L’essentiel en bref : la cybersécurité industrielle, ou OT security, protège les systèmes qui pilotent les processus physiques d’une industrie : automates, SCADA, systèmes de contrôle. Elle diffère radicalement de la cybersécurité classique, car sa priorité absolue est la disponibilité et la sûreté, pas la confidentialité : une attaque peut ici arrêter une production, endommager un équipement ou mettre des personnes en danger. La norme de référence est l’IEC 62443, seul standard international dédié à ces systèmes. Elle repose sur trois piliers : segmenter le réseau en zones et conduits, définir un niveau de sécurité cible par zone, et piloter une démarche continue fondée sur l’inventaire des actifs et l’analyse de risques. Au Sénégal, un projet de loi sur les infrastructures critiques rend cette discipline de plus en plus incontournable. Ce guide complet en pose les fondations.
Quand on parle de cyberattaque, on pense vol de données ou rançongiciel bloquant des fichiers. Mais dans l’industrie, l’enjeu est d’une autre nature: une attaque peut ouvrir une vanne, arrêter une chaîne de production, dérégler un processus chimique ou empêcher un système de sécurité de se déclencher. Les conséquences ne sont plus seulement numériques, elles sont physiques, environnementales, parfois humaines. C’est le domaine de la cybersécurité industrielle, ou OT security.
Ce guide complet pose les fondations de cette discipline: ce qu’elle est, en quoi elle diffère de l’informatique classique, quelles menaces elle affronte, et surtout comment la structurer autour de la norme de référence, l’IEC 62443. Le tout traduit pour un décideur, dans le contexte industriel sénégalais.
Qu’est-ce que la cybersécurité OT, et pourquoi elle est différente
L’OT, ou technologie opérationnelle, désigne les systèmes qui contrôlent les processus physiques industriels: automates programmables, systèmes de supervision SCADA, systèmes de contrôle distribué, capteurs et actionneurs. La cybersécurité OT vise à protéger ces systèmes contre les cybermenaces.
Sa spécificité tient à une inversion des priorités par rapport à l’informatique de gestion. En sécurité informatique classique, on protège d’abord la confidentialité des données, puis leur intégrité, puis la disponibilité des services. En environnement OT, cet ordre est inversé: la disponibilité et la sûreté priment sur tout, car une interruption ou une manipulation peut avoir des conséquences physiques immédiates. On ne sécurise donc pas une usine comme un réseau de bureau.
Un aspect mérite une attention particulière: l’articulation entre la sûreté fonctionnelle, qui protège les personnes et l’environnement, et la cybersécurité. Les systèmes instrumentés de sécurité, ceux qui déclenchent un arrêt d’urgence par exemple, sont des cibles critiques: leur compromission pourrait empêcher une protection vitale de fonctionner. Sécuriser l’OT, c’est donc aussi protéger la sûreté elle-même.
➡️ Gestion des vulnérabilités : Processus et outils
Le paysage des menaces
La cybersécurité industrielle n’est pas une crainte théorique. Plusieurs attaques marquantes ont démontré la réalité du danger. Stuxnet a visé des automates pour saboter un processus industriel. L’attaque de Colonial Pipeline a paralysé un oléoduc majeur par un rançongiciel. Des hôpitaux ont vu leurs systèmes de supervision bloqués. D’autres attaques ont directement ciblé des systèmes de sûreté.
La tendance récente est plus inquiétante encore. Le ciblage d’automates industriels exposés sur Internet, souvent sans authentification, produit désormais des effets physiques réels: actions illégitimes sur des équipements, interruptions de chaînes de production, au-delà de la simple exfiltration de données. Les menaces se diversifient: rançongiciels visant les automates, espionnage économique, attaques d’acteurs étatiques, compromissions de la chaîne d’approvisionnement. Pour structurer la connaissance de ces attaques, les équipes s’appuient sur des référentiels comme MITRE ATT&CK adapté aux systèmes de contrôle industriel, qui catalogue les tactiques et techniques des attaquants.
