Comment securiser votre chaine de production industrielle contre les cyberattaques en 7 etapes

En mai 2026, une cyberattaque a paralyse l’usine Suzuki Motorcycle India pendant une semaine, causant la perte de 20 000 vehicules. Quelques mois plus tot, Jaguar Land Rover subissait cinq semaines d’arret pour un cout estime a 1,9 milliard de livres. Ces incidents ne sont pas des anomalies : ils sont la norme dans un secteur ou 56% des attaques ransomware mondiales ciblent le secteur manufacturier.

La bonne nouvelle ? Securiser une chaine de production industrielle ne necessite ni des millions d’euros ni des annees de mise en oeuvre. Ce guide vous presente 7 etapes actionnables, classees par priorite et par impact, que toute PME industrielle peut implementer progressivement. Chaque etape est illustree par des exemples concrets des secteurs automobile, pharmaceutique et manufacturier.

— Etape 1 : Inventorier tous vos actifs OT/ICS

Vous ne pouvez pas proteger ce que vous ne connaissez pas. Pourtant, 67% des industriels ne disposent pas d’un inventaire complet de leurs equipements OT. C’est la premiere faille que les attaquants exploitent : un automate oublie, un capteur IoT connecte en direct sur Internet, une station d’ingenierie sous Windows XP dont tout le monde a oublie l’existence.

Ce que vous devez faire : Cartographiez chaque equipement connecte a votre reseau de production. Pour chaque actif, documentez : le modele, la version firmware, les ports reseau ouverts, les protocoles utilises (Modbus, OPC-UA, EtherNet/IP, BACnet), le proprietaire fonctionnel et la date du dernier patch. Utilisez des outils de decouverte passive comme Claroty Edge ou Nozomi Guardian — jamais de scan actif sur un reseau OT, car un simple scan Nmap peut faire tomber un automate ancien.

Exemple concret : un equipementier automobile francais du bassin lyonnais a decouvert, lors de son premier inventaire OT, 47 equipements inconnus du service IT, dont 12 avec des interfaces web accessibles depuis le reseau bureautique et 3 avec des mots de passe par defaut du fabricant. Parmi eux, un automate Siemens S7-300 pilotant une presse hydraulique de 200 tonnes, accessible via une connexion Telnet non chiffree.

— Etape 2 : Segmenter les reseaux IT et OT (modele Purdue)

La segmentation reseau est la mesure la plus efficace pour empecher un attaquant qui a compromis votre reseau bureautique d’atteindre vos automates de production. Le modele de reference est le modele Purdue (ISA-95/IEC 62443), qui organise le reseau industriel en niveaux hierarchiques avec des zones de confiance et des points de controle entre chaque niveau.

Architecture cible : Niveau 0-1 (automates, capteurs) isole physiquement. Niveau 2 (SCADA, HMI) accessible uniquement depuis la DMZ industrielle. Niveau 3 (serveurs de production, historique) en zone tampon. La DMZ industrielle entre le niveau 3 et le reseau IT ne laisse passer que les flux strictement necessaires : donnees de production vers l’ERP (lecture seule), mises a jour validees depuis un serveur de patch interne.

Exemple concret : un fabricant pharmaceutique de la region nantaise a implemente la segmentation Purdue en 4 mois. Avant la segmentation, un test d’intrusion a demontre qu’un attaquant pouvait pivoter d’un poste bureautique a un automate de dosage en 3 clics et 12 minutes. Apres la segmentation, ce meme chemin d’attaque est devenu impossible sans compromettre au prealable le serveur jump de la DMZ — un equipement durci, surveille 24/7 et dont l’acces requiert une authentification MFA physique.

— Etape 3 : Durcir les acces et l’authentification

Les identifiants compromis sont le vecteur initial numero un des attaques sur les systemes industriels. Et le probleme est souvent embarrassant : mots de passe par defaut sur les automates (« admin/admin », « system/system »), comptes de service partages entre 15 techniciens, acces RDP sur les stations d’ingenierie sans MFA. Pour approfondir la protection des comptes, consultez notre guide de gestion des mots de passe en entreprise.

