Des équipements intouchables
Automates, capteurs et postes de supervision n’acceptent ni agent ni interrogation active.
Sur une chaîne de production, un poste électrique ou une station de pompage, la première règle est de ne rien perturber. C’est pour cela que les méthodes de la sécurité informatique classique n’y entrent pas : un scan de vulnérabilité peut arrêter un automate, et un correctif impose un arrêt de production que personne n’accordera.
Le problème
L’informatique de gestion se protège avec des agents, des scans et des correctifs. Ces méthodes doivent être adaptées aux contraintes des environnements industriels : un automate n’accepte pas d’agent, un scan actif mal maîtrisé peut le perturber, et son correctif - s’il existe - suppose une fenêtre d’arrêt rarement disponible.
Le même raisonnement vaut pour les objets connectés du monde tertiaire : caméras, contrôle d’accès, climatisation, affichage. Ils sont raccordés au réseau, ils n’apparaissent dans aucun inventaire, et ils conservent souvent leur mot de passe d’usine.
Automates, capteurs et postes de supervision n’acceptent ni agent ni interrogation active.
Ici, l’arrêt de production coûte plus cher que l’incident de sécurité qu’on voulait éviter.
Le réseau industriel doit souvent communiquer avec l’informatique de gestion, parfois par un chemin que personne n’a correctement documenté.
Diagnostic
Ces questions distinguent deux situations très différentes : un site industriel avec des automates, ou un parc tertiaire saturé d’objets connectés.
Trop souvent, non. La supervision passive l’établit sans émettre une seule trame, donc sans aucun risque pour la production.
L’écart entre l’inventaire théorique et la réalité du terrain peut être significatif. La découverte sans agent les révèle : imprimantes, caméras, automates de climatisation, matériel posé par un prestataire.
Dans un réseau à plat, oui. La microsegmentation ferme ces chemins sans redécouper l’adressage.
Badges, capteurs sans fil, téléphones, drones : rien de tout cela n’emprunte un câble. L’écoute du spectre radio est le seul moyen de le voir.
Si c’est l’exploitation - et c’est légitime - tout projet doit être mené avec elle, sinon il sera refusé au moment du branchement.
Les solutions
Deux d’entre elles observent, deux d’entre elles cloisonnent. On commence toujours par observer.
Supervision passive du réseau industriel : inventaire, topologie et détection d’anomalies, sans émettre une seule trame.
Voir la solution →Écoute du spectre de 800 MHz à 5895 MHz : Wi-Fi, Bluetooth, Zigbee, LoRaWAN, cellulaire et drones.
Voir la solution →Découverte sans agent et sans scan actif de tout équipement raccordé, puis contrôle d’accès au réseau.
Voir la solution →Microsegmentation : cartographier les flux réels, simuler les règles, puis fermer les chemins de propagation.
Voir la solution →Par où commencer
Dans ce domaine plus qu’ailleurs, l’observation précède toujours l’action. Un cloisonnement décidé sans connaître les flux réels arrête la production.
Palier 1
Supervision passive et découverte sans agent. Aucun risque, et c’est souvent la première fois que la liste existe.
Palier 2
Observer plusieurs semaines ce qui communique réellement avec quoi, y compris les échanges qui n’apparaissent qu’à la clôture mensuelle.
Palier 3
Commencer par isoler ce qui protège le plus pour le moins de risque : sauvegardes, supervision, passerelles vers l’informatique de gestion.
Le palier 1 apporte déjà une valeur considérable : beaucoup d’organisations découvrent à ce stade des équipements dont plus personne ne connaissait l’existence ni la fonction.
Un partenaire, pas seulement un revendeur
Un projet de cybersécurité industrielle échoue rarement sur la technique. Il échoue quand l’équipe sécurité arrive sans les exploitants, avec des méthodes conçues pour la bureautique.
Nous associons les équipes de production dès le cadrage. Sans leur accord, aucun raccordement ne se fera - et ils ont raison de l’exiger.
Port miroir, prise dérivée ou capture hors ligne : nous choisissons le mode qui ne touche pas au flux de production.
Nous relions la supervision industrielle à vos outils sans créer une passerelle qui ouvrirait le réseau industriel.
Un capteur par site puis une consolidation centrale, dimensionnée selon la qualité réelle de vos liaisons intersites.
Nous cadrons un raccordement sans risque pour la production, établissons l’inventaire réel de vos équipements et vous le restituons. Réponse sous 24 heures ouvrées.