Comme dans la sécurité IT, les entreprises ont besoin d’acculturation dans le domaine de l’OT afin de changer les comportements. « Il faut savoir dire au technicien qu’il n’aura plus accès aussi facilement à son port USB pour effectuer des mises à jour ou réaliser des sauvegardes sans contreparties sécuritaires. Les équipes IT nous demandent d’ailleurs d’évangéliser les équipes OT avant même de les former, c’est d’autant plus important quand vous voyez les écrans et les claviers où sont collés des post-it remplis de mots de passe », explique Arnaud Masson, directeur technique OT/XIoT chez Nomios. A ce titre, Arnaud Masson ne manque pas d’idées pour simuler des attaques, il a ainsi réalisé une usine miniature en Lego de la taille d’une valise pour montrer aux industriels l’impact d’une cyberattaque après une infiltration dans un système obsolète. Sous cette maquette se cachent de véritables routeurs et équipements nécessaires à la connectivité des machines d’une usine. Le bon déroulement de la chaîne de production est signalé par différents voyants lumineux entre les figurines d’ouvriers. Depuis cette usine, il peut simuler une attaque via deux automates qui échangent des données via le port 502, associé au protocole Modbus, lequel est largement répandu mais ancien et qui ne prévoit aucun chiffrement. Pour illustrer le risque, Arnaud Masson ouvre donc un terminal sur son ordinateur, récupère l’adresse IP d’un automate et accède à ses registres internes, lisant en direct l’état de la machine. En modifiant une valeur critique — remplacée par zéro — il envoie une commande d’arrêt. Immédiatement, sur la maquette Lego qui simule une ligne de production, les voyants lumineux s’éteignent, reproduisant l’effet d’un arrêt brutal en usine. 

Un discours cyber dès l’école 

Au-delà des messages et des formations que les experts de la cybersécurité industrielle font passer dans les entreprises, le discours a également changé dans les écoles, notamment dans les sections de BTS qui forment les futurs techniciens supérieurs, nombreux dans les sites de production. Il existe désormais plusieurs BTS dédiés à la cyber comme Ciel (Cybersécurité, informatique et réseaux, électronique) ou encore SIO (Services informatiques aux organisations). Le lycée militaire de Saint-Cyr-l’Ecole propose même dans son cursus un BTS Cyberdéfense. Il y a encore quelques années, la majorité de ces formations n’abordait pas du tout cette problématique de la cybersécurité industrielle.