{"id":701,"date":"2026-08-11T18:28:00","date_gmt":"2026-08-11T22:28:00","guid":{"rendered":"https:\/\/saogcyber.ca\/securiser-les-technologies-operationnelles-sans-arreter-la-production\/"},"modified":"2026-10-07T16:56:36","modified_gmt":"2026-10-07T20:56:36","slug":"securiser-les-technologies-operationnelles-sans-arreter-la-production","status":"publish","type":"post","link":"https:\/\/saogcyber.ca\/fr\/securiser-les-technologies-operationnelles-sans-arreter-la-production\/","title":{"rendered":"S\u00e9curiser les technologies op\u00e9rationnelles sans arr\u00eater la production"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Cybers\u00e9curit\u00e9 OT pragmatique pour les environnements manufacturiers, a\u00e9rospatiaux et de d\u00e9fense<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n
\n

Les technologies op\u00e9rationnelles (OT) g\u00e8rent les processus physiques, les \u00e9quipements de production et, dans certains environnements, les fonctions de s\u00e9curit\u00e9. Les mesures de s\u00e9curit\u00e9 doivent donc r\u00e9duire le risque cyber sans introduire de risques op\u00e9rationnels ou de s\u00e9curit\u00e9 inacceptables. L\u2019objectif n\u2019est pas de transposer les contr\u00f4les de l\u2019IT bureautique dans l\u2019atelier, mais de les adapter aux r\u00e9alit\u00e9s de disponibilit\u00e9, de fiabilit\u00e9, d\u2019\u00e9quipements h\u00e9rit\u00e9s et de changements ma\u00eetris\u00e9s. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Les pratiques IT ne se transposent pas directement\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

Le d\u00e9ploiement rapide de correctifs, l\u2019analyse active des vuln\u00e9rabilit\u00e9s, les agents sur les terminaux et les red\u00e9marrages fr\u00e9quents sont courants en environnement IT. Toutefois, en environnement OT, ces actions peuvent perturber les communications d\u00e9terministes, invalider le support du fournisseur, compromettre la logique de s\u00e9curit\u00e9 ou arr\u00eater la production. Toute modification de s\u00e9curit\u00e9 doit faire l\u2019objet d\u2019une analyse de risques, \u00eatre test\u00e9e dans un environnement repr\u00e9sentatif lorsque possible, \u00eatre approuv\u00e9e via la gestion des changements et \u00eatre planifi\u00e9e en coordination avec les op\u00e9rations, l\u2019ing\u00e9nierie et les fournisseurs d\u2019\u00e9quipements. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Commencer par une vision fiable de l\u2019environnement\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

Un programme de s\u00e9curit\u00e9 OT fiable commence par un inventaire \u00e0 jour et une documentation d\u2019architecture. Identifiez les contr\u00f4leurs, les IHM, les postes d\u2019ing\u00e9nierie, les serveurs, les \u00e9quipements r\u00e9seau, les versions logicielles et micrologicielles, les connexions \u00e0 distance, les flux de donn\u00e9es, les responsables, la criticit\u00e9 et l\u2019\u00e9tat du support. La surveillance passive du r\u00e9seau est souvent la m\u00e9thode de d\u00e9couverte initiale la plus s\u00fbre, car elle observe le trafic existant plut\u00f4t que d\u2019interroger des \u00e9quipements fragiles ; toutefois, le d\u00e9ploiement de capteurs doit malgr\u00e9 tout \u00eatre planifi\u00e9 et valid\u00e9 avec le personnel de l\u2019usine. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Point cl\u00e9\n\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

L\u2019inventaire des actifs n\u2019est pas un exercice ponctuel. Il doit \u00eatre mis \u00e0 jour lors des installations, des retraits, des changements de configuration et tout au long du cycle de vie des actifs. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Segmenter avant et pendant l\u2019application des correctifs\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

La segmentation r\u00e9seau est un contr\u00f4le compensatoire essentiel lorsque l\u2019application imm\u00e9diate des correctifs n\u2019est pas possible, mais elle ne remplace pas la gestion des vuln\u00e9rabilit\u00e9s. S\u00e9parez l\u2019IT d\u2019entreprise de l\u2019OT, mettez en place une zone d\u00e9militaris\u00e9e industrielle au besoin, limitez les communications entre zones et conduits, appliquez des r\u00e8gles de refus par d\u00e9faut, contr\u00f4lez l\u2019acc\u00e8s des fournisseurs et isolez les actifs non pris en charge. Priorisez les correctifs et les mises \u00e0 jour de micrologiciel selon le risque, testez-les, assurez-vous que des plans de retour arri\u00e8re sont en place et d\u00e9ployez-les pendant des fen\u00eatres de maintenance approuv\u00e9es. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

La gouvernance doit inclure l\u2019atelier\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