Les actions a mener :

• Changez tous les mots de passe par defaut sur chaque automate, switch industriel, HMI et station d’ingenierie. Documentez chaque changement dans un coffre-fort numerique (pas un fichier Excel partage).
• Implementez le MFA sur tous les acces d’administration OT : serveur jump, stations d’ingenierie, consoles SCADA. Privilegiez les tokens physiques (YubiKey) plutot que le SMS, vulnerable au SIM swapping.
• Supprimez les comptes partages : chaque technicien doit avoir un compte nominatif avec des droits traces. En cas d’incident, vous devez pouvoir identifier qui a fait quoi et quand.
• Mettez en place le principle du moindre privilege : un operateur de chaine n’a pas besoin d’acces administrateur a l’automate. Un ingenieur de maintenance n’a pas besoin d’acces permanent — donnez-lui un acces temporaire, valide par un responsable.

Exemple concret : un sous-traitant automobile de la vallee de l’Arve (Haute-Savoie), specialise dans le decolletage, utilisait un seul compte « operateur » partage entre 23 techniciens sur 8 machines-outils a commande numerique. Apres la mise en place de comptes nominatifs et de la tracabilite, l’entreprise a decouvert que 4 de ces machines avaient leurs ports de maintenance ouverts sur Internet depuis plus de 2 ans — sans que personne ne s’en soit rendu compte.

— Etape 4 : Deployer une surveillance reseau OT (NDR)

Un antivirus ou un EDR classique est inutile sur un reseau OT. Ces outils ne comprennent pas les protocoles industriels (Modbus, OPC-UA, EtherNet/IP, Profinet) et ne peuvent pas distinguer une commande legitime d’un ordre malveillant envoye a un automate. Vous avez besoin d’un NDR (Network Detection and Response) specifique aux environnements industriels.

Ce qu’un NDR OT vous apporte : une visibilite complete sur le trafic de votre reseau industriel, la detection des comportements anormaux (un automate qui communique avec une adresse IP inconnue, un changement de firmware non planifie, un protocole inhabituel sur un segment de production), et des alertes en temps reel correlees avec le contexte operationnel de votre usine.

Les solutions de reference : Claroty (ideal pour les environnements multi-sites), Dragos (specialise dans les menaces avancees ICS), Nozomi Networks (bon rapport qualite-prix pour les PME). Le deploiement est non intrusif : le NDR analyse une copie du trafic reseau via un port miroir sur vos switches industriels, sans impacter la production.

Exemple concret : un fabricant de pieces aeronautiques pres de Toulouse a deploye un NDR Dragos sur son reseau OT en mars 2026. En 72 heures, le systeme a identifie un automate Allen-Bradley qui envoyait des requetes DNS vers un serveur externe inconnu toutes les 4 heures. Investigation : le firmware de l’automate avait ete modifie lors d’une intervention de maintenance 6 mois plus tot, et contenait un beacon de commande et controle dormant. Sans le NDR, ce compromis serait reste invisible pendant des mois.

— Etape 5 : Sauvegarder les configurations OT hors ligne

C’est l’etape qui fait la difference entre 24 heures de reprise et une semaine d’arret total comme Suzuki. Les sauvegardes OT sont fondamentalement differentes des sauvegardes IT : il ne s’agit pas seulement de fichiers et de bases de donnees, mais de programmes automates, de configurations SCADA, de parametres de calibration, de recettes de fabrication et de logiques de controle qui ont ete affines pendant des annees.

Ce que vous devez sauvegarder :

• Programmes PLC : les logiques ladder, les programmes en texte structure (ST), les parametres de chaque automate. Un PLC reinitialise sans son programme est un bout de metal inutile.
• Configurations SCADA/HMI : les ecrans de supervision, les alarmes, les seuils, les historiques de configuration.
• Parametres de calibration : les valeurs de reglage specifiques a chaque machine, qui representent des mois d’optimisation par les operateurs.
• Images systemes des stations d’ingenierie : permettent de reconstruire un poste de programmation automate en heures au lieu de jours.

Regle d’or : les sauvegardes OT doivent etre stockees hors ligne, sur des supports physiques deconnectes du reseau (disques durs externes, bandes LTO), dans un lieu securise. Testez la restauration chaque trimestre. Une sauvegarde jamais testee n’est pas une sauvegarde, c’est un espoir.

Exemple concret : un fabricant de composants electroniques pres de Grenoble a teste la restauration complete de sa ligne de production principale en avril 2026. Resultat : 14 heures pour tout restaurer, contre une estimation initiale de 4 heures. Les ecarts venaient de mises a jour firmware non documentees sur 3 automates et d’une version de SCADA incompatible avec la sauvegarde. Sans ce test, en situation de crise reelle, l’arret aurait dure 5 jours au lieu de 14 heures.