Pourquoi les systèmes OT sont vulnérables
Plusieurs caractéristiques rendent l’OT intrinsèquement exposé. Les équipements ont une très longue durée de vie, souvent plusieurs décennies, et beaucoup ont été conçus avant que la cybersécurité ne devienne un enjeu. Les protocoles industriels, comme Modbus ou DNP3, ont été pensés pour la fiabilité et le déterminisme, pas pour la sécurité: ils n’intègrent généralement ni authentification ni chiffrement. Le patching est complexe, car on ne peut pas arrêter une production pour appliquer une mise à jour aussi facilement qu’un ordinateur.
À ces fragilités héritées s’ajoute un facteur aggravant: la convergence entre l’OT et l’informatique de gestion. Les systèmes industriels, historiquement isolés, sont désormais connectés aux réseaux d’entreprise, au cloud et parfois à Internet, notamment via la télémaintenance. Cette interconnexion, porteuse de gains, élargit considérablement la surface d’attaque au-delà des périmètres OT traditionnels.
➡️ Phishing : Comment former vos équipes à le détecter
La norme de référence : l’IEC 62443
Face à ces défis spécifiques, une norme s’est imposée comme la référence internationale: l’IEC 62443, développée par la Commission électrotechnique internationale avec l’ISA. Introduite en 2007 et enrichie depuis, elle est la seule norme qui adresse spécifiquement la cybersécurité des systèmes de contrôle industriel. Là où d’autres cadres, comme le NIST ou l’ISO 27001, restent génériques ou orientés organisation, l’IEC 62443 est conçue pour les contraintes du monde industriel: longévité des équipements, hétérogénéité, patching difficile, continuité opérationnelle.
Son périmètre officiel est celui des IACS, les systèmes d’automatisation et de contrôle industriels, qui englobent tout l’ensemble matériel, logiciel et procédural pilotant des équipements industriels. Sa force est d’impliquer tous les acteurs de la chaîne: le propriétaire de l’installation, l’intégrateur qui la déploie, et le fabricant des composants.
La norme s’organise en quatre séries. La première pose les concepts et la terminologie. La deuxième couvre les politiques et le management, avec notamment un système de management de la cybersécurité, sorte de gouvernance dédiée à l’OT. La troisième traite le niveau système, avec l’analyse de risques et les exigences de sécurité. La quatrième s’adresse aux fabricants de composants, avec des exigences de développement sécurisé. Cette structure permet à chaque organisation, d’une petite station de traitement d’eau à une grande usine, d’adapter la démarche à sa taille et à son niveau de risque.
Le pilier : zones et conduits
Au cœur de l’IEC 62443 se trouve le modèle des zones et conduits. Le principe consiste à organiser le réseau industriel en zones, regroupant des équipements qui partagent les mêmes exigences de sécurité et se comportent comme un ensemble homogène, par exemple une zone d’automatisation des procédés à forte criticité, une zone d’entreprise, une zone dédiée à la maintenance et à l’ingénierie. Ces zones sont reliées par des conduits, des passages contrôlés qui régulent strictement les flux entre elles.
Ce cloisonnement est le fondement de la défense en profondeur en environnement industriel: il limite la propagation d’une attaque d’une zone à l’autre. Son absence est d’ailleurs l’une des faiblesses les plus fréquemment constatées. Ce modèle s’appuie sur le modèle de Purdue, qui structure le réseau industriel en niveaux, du terrain aux systèmes d’entreprise, un sujet que nous avons détaillé par ailleurs sous l’angle de l’architecture réseau.
Les niveaux de sécurité et les exigences fondamentales
L’IEC 62443 introduit quatre niveaux de sécurité, ou SL, qui expriment le degré de protection requis pour une zone donnée. Le niveau 1 protège contre des menaces accidentelles. Le niveau 2 contre des attaques intentionnelles utilisant des moyens simples. Niveau 3, contre des attaques sophistiquées menées avec des compétences spécifiques à l’industriel. Le niveau 4 contre des menaces avancées disposant de ressources étendues, de type étatique.