La s\u00e9curit\u00e9 OT ne rel\u00e8ve pas uniquement de l\u2019IT. Une gouvernance efficace r\u00e9partit les responsabilit\u00e9s entre les op\u00e9rations, l\u2019ing\u00e9nierie, la maintenance, la s\u00e9curit\u00e9, la cybers\u00e9curit\u00e9 et les fournisseurs tiers. Elle d\u00e9finit \u00e9galement les responsables des technologies, les chemins d\u2019acc\u00e8s \u00e0 distance approuv\u00e9s, les exigences de contr\u00f4le des changements, la gestion des exceptions et les contr\u00f4les compensatoires document\u00e9s. Les d\u00e9cisions doivent \u00eatre \u00e9valu\u00e9es en fonction de la s\u00e9curit\u00e9, de la disponibilit\u00e9, de l\u2019int\u00e9grit\u00e9 des processus et des objectifs de r\u00e9tablissement, plut\u00f4t qu\u2019en fonction du seul nombre de vuln\u00e9rabilit\u00e9s trait\u00e9es. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Se pr\u00e9parer aux incidents sans en provoquer un\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n

Les plans de r\u00e9ponse aux incidents OT doivent tenir compte des cons\u00e9quences physiques potentielles. Ils doivent pr\u00e9ciser qui est autoris\u00e9 \u00e0 isoler les \u00e9quipements, les crit\u00e8res de reprise de la production, les exigences d\u2019arr\u00eat s\u00e9curis\u00e9, les proc\u00e9dures de maintien des op\u00e9rations manuelles et quand impliquer les fournisseurs, les \u00e9quipes SSE, les conseillers juridiques ou les autorit\u00e9s de r\u00e9glementation. Les exercices sur table doivent simuler des sc\u00e9narios r\u00e9alistes avec les \u00e9quipes d\u2019exploitation et d\u2019ing\u00e9nierie, en mettant l\u2019accent sur le confinement, la restauration \u00e0 partir de sauvegardes de confiance et la capitalisation des le\u00e7ons apprises. <\/span><\/span><\/p>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Une approche pragmatique\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n

S\u00e9curiser l\u2019OT tout en minimisant les perturbations de production repose sur cinq disciplines cl\u00e9s :<\/span><\/span><\/p>\n

    \n
  • une visibilit\u00e9 pr\u00e9cise,<\/span><\/span><\/li>\n
  • une segmentation fond\u00e9e sur le risque,<\/span><\/span><\/li>\n
  • une maintenance ma\u00eetris\u00e9e,<\/span><\/span><\/li>\n
  • une gouvernance partag\u00e9e et<\/span><\/span><\/li>\n
  • une r\u00e9ponse r\u00e9p\u00e9t\u00e9e.<\/span><\/span><\/li>\n<\/ul>\n

    L\u2019objectif n\u2019est pas d\u2019\u00e9liminer tout impact op\u00e9rationnel, mais de permettre des changements mieux \u00e9clair\u00e9s, de renforcer la r\u00e9silience et de r\u00e9duire les probl\u00e8mes impr\u00e9vus dans l\u2019atelier.<\/span><\/span><\/p>\n

    SAOG Cyber accompagne les organisations avec des revues des actifs et de l\u2019architecture OT, une strat\u00e9gie de segmentation r\u00e9seau, des \u00e9valuations des risques, la conception de la gouvernance et de la gestion des changements, ainsi que la planification de la pr\u00e9paration aux incidents OT.<\/span><\/strong><\/p>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

    Les technologies op\u00e9rationnelles (OT) pilotent les processus physiques, les \u00e9quipements de production et les fonctions de s\u00e9curit\u00e9. Les mesures de s\u00e9curit\u00e9 doivent r\u00e9duire le risque cyber sans introduire de risques op\u00e9rationnels ou de s\u00e9curit\u00e9 inacceptables. <\/p>\n","protected":false},"author":1,"featured_media":702,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_thinkrank_schema_form_data":"","_thinkrank_selected_schema_type":"","_thinkrank_additional_schemas":"","_thinkrank_canonical_url":"","_thinkrank_og_title":"","_thinkrank_og_description":"","_thinkrank_og_image":"","_thinkrank_twitter_title":"","_thinkrank_twitter_description":"","_thinkrank_twitter_image":"","_thinkrank_imported_from":"","_thinkrank_focus_keywords":[],"_thinkrank_focus_keyword":"","_thinkrank_robots_meta_enabled":0,"_thinkrank_robots_meta":"","_thinkrank_advanced_robots_meta":"","_thinkrank_exclude_from_search":0,"_thinkrank_exclude_from_archives":0,"_thinkrank_primary_category":0,"page_builder":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[33],"tags":[],"class_list":["post-701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-securite-ot"],"_links":{"self":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/701","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/comments?post=701"}],"version-history":[{"count":1,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/701\/revisions"}],"predecessor-version":[{"id":703,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/701\/revisions\/703"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media\/702"}],"wp:attachment":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media?parent=701"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/categories?post=701"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/tags?post=701"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}