Combler le fossé entre l’IT et l’OT grâce au Zero Trust : du cloisonnement à la synergie

De plus en plus d’entreprises se lancent dans la création d’usines, de réseaux et même d’entrepôts intelligents. Les appareils sont reliés au cloud, aux centres de données, et parfois directement à Internet. La sécurité de la chaîne d’approvisionnement est un sujet aussi important que celui de la sécurité du SI et mérite la même attention.

Grâce à l’industrie 4.0, les processus sont plus simples, rapides et efficaces. Mais cette meilleure interconnectivité entre machines, systèmes et réseaux informatiques ouvre la porte à de nouvelles vulnérabilités. On se retrouve donc avec les mêmes failles que dans le monde IT mais avec une nuance de taille : les environnements industriels n’ont pas été conçus pour faire face à ce type de menaces.

Reconnaître que les OT évoluent à un rythme effréné, c’est bien. Mais ça ne suffit pas. En d’autres termes, le RSSI doit se demander quel sera leur impact sur la sécurité de l’entreprise, et in fine, sur ses performances et ses résultats.

Jusqu’à maintenant, les équipes OT et IT travaillaient chacune de leur côté, en mode silo. Chaque équipe se concentrait sur la sécurité de son propre environnement sans vraiment se demander ce que faisait l’autre.

Mais avec des systèmes de plus en plus connectés, le modèle ne fonctionne plus. Les deux équipes doivent travailler main dans la main, c’est indispensable. Ce qu’il faut besoin, c’est une stratégie mixte, capable de concilier efficacement les exigences de l’IT classique et celles de l’OT.

Il est aussi temps de repenser les outils de sécurité OT traditionnels. Avec l’émergence de systèmes de contrôle interactifs basés sur des plateformes conteneurisées ou virtualisées, les règles du jeu ont changé. Les solutions classiques comme les diodes de données ou les DMZ, autrefois indispensables, ne sont plus adaptées aux exigences des environnements OT modernes.

Vu toutes les interactions et les besoins de disponibilité des environnements OT, les technologies IT actuelles comme les antivirus ou les systèmes EDR ne sont plus vraiment adaptées aux nouvelles réalités de l’OT. Elles sont trop profondément intégrées au noyau des systèmes et ralentissent le flux massif d’interactions propres aux environnements OT. D’où des problèmes de disponibilité. Pour répondre aux besoins des OT actuels, les entreprises doivent opter pour une solution qui assure à la fois une protection discrète des hôtes et une défense efficace au niveau du réseau.

Et ce n’est pas un problème qu’on peut se permettre de remettre à plus tard. Des groupes criminels et certains États exploitent déjà les technologies OT pour servir leurs intérêts politiques et financiers. D’ailleurs, le mois dernier, la CISA (Agence américaine de cybersécurité et de sécurité des infrastructures) a publié une alerte : des hacktivistes pro-russes s’attaquent activement aux dispositifs OT et aux systèmes de contrôle industriel (ICS) accessibles en ligne.

Les équipes IT et OT doivent arrêter de travailler en vase clos et se voir plutôt comme une seule et même équipe dont les compétences se complètent pour renforcer la cybersécurité sur tout le réseau.

Sans une stratégie de sécurité bien coordonnée et adaptée à l’IT et l’OT, on risque de se retrouver avec une visibilité fragmentée, des opérations redondantes et des failles de sécurité qui pourraient déboucher sur des conséquences catastrophiques.

C’est là que le Zero Trust prend tout son sens. Il offre une base solide pour repenser et construire une approche de sécurité adaptée aux environnements IT et OT.
La stratégie Zero Trust s’adresse à tout le monde : dirigeants, professionnels, propriétaires d’applications, IT, OT ou dans toute l’entreprise. Facile à mettre en place, elle est assez flexible pour s’adapter même aux déploiements à grande échelle.

Le principe du Zero Trust est simple : ne faire confiance à rien ni personne par défaut, que ce soit à l’intérieur ou à l’extérieur de l’entreprise. Cette méthode permet de restreindre l’accès aux systèmes critiques et d’empêcher les attaquants de circuler librement dans le réseau ou la chaîne d’approvisionnement.

Imaginons une usine avec 20 000 capteurs. Pourquoi garder toutes ces connexions ouvertes alors que seules quelques-unes sont vraiment utiles ? Ce genre de configuration expose l’IT et l’OT à des vulnérabilités que les attaquants adorent exploiter. Avec une stratégie Zero Trust, tout devient plus clair : les responsables de la sécurité peuvent voir quelles connexions existent, n’autoriser que celles qui sont indispensables et bloquer tout le reste pour éviter les risques d’intrusion.

Lorsque les équipes IT et OT travailleront enfin ensemble autour d’une stratégie commune, l’entreprise sera mieux armée pour gérer les risques, elle sera plus résiliente et de ce fait, mieux protégée.