Third Party Risk OT (Risque tiers industriel)

Définition

Le Third Party Risk Management en environnement OT (gestion des risques tiers) désigne l'ensemble des pratiques d'évaluation, de contrôle et de surveillance des risques cybernétiques introduits par les fournisseurs, prestataires, intégrateurs et partenaires qui ont accès aux systèmes de contrôle industriel d'une organisation. Dans les environnements OT, la dépendance vis-à-vis de tiers est particulièrement élevée : les équipements industriels nécessitent une maintenance spécialisée (PLC, DCS, variateurs), les mises à jour logicielles proviennent de fournisseurs externes, et les intégrateurs interviennent régulièrement pour les extensions et modifications de systèmes. Les risques tiers OT se manifestent à travers plusieurs vecteurs : les accès distants de maintenance (les intégrateurs et fabricants OEM ont souvent des accès VPN permanents ou facilement activables vers les réseaux de contrôle), les interventions sur site avec des équipements personnels non contrôlés (laptops d'ingénieur d'intégrateur potentiellement infectés connectés au réseau OT), les mises à jour logicielles et firmware provenant des fabricants (un package de mise à jour compromis chez le fabricant avant distribution est un vecteur de supply chain attack), et les données partagées avec des partenaires (configurations SCADA, schémas de processus partagés avec des consultants). Des incidents documentés illustrent ces risques : l'incident de la station d'eau de Oldsmar (2021) impliquait TeamViewer installé pour la maintenance à distance, la compromission de SolarWinds (2020-2021) affecte également des clients dans le secteur de l'énergie qui utilisaient SolarWinds Orion pour gérer leurs réseaux OT, et de nombreux incidents de ransomware OT ont pour origine des accès de maintenance compromis chez des prestataires de services industriels. La norme IEC 62443-2-4 adresse spécifiquement les exigences pour les prestataires de services (intégrateurs) et la norme IEC 62443-2-1 inclut des exigences de gestion de la chaîne d'approvisionnement pour les Asset Owners.

Fonctionnement du Third Party Risk Management OT

Un programme de Third Party Risk Management OT comprend : (1) Inventaire des tiers : identification de tous les tiers avec accès aux systèmes OT (fabricants, intégrateurs, consultants, prestataires de maintenance), (2) Évaluation des risques tiers : pour chaque tiers, évaluation du niveau d'accès (accès réseau permanent vs ponctuel, accès distants vs physiques), de la criticité des systèmes accessibles, et de la maturité cybersécurité du tiers (questionnaire de sécurité, certification IEC 62443-2-4, audit), (3) Contrôles contractuels : exigences cybersécurité dans les contrats (politique d'accès distants, exigences sur les équipements utilisés, obligations de notification d'incidents), (4) Contrôles techniques : gestion stricte des accès tiers (accès temporaires, journalisés, avec MFA), (5) Surveillance continue : revue périodique des accès actifs, suivi des incidents cybersécurité affectant les tiers clés.

Contexte OT/ICS et accès de maintenance fournisseurs

Les accès distants de maintenance fournisseurs sont le principal risque tiers OT : dans de nombreuses installations industrielles, les fabricants d'équipements (Siemens, Emerson, Honeywell, Schneider) ont des accès VPN permanents ou facilement activables vers les réseaux de contrôle de leurs clients pour la maintenance préventive et curative. Ces accès sont souvent gérés de manière informelle (pas de MFA, comptes génériques partagés entre plusieurs techniciens du fabricant, pas de journalisation des sessions). Un acteur malveillant qui compromet les credentials d'un technicien de maintenance de Siemens ou d'Emerson obtient potentiellement un accès à des dizaines de sites clients.

Sécurité et mitigation

Contrôle des risques tiers OT : implémenter un Privileged Access Management (PAM) dédié aux accès tiers OT (session recording, accès just-in-time, validation par un responsable interne avant chaque session), exiger que les prestataires intervenant sur site utilisent des équipements fournis ou validés par l'organisation (pas de laptops personnels non contrôlés sur le réseau OT), inclure des clauses de notification d'incidents dans les contrats fournisseurs OT, réaliser des audits annuels des accès tiers actifs pour révoquer les accès obsolètes, et évaluer la maturité cybersécurité des intégrateurs OT avant attribution de contrats (certification IEC 62443-2-4).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis