Cybersécurité industrielle en 2026 : menaces OT, segmentation IT/OT et diodes de données

Ce que couvre réellement la cybersécurité industrielle

La cybersécurité industrielle est la protection des technologies opérationnelles (OT), le matériel et les logiciels qui surveillent et contrôlent les processus physiques, contre les cybermenaces pouvant causer des interruptions opérationnelles, des dommages physiques ou des incidents de sécurité.

Elle se distingue de la sécurité IT par un aspect critique : les conséquences sont physiques.

Une brèche dans un environnement IT signifie une perte de données ou des dommages financiers. Une brèche dans un environnement OT peut signifier un processus chimique incontrôlé, un réseau électrique hors ligne ou un pipeline arrêté pendant six jours. Les systèmes à risque incluent :

• Les API (Automates Programmables Industriels) : automatisent la fabrication discrète et le contrôle des processus
• Les systèmes SCADA : assurent le contrôle supervisé et la visibilité en temps réel sur des sites distribués
• Les DCS (Systèmes de Contrôle Distribués) : gèrent les environnements de processus continus comme les raffineries et les centrales électriques
• Les RTU (Unités Terminales Distantes) : collectent des données de terrain dans des lieux isolés ou non habités
• Les HMI (Interfaces Homme-Machine) : le point de contact de l’opérateur pour la surveillance et le contrôle
• Les SIS (Systèmes Instrumentés de Sécurité) : la dernière ligne de défense commandant les arrêts d’urgence

Cette dernière catégorie importe plus que ce que la plupart des opérateurs réalisent. L’attaque TRITON/TRISIS de 2017 a spécifiquement ciblé un SIS Triconex de Schneider Electric dans une installation pétrochimique saoudienne, conçue pour désactiver la capacité d’arrêt d’urgence. Les attaquants comprennent l’architecture. La défense le doit aussi.

Qui en a besoin

Toute organisation qui gère des processus physiques via des systèmes automatisés est concernée. Les secteurs les plus exposés sont :

Énergie et services publics : production d’électricité, transport, traitement des eaux, eaux usées. Cibles privilégiées pour les acteurs étatiques cherchant à pré-positionner des capacités pour de futures perturbations.

Pétrole et gaz : amont, milieu, aval, pipelines. L’attaque de Colonial Pipeline en 2021 a mis hors ligne 600 000 barils par jour pendant six jours suite à un compromis IT ayant forcé un arrêt de l’OT.

Industrie manufacturière : automobile, aérospatiale, pharmacie, agroalimentaire. Des lignes de production fonctionnant sur une OT héritée qui n’a jamais été conçue pour la connectivité réseau.

Défense et gouvernement : réseaux classifiés, infrastructures souveraines, fabrication de défense. Des exigences de transfert de données inter-domaines qui exigent une isolation renforcée par le matériel.

Transport et santé : systèmes ferroviaires, opérations aéroportuaires, réseaux de dispositifs médicaux. La convergence avec l’IT et l’infrastructure cloud crée de nouvelles surfaces d’attaque plus rapidement que les équipes de sécurité ne peuvent les traiter.

Le point commun : des opérations qui ne peuvent tolérer aucun temps d’arrêt imprévu, où une cyberattaque a des conséquences physiques.

Pourquoi les environnements OT sont-ils particulièrement exposés ?

Systèmes hérités impossibles à corriger

La plupart des environnements OT utilisent des équipements installés il y a une décennie ou plus. Des API, RTU et HMI fonctionnant sur des micrologiciels en fin de vie, provenant de fournisseurs qui n’existent peut-être plus. La correction nécessite des temps d’arrêt validés que les calendriers de production ne peuvent souvent pas accommoder.

Les recherches de CrowdStrike en 2025 documentent un temps d’exploitation chutant de manière spectaculaire ces dernières années. À cette vitesse, un actif OT non corrigé n’est pas un risque de fond. C’est une porte ouverte.

Protocoles sans couche d’authentification

Modbus, DNP3, Profibus, HART, les protocoles de terrain qui font fonctionner la plupart des environnements industriels, ont été conçus pour la fiabilité dans des réseaux isolés. L’authentification n’a jamais fait partie du cahier des charges initial. Bien que l’évolution des protocoles couvre une certaine authentification, ils ne sont pas toujours mis en œuvre dans la pratique.

Un appareil parlant en Modbus TCP simple répond à n’importe quelle requête de n’importe quel hôte sur le même segment. Aucun identifiant requis. Aucune entrée de journal générée. Un attaquant qui atteint une station de travail d’ingénierie peut cartographier chaque appareil accessible, lire les valeurs des registres et documenter les adresses des variables de processus sans déclencher une seule alerte.

