Cybersécurité industrielle : le facteur humain, angle mort des environnements OT

Alors que les cyberattaques ciblant les infrastructures industrielles se multiplient, la convergence entre IT et OT fait de la cybersécurité un enjeu qui dépasse largement la protection des données

L'information révélée par le New York Times il y a quelques semaines a fait le tour du monde : des cyberattaques attribuées à l’Iran ont ciblé des réseaux d’eau potable aux États-Unis, dans au moins sept États.

Cet épisode rappelle qu’une cyberattaque contre une entreprise industrielle ne menace pas seulement ses données. Elle peut aussi interrompre une production, rendre un équipement indisponible ou avoir des conséquences sur la distribution d’eau et d’énergie, la sécurité des personnes et l’environnement.

La convergence entre IT et OT élargit la surface d’attaque

Pendant longtemps, les systèmes industriels ont fonctionné dans des environnements relativement isolés. Mais cette séparation disparaît progressivement avec la convergence entre les systèmes informatiques (IT) et les technologies opérationnelles (OT), chargés de piloter des procédés physiques tels que les automates, les systèmes de contrôle-commande ou les équipements de production.

Si cette évolution apporte des gains importants en matière de supervision, de performance et de maintenance, elle élargit également la surface d’attaque. Un identifiant compromis dans le système d’information, un accès distant mal sécurisé ou un équipement insuffisamment protégé peuvent désormais constituer une passerelle vers l’environnement industriel.

Ces contraintes sont renforcées par la durée de vie des installations industrielles, dont certains équipements, conçus il y a plusieurs décennies, n’ont pas été pensés pour faire face aux menaces actuelles.

Dans ces environnements, les méthodes classiques de cybersécurité ne peuvent donc pas toujours être appliquées de la même manière que dans l’informatique de gestion.

Faire de la cybersécurité un réflexe essentiel

Face à ces risques, les industriels améliorent leurs dispositifs techniques en renforçant la segmentation des réseaux, la sécurisation des accès distants, la surveillance des équipements et la sauvegarde des configurations. Ces mesures sont indispensables, mais elles ne suffisent pas.

La sécurité d’un site industriel repose aussi sur les nombreuses personnes qui interviennent au quotidien : équipes de maintenance, ingénieurs, intégrateurs, fournisseurs, sous-traitants... Ainsi, une connexion distante inhabituelle, un support amovible ou un accès mal sécurisé peuvent devenir des points de vulnérabilité. La capacité des équipes à identifier une anomalie et à réagir rapidement constitue alors un facteur clé de résilience.

L’humain ne doit toutefois pas être présenté comme le "maillon faible" de l’organisation. Cette approche risque de culpabiliser les collaborateurs, alors qu’ils évoluent souvent sous de fortes contraintes opérationnelles. L’enjeu est au contraire de leur donner les moyens de devenir des acteurs de la détection et de la résilience du site.

Le facteur humain ne se limite pas au phishing

La sensibilisation aux risques OT ne peut donc pas se limiter à transposer aux équipes industrielles une formation générale sur les mots de passe ou le phishing. Elle doit partir de leur environnement de travail, de leurs responsabilités, et des gestes qu’ils accomplissent quotidiennement.

Un opérateur doit savoir comment réagir face à une modification inattendue. Les prestataires et sous-traitants doivent également être intégrés à cette démarche car ils disposent fréquemment d’accès privilégiés et interviennent sur plusieurs installations. La compromission de leurs comptes ou de leurs outils peut ainsi devenir un vecteur indirect d’accès aux systèmes industriels.

Pour être efficace, la sensibilisation doit donc s’appuyer sur des situations concrètes et contextualisées. L’objectif n’est pas de transformer chaque collaborateur en expert technique. Il s’agit de leur permettre de reconnaître une situation inhabituelle et d’adopter le bon comportement : ne pas agir dans la précipitation, vérifier la demande, interrompre l’opération si nécessaire, et alerter selon une procédure clairement définie.

L’industrie dispose déjà d’une culture forte de la sécurité et de la sûreté. La cybersécurité OT doit progressivement s’inscrire dans cette même logique. Avec le renforcement des exigences réglementaires, notamment NIS 2, la maîtrise du risque cyber ne peut plus relever des seules équipes informatiques : elle doit associer directions, équipes OT, production, maintenance et prestataires.

Dans l’industrie, chaque action sur un système peut avoir une conséquence physique. La résilience cyber dépendra donc autant des technologies que de la capacité collective à intégrer le risque cyber dans les pratiques quotidiennes.