Le Zero Trust IT repose sur l'installation d'agents sur les terminaux. L'agent vérifie l'état du poste, applique les politiques et remonte la télémétrie. Ce modèle ne fonctionne pas en OT. Les PLCs exécutent des firmwares propriétaires. Les CNCs tournent sur des systèmes d'exploitation embarqués datant de 2005. Les HMIs fonctionnent sous Windows XP Embedded sans aucune voie de mise à jour. Impossible d'installer un agent sur ces équipements. Une approche différente s'impose.
Pourquoi les agents ne fonctionnent pas en OT
Systèmes d'exploitation propriétaires
La plupart des PLCs et des automates industriels exécutent des systèmes d'exploitation temps réel propriétaires. Allen-Bradley utilise ControlLogix OS. Siemens utilise le runtime Step 7. Les contrôleurs CNC Fanuc embarquent leur propre firmware. Aucun de ces systèmes ne prend en charge l'installation de logiciels tiers.
Contraintes temps réel
Les automates industriels fonctionnent sur des cycles déterministes mesurés en millisecondes. Un PLC qui scrute ses entrées/sorties toutes les 10 ms ne peut pas tolérer la charge CPU ou la gigue temporelle qu'introduit un agent de sécurité. Le moindre retard peut provoquer un défaut de sécurité ou un arrêt de production.
Absence de voie de mise à jour
De nombreux équipements OT tournent avec le même firmware depuis 10 ou 20 ans. Le fabricant peut ne plus exister. Même lorsque des mises à jour sont disponibles, leur application exige un arrêt de production et une requalification. Le coût du correctif dépasse souvent la valeur de l'équipement.
Certification et garantie
Les équipements industriels sont souvent certifiés pour des configurations précises. L'installation d'un logiciel non autorisé annule la garantie et peut invalider les certifications de sécurité. Dans les secteurs réglementés, c'est rédhibitoire.
L'alternative au niveau réseau
Plutôt que de sécuriser l'équipement, sécurisez le chemin qui y mène. Un proxy à connaissance d'identité s'intercale entre l'utilisateur et l'actif OT. Chaque connexion transite par ce proxy, qui :
- Authentifie l'utilisateur via MFA avant l'établissement de la session
- Autorise la session en fonction du rôle, de l'actif, du protocole et de la plage horaire
- Journalise la session avec l'identité de l'utilisateur, l'horodatage et la charge utile
- Chiffre la connexion entre l'utilisateur et le proxy
- Isole l'actif dans un microsegment avec des règles de refus par défaut
L'équipement OT continue de fonctionner exactement comme avant. Il reçoit le même protocole, les mêmes schémas de trafic, le même cadencement. L'application des politiques se fait au niveau du proxy, pas sur l'équipement.
Ce que vous obtenez sans agents
| Capacité | Basé sur agent | Niveau réseau |
|---|---|---|
| Vérification d'identité | Oui | Oui (au proxy) |
| Application du MFA | Oui | Oui (au proxy) |
| Journalisation des sessions | Oui | Oui (au proxy) |
| Inspection des protocoles | Limitée | Oui (inspection approfondie) |
| Vérification de l'état du poste | Oui | Non |
| Fonctionne sur OT legacy | Non | Oui |
| Impact sur la production | Risque de perturbation | Aucun |
La seule capacité perdue est l'attestation de l'état de l'équipement. Il est impossible de vérifier l'état interne d'un PLC depuis le réseau. En revanche, vous pouvez vérifier et contrôler chaque connexion vers et depuis cet équipement — ce que CMMC, NIS2 et IEC 62443 exigent réellement.
L'architecture en superposition
Access Gate se déploie en tant qu'appliance physique ou VM adjacente à votre réseau existant. Il crée un réseau superposé utilisant la plage d'adresses 100.64.0.0/16. Chaque actif OT reçoit un point de terminaison proxy. La couche superposée gère l'identité, le contrôle d'accès, la journalisation et le chiffrement. La couche sous-jacente (vos commutateurs, VLANs et câblage existants) reste intacte.
On parle parfois d'« architecture sucette » : chaque actif dispose d'un chemin unique et contrôlé (le bâton) vers son proxy (la tête). Aucun mouvement latéral entre actifs. Aucune connexion non authentifiée. Aucune session non journalisée.
Pour davantage de ressources Zero Trust OT, des guides d'architecture et des comparatifs, consultez le hub Zero Trust pour les réseaux OT.