Le problème de la convergence

Les environnements OT ont été isolés physiquement (air-gapped) pendant des décennies, non par conception dans la plupart des secteurs, mais par incompatibilité technique. L’Industrie 4.0 a systématiquement démantelé cette isolation. Historisateurs cloud, plateformes de surveillance à distance, intégrations SIEM, sessions de maintenance des fournisseurs : chacun de ces éléments crée un chemin de données entre l’OT et l’IT.

Chaque chemin de données créé pour l’efficacité opérationnelle est également un chemin d’attaque potentiel.

La couche cloud ajoute un troisième niveau au problème. Des plateformes comme Azure IoT Hub et AWS IoT Greengrass se situent désormais entre les sources de données OT et l’analyse d’entreprise. Une passerelle périphérique collecte les données des API, les normalise et les pousse vers un point de terminaison cloud. Chaque couche nécessite des identifiants. Chaque couche exécute des logiciels qui nécessitent des correctifs. Chaque couche est un point d’entrée potentiel, et comprendre pourquoi commence par les différences fondamentales entre les environnements IT et OT.

Le paysage des menaces en 2026

L’arrivée des attaques orchestrées par l’IA

En septembre 2025, un groupe soutenu par l’État chinois désigné GTG-1002 a mené la première cyberattaque à grande échelle exécutée avec une IA gérant la majorité des opérations sans direction humaine soutenue, confirmé par Anthropic. Le cadre utilisait des outils de test d’intrusion courants, orchestrés de manière autonome. Reconnaissance, analyse de vulnérabilité, génération d’exploits, mouvement latéral s’exécutant à des milliers de requêtes par seconde.

Aucune équipe humaine ne peut opérer à ce rythme.

L’implication pour les opérateurs OT : les fenêtres de détection sur lesquelles les architectures de sécurité industrielle étaient calibrées se sont effectivement refermées pour les campagnes orchestrées par l’IA les plus rapides. Lorsque l’attaquant opère à la vitesse de la machine, la course aux armements entre détection et évasion n’a qu’une seule issue, et ce n’est pas un classificateur plus rapide.

Ransomwares ciblant directement l’OT

Le ransomware a évolué de l’opportunisme IT au ciblage OT. EKANS/Snake (2020) a été conçu pour mettre fin à des processus OT spécifiques avant le chiffrement. FrostyGoop (2024) a exploité une interface Modbus exposée pour couper le chauffage de 600 immeubles d’habitation à Lviv sans aucun mouvement latéral sophistiqué. Il a interrogé directement des registres non authentifiés.

L’attaque n’avait pas besoin d’être sophistiquée. Le protocole a fait le travail.

Pré-positionnement des États-nations

Volt Typhoon, le groupe soutenu par l’État chinois documenté par la CISA et Microsoft, a été confirmé en phase de pré-positionnement à l’intérieur des infrastructures critiques américaines : électricité, eau, communications. Pas pour une perturbation immédiate, mais pour une utilisation future.

Ces intrusions se caractérisent par des temps de séjour longs, des techniques de « living-off-the-land » et un bruit réseau minimal. Les défenses basées sur la détection, construites autour de seuils d’anomalies, n’ont pas été conçues pour ce modèle de menace.

Le chemin d’attaque documenté : IT → OT

Les incidents suivent un schéma constant. Le réseau IT est le point d’entrée. Le réseau OT est l’objectif. Chaque brèche majeure, Colonial Pipeline, TRITON/TRISIS, les attaques du réseau ukrainien, a suivi le même chemin, et les incidents documentés racontent la même histoire à chaque fois.

Pourquoi les défenses logicielles atteignent leurs limites

Les pare-feu appliquent des politiques. Les politiques peuvent être enfreintes

Un pare-feu est une configuration. Les configurations peuvent être mal configurées. En 2024, la campagne ArcaneDoor a exploité des zero-days dans les dispositifs périmétriques Cisco ASA et FTD ; l’appareil de sécurité censé protéger la frontière IT/OT est devenu le point d’entrée. Fortinet FortiOS (CVE-2024-21762) et Ivanti Connect Secure ont également été exploités dans des campagnes documentées en 2024, toutes répertoriées dans le catalogue des vulnérabilités exploitées connues de la CISA.

Le dispositif protégeant la frontière était lui-même la vulnérabilité.

Les défenses basées sur la détection supposent un temps de réponse

Les outils NDR et SIEM fonctionnant en quasi temps réel peuvent identifier un trafic OT anormal mais ils ne peuvent pas empêcher l’échange de se produire. La requête a déjà traversé le segment avant qu’une alerte n’atteigne un analyste.

