Les réseaux industriels désignent l'ensemble des systèmes réseau et des protocoles conçus pour relier machines, contrôleurs, capteurs et systèmes de contrôle au sein des environnements industriels. Ils transportent le trafic qui fait fonctionner les SCADA et les systèmes de contrôle industriels, et ils sont conçus pour une tâche différente de l'IT de bureau : une livraison temps réel prévisible, une disponibilité quasi continue et la résistance sur un plancher d'usine saturé de chaleur, de vibrations et de bruit électrique.
Qu'est-ce qu'un réseau industriel ?
C'est la tuyauterie des technologies opérationnelles. Là où un réseau de bureau transporte des e-mails et des fichiers et tolère un paquet perdu ou un délai d'une demi-seconde, un réseau industriel transporte des commandes de contrôle où le respect du temps fait partie de la justesse. Un contrôleur de mouvement qui attend un signal toutes les quelques millisecondes traite un paquet en retard comme un défaut. Cette seule différence, le déterminisme avant le débit brut, façonne presque tous les choix de conception dans le domaine.
Les réseaux industriels sont aussi conçus pour des conditions physiques extrêmes : larges plages de température, interférences électromagnétiques des moteurs voisins et vibrations constantes qui desserreraient des connecteurs ordinaires. Le matériel est durci, et les topologies privilégient la redondance pour qu'une seule rupture de câble n'arrête pas une ligne.
Comment fonctionne un réseau industriel ?
La plupart des usines s'appuient sur une conception en couches. Tout en bas, les protocoles de bus de terrain et d'Ethernet industriel relient les contrôleurs aux appareils qu'ils commandent. Au-dessus, une couche de supervision relie les contrôleurs aux IHM et aux historiens. Le modèle de Purdue est l'architecture de référence qui nomme ces couches et définit comment elles doivent être séparées.
Les protocoles sont la partie qui surprend les personnes venues de l'IT. Beaucoup ont des décennies et ont été conçus pour des réseaux isolés, sans authentification ni chiffrement :
- Les variantes d'Ethernet industriel telles que PROFINET et EtherNet/IP adaptent l'Ethernet standard au trafic de contrôle déterministe.
- Modbus reste omniprésent, malgré l'absence de toute sécurité native.
- Les protocoles de bus de terrain et OPC UA comblent les couches entre les appareils et les systèmes de supervision.
Pourquoi les réseaux industriels comptent-ils pour la sécurité ?
Parce que les protocoles se font confiance par défaut. Modbus, PROFINET et leurs semblables ont été conçus pour des réseaux isolés où tout ce qui circulait sur le fil était présumé ami. À mesure que les usines ont connecté l'OT à l'IT pour la supervision et l'analyse à distance, cette hypothèse a cessé de tenir, et un réseau qui fait confiance à chaque appareil est devenu un réseau où un seul ordinateur portable compromis peut commander un PLC.
C'est le problème central de la convergence OT/IT. La solution n'est pas de greffer telle quelle la sécurité IT sur l'OT, ce qui risque de casser le respect du temps dont dépend l'OT, mais de segmenter le réseau pour contenir le trafic de contrôle et pour que chaque franchissement entre zones soit inspecté et autorisé. Des normes comme le NIST SP 800-82 et l'IEC 62443 existent précisément pour guider ce travail, et des cadres de conformité comme le CMMC et NIS2 l'exigent de plus en plus.
En quoi un réseau industriel diffère-t-il d'un réseau IT ?
Un réseau IT optimise la bande passante, la flexibilité et la confidentialité ; une brève interruption est un désagrément. Un réseau industriel optimise le déterminisme et la disponibilité ; une interruption peut arrêter la production ou créer un danger pour la sûreté. Les équipements IT reçoivent leurs correctifs selon un cycle mensuel, tandis qu'un contrôleur OT peut tourner sans être touché pendant une décennie, car le mettre hors ligne revient à arrêter la ligne. Ces contraintes expliquent pourquoi on ne peut pas simplement faire tourner les outils de sécurité IT standard sur l'OT, et pourquoi la segmentation, et non les logiciels d'agent sur les postes, fait l'essentiel du travail de protection.
En quoi Access Gate aide-t-il
Access Gate segmente un réseau industriel sans en refaire le câblage ni le plan d'adressage. Il pose une surcouche à identité imposée par-dessus le réseau existant, si bien que machines, contrôleurs et cellules se retrouvent dans des zones micro-segmentées où seul le trafic autorisé et authentifié franchit les frontières, et où chaque franchissement est journalisé, le tout sans installer d'agent sur le moindre contrôleur. Voir Conformité CMMC avec les Access Gates de Trout.
