Cybersécurité industrielle (OT/ICS)

ISA/IEC 62443 — standard de cybersécurité industrielle

IEC 62443 (anciennement ISA-99) est le standard international de référence pour la cybersécurité des systèmes d'automatisation et de contrôle industriel (IACS — Industrial Automation and Control Systems). La série IEC 62443 couvre : les politiques et procédures (62443-2-1 — exigences de cybersécurité pour les opérateurs), les évaluations de risque (62443-2-4 — exigences pour les prestataires d'intégration), et les exigences techniques (62443-3-3 — exigences de sécurité système, 62443-4-2 — exigences techniques pour les composants). Le concept central d'IEC 62443 est le Security Level (SL 1 à 4) qui définit le niveau de protection contre des adversaires de sophistication croissante. La zonation et la conduite (Zones and Conduits) structurent la segmentation réseau OT — les systèmes similaires dans la même Zone, la communication entre zones via des Conduits contrôlés. IEC 62443 est exigé par certains clients industriels et est reconnu dans la directive NIS 2 pour les OIV (Opérateurs d'Importance Vitale).

Purdue Model — architecture réseau OT

Le Purdue Reference Model (ou modèle ISA-95) est l'architecture de référence pour les réseaux OT, divisant les systèmes industriels en niveaux hiérarchiques. Niveau 0 : Terrain (capteurs, actionneurs, machines physiques). Niveau 1 : Contrôle (PLCs, RTUs — contrôleurs d'automates). Niveau 2 : Supervision (HMI, SCADA — supervision des processus). Niveau 3 : Opérations (MES — Manufacturing Execution Systems). DMZ (Industrial DMZ) : zone de déchiffrement entre OT et IT. Niveau 4 : Logistique/IT (ERP, systèmes d'entreprise). Niveau 5 : Internet. La segmentation réseau suit ce modèle — chaque niveau communique uniquement avec les niveaux adjacents via des firewalls, et une DMZ industrielle isole le réseau OT du réseau IT. L'air gap (isolation physique totale entre OT et IT) était la pratique historique mais devient de moins en moins viable avec les besoins d'intégration des données OT dans les outils d'analytics cloud.

Détection des anomalies OT — spécificités

La détection des intrusions dans les environnements OT nécessite des approches adaptées aux spécificités de ces réseaux. Le trafic OT est très prévisible et répétitif — un contrôleur PLC envoie les mêmes commandes Modbus selon un cycle fixe. Toute déviation (commande inconnue, fréquence anormale, nouveau nœud) est potentiellement suspecte. Les solutions IDS/NDR spécialisées OT (Claroty, Nozomi Networks, Dragos, Armis for OT) analysent les protocoles OT industriels (Modbus, DNP3, OPC-UA, BACnet) nativement et détectent les anomalies comportementales sans nécessiter d'agents sur les équipements. Le passive monitoring (analyse du trafic réseau sans envoyer de requêtes actives) est privilégié en OT — les scans actifs peuvent perturber ou planter les équipements OT fragiles. L'intégration des alertes OT dans le SOC IT (SIEM unifié IT/OT) permet une réponse aux incidents coordonnée mais nécessite des équipes qui comprennent les deux environnements.