Contre une campagne orchestrée par l’IA fonctionnant à la vitesse de la machine, un temps de séjour plus court signifie toujours que le dommage est fait avant qu’un humain ne puisse agir sur la première alerte.

Le cycle d’escalade favorise l’offensive

Les attaques assistées par l’IA décomposent les opérations malveillantes en milliers de tâches semblant individuellement inoffensives. Chaque étape ressemble à une activité de test de sécurité légitime. Les classificateurs comportementaux voient des étapes individuelles, pas la campagne.

L’évasion s’adapte plus vite que la mise à jour des règles de détection. Toute défense dont l’efficacité dépend de la patience de l’attaquant est mal calibrée pour 2026.

Ce qui fonctionne réellement : la segmentation matérielle à la frontière OT

Le principe de la diode de données

Une diode de données matérielle impose une communication unidirectionnelle à la couche physique à l’aide de composants optiques. Les données circulent dans une seule direction, généralement de l’OT vers l’IT. L’architecture matérielle rend un canal de retour physiquement impossible.

Il n’y a aucune configuration à compromettre. Aucun exploit de micrologiciel ne peut créer un canal de retour. Aucune politique ne peut être manipulée. L’unidirectionnalité est une contrainte physique, et non une règle logicielle, ce qui explique précisément pourquoi le matériel et les pare-feu ne sont pas des outils équivalents pour la protection de l’OT.

Un attaquant ayant entièrement compromis le réseau d’entreprise ne peut toujours pas atteindre le DCS, le SIS ou l’historisateur OT car il n’existe aucun canal de retour permettant à un protocole d’établir une session à travers la frontière.

Ce qui passe et ce qui ne passe pas

L’unidirectionnalité ne signifie pas une cécité opérationnelle. L’historisateur réplique les données de processus chronologiques vers l’extérieur pour l’analyse d’entreprise. Les exportations d’alarmes SCADA atteignent le SIEM du SOC. Les événements de sécurité provenant des API et des HMI sont transmis aux opérations de sécurité.

Les données qui rendent l’OT visible pour l’entreprise traversent la frontière dans la direction nécessaire. Ce qui ne passe pas, c’est tout chemin entrant.

Quand l’IT doit atteindre l’OT

Certains flux de travail nécessitent des flux IT vers OT : distribution de micrologiciels, synchronisation de recettes, envois de configurations. Une architecture de passerelle unidirectionnelle jumelée, composée de deux diodes de données matérielles fonctionnant sur des chemins séparés et asynchrones, gère ces flux via des transferts discrets, renforcés par le matériel et journalisés. Aucune session persistante ne peut être maintenue à travers la frontière.

Isolation du SIS : la frontière dans la frontière

Les systèmes instrumentés de sécurité justifient un segment de réseau distinct même au sein de l’environnement OT, isolés des réseaux opérationnels DCS et SCADA. Les normes IEC 61511 et IEC 62443 SL3/SL4 prescrivent toutes deux une séparation stricte pour les fonctions critiques de sécurité.

Une diode de données matérielle renforçant la frontière du SIS élimine tout chemin exploitable par logiciel depuis l’IT, depuis le réseau OT opérationnel, ou depuis les deux.

Cadres de référence et exigences réglementaires

L’IEC 62443, la norme internationale pour la sécurité des systèmes d’automatisation et de contrôle industriels, définit les zones et les conduits comme modèle d’architecture réseau OT. Ses niveaux de sécurité les plus élevés reconnaissent les passerelles de sécurité unidirectionnelles comme un contrôle conforme pour imposer la séparation des zones.

Le NIST SP 800-82 fournit des conseils pratiques spécifiquement pour la sécurité des ICS, avec des recommandations d’architecture réseau qui tiennent compte des contraintes opérationnelles de l’OT. Son cadre de cybersécurité (Identifier, Protéger, Détecter, Répondre, Récupérer) offre une méthodologie structurée applicable aux environnements industriels.

NIS2, transposée dans le droit national des États membres de l’UE, impose des contrôles techniques appropriés aux risques pour les opérateurs de services essentiels (énergie, eau, transport) et s’étend à la fabrication dans des sous-secteurs spécifiques : dispositifs médicaux, équipements électriques, véhicules à moteur et produits chimiques.

NERC CIP s’applique aux opérateurs du Bulk Electric System (BES) en Amérique du Nord, incluant les actifs de transport et de production haute tension au-dessus des seuils de criticité définis. Il identifie les passerelles unidirectionnelles comme un mécanisme conforme pour franchir les périmètres de sécurité électronique.

Ces cadres ont été développés indépendamment. Ils convergent vers la même architecture.