capables d’intégrer OT et IT.

Cette approche itérative permet d’avancer vers la conformité tout en améliorant la résilience globale du système.

Le facteur humain, maillon essentiel de la sécurité OT

Si les opérateurs sont la première barrière contre les incidents, leurs habitudes restent souvent bien ancrées : mots de passe sur post-it, clés USB partagées, doubles connexions filaire/Wi-Fi… « Pour garantir l’efficacité des normes, on ne peut faire l’impasse sur les actions de formation et de sensibilisation » commente Arnaud Masson. Mais elles ne suffisent pas sans une conduite du changement.

Plutôt que d’imposer des règles inapplicables, Nomios mise sur la pédagogie et l’accompagnement. « Il faut adapter la cybersécurité aux pratiques du terrain, pas l’inverse. Un opérateur contraint finit toujours par contourner la règle », insiste Arnaud Masson. « L’objectif est d’éviter la fatigue des équipes, réduire la complexité des systèmes et proposer des solutions pragmatiques, compréhensibles et adaptées au quotidien des opérateurs. »

Vers une conformité sur-mesure et durable

Chaque projet OT étant unique, la conformité doit être envisagée comme une démarche sur-mesure, co-construite entre les experts cyber et les métiers. Gardons à l’esprit que la sécurité OT n’est pas un objectif figé, mais un processus d’amélioration continue, où chaque audit nourrit le suivant. Si les attaques évoluent, les défenses doivent s’adapter.

Cette approche sur-mesure repose sur un écosystème OT dynamique, combinant partenariats technologiques, intégrations ouvertes et consolidation des outils. Une manière d’assurer, dans la durée, la résilience et la conformité face à l’évolution continue des menaces et des standards.