Arnaud Masson, responsable technique OT / XIoT chez Nomios                                                 

Des environnements OT aussi variés que leurs contraintes

Agro-industrie, énergie, transport, santé… Derrière le terme OT se cachent des réalités très différentes. Les architectures, les protocoles, les cycles de vie et les contraintes d’arrêt varient considérablement d’un secteur à l’autre. Un audit OT mené dans un réseau d’hôpitaux n’aura rien à voir avec celui d’un site pétrochimique ou d’un entrepôt logistique.

Cette diversité impose une méthodologie d’évaluation adaptée. « Chaque environnement OT est unique : notre rôle n’est pas d’imposer une solution type, mais de révéler les angles morts de la sécurité en s’appuyant sur la connaissance métier des équipes terrain », résume Arnaud Masson, Responsable Technique OT au sein du groupe Nomios.

Dans les faits, beaucoup d’industries pensent connaître leur parc OT. Pourtant, les audits révèlent quasi systématiquement des équipements oubliés, des connexions non documentées, voire des usages détournés – comme des automates reliés à Internet pour la télémaintenance, sans supervision centrale. La première cartographie permet souvent de découvrir des assets critiques non protégés (caméras, capteurs, automates de sécurité) ou des flux inattendus entre réseaux OT et IT.

Cartographier pour comprendre, prioriser pour agir

La réussite d’un projet de sécurisation OT commence par un audit approfondi de l’architecture existante. Cette étape, loin d’être purement technique, doit intégrer un cadrage métier : ateliers avec les responsables de production, les automaticiens, les équipes maintenance, pour comprendre les usages réels et les contraintes opérationnelles.

L’objectif est de produire une cartographie dynamique – vivante, évolutive, et exploitable dans le temps. Celle-ci doit identifier non seulement les équipements (automates, SCADA, IHM, capteurs…), mais aussi les flux, les dépendances et les vulnérabilités connues.

Dans son quotidien, Arnaud Masson est souvent confronté à des cas qui illustrent parfaitement l’importance de cette approche.  « A l’occasion d’un projet récemment mené pour un acteur du transport, la cartographie a révélé que des équipements critiques étaient en réalité gérés par des sous-traitants, ce qui complexifiait fortement la sécurisation et la gestion des accès à distance. »

Cette phase d’audit débouche sur une matrice de criticité, un outil clé pour prioriser les risques et planifier les actions. Quels assets sont les plus exposés ? Quels flux méritent d’être segmentés ? Où concentrer les efforts de remédiation ? Cette hiérarchisation aide les DSI et RSSI à bâtir une feuille de route claire, équilibrée entre enjeux techniques et contraintes de production.

Co-construire la sécurité avec les équipes terrain

Pour Arnaud Masson, l’un des points clés de la réussite des projets de sécurisation OT réside dans un plan co-construit avec les équipes OT. « Les initiatives les plus abouties débutent toujours par des entretiens et des visites terrain. »
Impliquer les responsables d’atelier, les automaticiens ou les équipes de maintenance dès la phase de diagnostic permet d’identifier les angles morts et de lever les réticences face aux mesures de sécurité : peur d’un arrêt de production, méfiance vis-à-vis de l’IT, ou contraintes liées aux machines anciennes non « patchables ».

La confiance est ici un facteur clé. « Les équipes OT détiennent une connaissance irremplaçable du terrain », rappelle Arnaud Masson. « C’est en associant leur expertise à la méthodologie cyber que l’on peut concevoir une stratégie de sécurité réaliste et durable. »

Cette approche intégrée permet ensuite de déployer des mesures proportionnées : segmentation des zones et conduits selon la norme IEC 62443, gestion des accès distants via des bastions sécurisés, supervision continue avec le déploiement d’un SOC industriel, ou encore gestion proactive des vulnérabilités (programme VOC).

Pas de dogme. Du cas par cas.

En définitive, sécuriser l’OT implique une démarche personnalisée d’écoute et d’ajustement. Chaque audit devient une opportunité de révéler les dépendances invisibles entre IT et OT, de renforcer la collaboration interne, et de construire une feuille de route sécurité adaptée au terrain.
Dans un contexte où les attaques industrielles se multiplient, cette approche pragmatique, co-construite et sectorisée s’impose désormais comme le nouveau standard de la cybersécurité opérationnelle.