— Etape 6 : Creer un plan de reponse incident specifique OT

Un plan de reponse incident IT ne couvre pas les specificites d’un environnement de production. En IT, on peut isoler un serveur compromis et le reconstruire en quelques heures. En OT, isoler un automate peut provoquer un arret non controle de la production, une surpression dans une cuve, ou un mouvement non maitrise d’un robot industriel. Le plan de reponse incident OT doit prendre en compte les risques de surete physique en plus des risques informatiques.

Les elements indispensables de votre PRI OT :

• Procedures d’arret d’urgence : comment arreter chaque ligne de production de maniere sure en cas de compromission des automates. Quels processus peuvent etre arretes immediatement, lesquels necessitent une sequence de mise en securite.
• Matrice de decision IT/OT : qui decide d’isoler un segment reseau OT ? Le RSSI seul ne peut pas prendre cette decision — il faut l’accord du directeur de production, car un arret non planifie peut avoir des consequences physiques.
• Contacts d’urgence OT : les numeros des integrateurs systeme, des fabricants d’automates (Siemens, Schneider, Rockwell), des prestataires DFIR specialises OT. Ces contacts doivent etre accessibles sur papier, car vos systemes IT seront probablement hors service.
• Exercices de crise trimestriels : simulez un ransomware qui chiffre vos serveurs SCADA. Combien de temps pour passer en mode manuel ? Vos operateurs savent-ils encore piloter les machines sans ecran de supervision ?

Exemple concret : une usine de conditionnement pharmaceutique en Alsace a decouvert, lors d’un exercice de crise, que ses operateurs ne savaient plus piloter les lignes de remplissage en mode manuel — une competence perdue depuis la mise en place de la supervision automatisee 8 ans plus tot. L’entreprise a mis en place des sessions de formation trimestrielles au pilotage manuel, reduisant son RTO (Recovery Time Objective) de 5 jours a 8 heures. Pour les methodologies de reponse incident, consultez notre guide complet de plan de reponse incident.

— Etape 7 : Former les equipes et auditer regulierement

La technologie ne suffit pas. Les operateurs, techniciens de maintenance et ingenieurs de production sont la premiere et la derniere ligne de defense de votre usine. Un operateur qui sait reconnaitre un comportement anormal sur son HMI detectera une intrusion avant n’importe quel outil de securite.

Formation continue : organisez des sessions de sensibilisation cybersecurite specifiques au contexte industriel. Pas de PowerPoint generique sur le phishing : des scenarios concrets lies a votre environnement de production. « Que faites-vous si votre ecran HMI affiche des valeurs aberrantes ? » « Que faites-vous si une cle USB inconnue est branchee sur la station d’ingenierie ? » « Que faites-vous si un technicien externe demande un acces VPN temporaire a votre reseau OT ? » Decouvrez notre methodologie dans le guide de formation cybersecurite des employes.

Audits reguliers : faites auditer votre securite OT par un prestataire externe au moins une fois par an. Un pentest OT est fondamentalement different d’un pentest IT : il necessite des competences specifiques en protocoles industriels et une approche non destructive pour eviter tout impact sur la production. L’audit doit couvrir la segmentation reseau, les acces, la gestion des vulnerabilites, les sauvegardes et le plan de reponse incident.

Conformite NIS2 et IEC 62443 : la directive NIS2 couvre explicitement le secteur manufacturier. Les entreprises de plus de 50 salaries ou 10 millions d’euros de CA dans les secteurs couverts doivent se mettre en conformite. L’IEC 62443, bien que non legalement obligatoire, est le standard de reference pour la securite des systemes industriels et sera de plus en plus exige par les grands donneurs d’ordre et les assureurs cyber. Pour en savoir plus sur les obligations, consultez notre guide NIS2 pour les PME francaises.

Exemple concret : un fabricant de materiaux composites pour l’aeronautique (region toulousaine) a forme ses 12 techniciens de maintenance a la detection de compromission OT. Trois mois plus tard, un technicien a repere une anomalie dans les logs d’un automate Schneider M340 : un programme avait ete modifie pendant le week-end, hors de toute fenetre de maintenance planifiee. L’investigation a revele qu’un prestataire externe avait utilise des identifiants voles pour acceder au reseau OT via le VPN — l’attaque a ete stoppee avant tout impact sur la production.

— Questions frequentes