La démarche consiste à définir, pour chaque zone, un niveau cible adapté à sa criticité, puis à mesurer l’écart avec le niveau réellement atteint. Une zone pilotant un réacteur en temps réel exigera un niveau plus élevé qu’une simple supervision à distance.
Ces niveaux reposent sur sept exigences fondamentales, qui constituent les piliers de la sécurité: le contrôle de l’identification et de l’authentification, le contrôle de l’usage et des privilèges, l’intégrité du système, la confidentialité des données, le cloisonnement des flux, la réponse rapide aux événements, et la disponibilité des ressources. Cette dernière, rappelons-le, est la priorité en OT.
➡️ Fortinet vs Palo Alto vs Cisco : Quel Pare-feu Choisir ?
La démarche : de l’inventaire à l’amélioration continue
Mettre en œuvre l’IEC 62443 suit une démarche systématique, qui commence toujours par une évaluation de la maturité de l’organisation.
La première étape est l’inventaire exhaustif des actifs: cartographier tous les équipements OT, automates, SCADA, interfaces, capteurs, actionneurs, identifier leurs versions logicielles, documenter leurs interconnexions. Un point crucial: on privilégie des outils de découverte passive, adaptés à l’OT, pour ne pas perturber les systèmes en production. On ne protège pas ce qu’on ne connaît pas.
Vient ensuite l’analyse de risques: identifier les scénarios de menace pertinents pour son secteur, évaluer l’impact potentiel sur la sécurité des personnes, l’environnement et la production, et déterminer les niveaux de sécurité cibles par zone. On définit alors l’architecture en zones et conduits, on la documente formellement, puis on réalise une analyse d’écart par rapport aux exigences de la norme, ce qui produit un plan d’actions priorisé.
La mise en œuvre suit: séparation des zones, contrôles d’accès, journalisation, détection d’anomalies, toujours alignée sur les fenêtres de maintenance pour ne pas interrompre la production. Elle s’accompagne de la formation des équipes d’ingénierie, de maintenance et de la salle de contrôle, et de la mise en place de processus de réponse à incident et de gestion des correctifs spécifiques à l’OT. Enfin, des audits internes réguliers mesurent le niveau atteint face à la cible, et un monitoring continu maintient la sécurité sur tout le cycle de vie. La cybersécurité industrielle n’est pas un projet ponctuel, mais une démarche d’amélioration continue.
Le contexte sénégalais : un enjeu qui devient réglementaire
La cybersécurité industrielle concerne directement le Sénégal, dont plusieurs secteurs reposent sur des systèmes OT: l’énergie et la production électrique, le traitement et la distribution de l’eau, les mines, la cimenterie, les ports et l’agro-industrie. Tous, à mesure de leur modernisation, deviennent exposés.
Un facteur nouveau change la donne: le cadre réglementaire. Un projet de loi sur la protection des infrastructures d’information critiques est en cours d’examen. S’il est adopté, il imposerait aux exploitants d’infrastructures critiques, dont relèvent de nombreux sites industriels, des obligations concrètes de cartographie, de segmentation, de supervision et d’audit. Or l’IEC 62443 est précisément le cadre qui permet de répondre méthodiquement à ces exigences. Anticiper en s’appuyant sur cette norme, c’est se préparer à la fois à la menace et à la réglementation.
Deux réalités locales pèsent enfin. L’énergie: l’instabilité électrique, déjà critique, l’est plus encore pour des processus industriels continus, ce qui fait de la résilience une composante de la sécurité. Et les compétences: l’expertise combinant automatisme, réseau et cybersécurité OT est extrêmement rare, ce qui rend l’accompagnement par un partenaire spécialisé souvent indispensable.
