OT Disaster Recovery

Définition

L'OT Disaster Recovery (reprise après sinistre dans les environnements OT) désigne l'ensemble des processus, procédures et technologies permettant de restaurer les systèmes de contrôle industriel dans un état fonctionnel acceptable après un incident majeur : cyberattaque, défaillance matérielle grave, sinistre physique ou catastrophe naturelle. L'OT DR présente des spécificités importantes par rapport à la reprise après sinistre IT en raison des contraintes de disponibilité opérationnelle, de sécurité fonctionnelle et des interdépendances entre systèmes logiciels et équipements physiques. Les RPO (Recovery Point Objective) et RTO (Recovery Time Objective) dans les environnements OT sont souvent très différents des environnements IT. Certains processus industriels critiques (nucléaire, chimique, raffinerie) ont des RTO de quelques heures car les équipements physiques peuvent être endommagés si le processus n'est pas redémarré correctement. D'autres processus (production manufacturière) peuvent tolérer des RTOs de plusieurs jours avec un impact économique mais sans risque physique. La récupération OT après une cyberattaque soulève des défis spécifiques : les sauvegardes des programmes PLC et des configurations SCADA sont souvent insuffisantes, obsolètes ou difficiles à restaurer sans une procédure détaillée. L'incident NotPetya (2017) chez A.P. Møller-Maersk a illustré ce problème : la restauration des systèmes industriels a pris des semaines en partie parce que les sauvegardes étaient insuffisantes. La restauration d'un réseau de contrôle industriel nécessite non seulement la restauration des logiciels mais aussi la validation de l'intégrité des configurations hardware des automates. Le plan OT DR doit intégrer des procédures de fonctionnement en mode dégradé (opération manuelle de l'installation pendant la récupération des systèmes automatisés), des procédures de test de redémarrage après restauration, et une coordination avec les équipes d'exploitation industrielle.