Protéger l’industrie, avec méthode
Retenez l’essentiel: la cybersécurité industrielle protège des systèmes dont la défaillance a des conséquences physiques, ce qui en fait une discipline à part, où la disponibilité et la sûreté priment. Sa réponse structurée existe: la norme IEC 62443, avec son modèle de zones et conduits, ses niveaux de sécurité et sa démarche fondée sur l’inventaire, l’analyse de risques et l’amélioration continue. Face à des menaces désormais capables d’effets physiques réels, et à une réglementation qui se renforce, structurer sa cybersécurité OT n’est plus une option pour les acteurs industriels.
Gael Conseil accompagne les industriels sénégalais et ouest-africains dans la sécurisation de leurs systèmes OT, avec une méthodologie éprouvée et un engagement de résultat. Inventaire des actifs par découverte adaptée à la production, analyse de risques, définition des zones et des niveaux de sécurité cibles selon l’IEC 62443, mise en œuvre de la segmentation et des protections, formation des équipes, réponse à incident spécifique OT et préparation aux exigences réglementaires: notre rôle est de protéger vos installations sans compromettre leur disponibilité, en combinant expertise en cybersécurité et compréhension des contraintes industrielles, dans le contexte local.
Vous exploitez des systèmes industriels et voulez les sécuriser sans risquer la production ? Échangeons sur votre exposition et votre démarche OT.
👉 Cybersécurité & Résilience, Gael Conseil
FAQ : Cybersécurité industrielle (OT security)
Qu’est-ce que la cybersécurité OT ?
C’est la protection des systèmes qui pilotent les processus physiques d’une industrie: automates, SCADA, systèmes de contrôle. Contrairement à la cybersécurité classique, sa priorité est la disponibilité et la sûreté, car une attaque peut avoir des conséquences physiques, comme arrêter une production ou endommager un équipement.
En quoi la sécurité OT diffère-t-elle de la sécurité IT ?
L’informatique classique protège d’abord la confidentialité des données. L’OT inverse cet ordre: la disponibilité et la sûreté priment, car les enjeux sont physiques. S’y ajoute l’articulation avec la sûreté fonctionnelle, les systèmes de sécurité qui protègent les personnes étant des cibles particulièrement critiques.
Qu’est-ce que la norme IEC 62443 ?
C’est la norme internationale de référence pour la cybersécurité industrielle, développée par l’IEC et l’ISA. C’est la seule spécifiquement dédiée aux systèmes de contrôle industriel. Structurée en quatre séries couvrant propriétaires, intégrateurs et fabricants, elle repose sur le modèle de zones et conduits, des niveaux de sécurité et une démarche de management continue.
Qu’est-ce que le modèle zones et conduits ?
C’est le pilier de l’IEC 62443. Il consiste à organiser le réseau OT en zones regroupant des équipements aux exigences de sécurité communes, reliées par des conduits qui contrôlent strictement les flux. Ce cloisonnement limite la propagation d’une attaque et constitue le fondement de la défense en profondeur en milieu industriel.
Que sont les niveaux de sécurité SL 1 à 4 ?
Ce sont quatre degrés de protection définis par l’IEC 62443, du niveau 1 contre les menaces accidentelles au niveau 4 contre les attaques sophistiquées de type étatique. On définit un niveau cible pour chaque zone selon sa criticité, puis on mesure l’écart avec le niveau réellement atteint pour prioriser les actions.
Par où commencer une démarche de cybersécurité OT ?
Par l’évaluation de la maturité et l’inventaire exhaustif des actifs, réalisé avec des outils passifs pour ne pas perturber la production. Vient ensuite l’analyse de risques, la définition des zones et des niveaux cibles, puis la mise en œuvre des protections alignée sur les fenêtres de maintenance, et enfin l’audit et le monitoring continus.
Gael Conseil intervient-il sur la cybersécurité industrielle au Sénégal ?
Oui. Gael Conseil accompagne les industriels sur l’inventaire, l’analyse de risques, la segmentation en zones et conduits selon l’IEC 62443, la mise en œuvre des protections, la formation et la préparation réglementaire, en combinant expertise cybersécurité et contraintes industrielles. Vous pouvez en savoir plus via la page dédiée Cybersécurité & Résilience.