DMZ Industrielle Architectures de référence.
Des réseaux plats à la segmentation par proxy — des architectures qui protègent l'OT legacy sans remplacer les équipements.
Les réseaux industriels ont été conçus pour la fiabilité, pas la sécurité
Les premiers réseaux d'automatisation étaient des écosystèmes fermés et spécialisés. Quand Ethernet et TCP/IP sont arrivés dans les usines, ils ont été superposés à des environnements qui conservaient leurs hypothèses d'origine — stabilité et disponibilité avant tout.
La DMZ traditionnelle est devenue une zone de services partagés
Conçue à l'origine pour un problème précis, la DMZ de niveau 3.5 a accumulé des responsabilités pour lesquelles elle n'a jamais été prévue — historiens, serveurs de correctifs, outils d'accès distant — formant progressivement un autre environnement de confiance avec sa propre complexité.
La sécurité reposait sur la discipline de configuration
Avec l'expansion de la connectivité industrielle, la DMZ centralisée est devenue un point de convergence pour des flux de travail sans rapport. La clarté architecturale a cédé la place à la commodité opérationnelle. La sécurité est devenue une question d'hygiène de configuration.
Les audits terrain confirment l'écart
La majorité des incidents OT critiques proviennent de chemins d'ingénierie autorisés plutôt que d'intrusions réseau non autorisées.
Le risque de sécurité industrielle est défini par les interactions, pas par l'emplacement des actifs.
Un automate partageant des données de télémétrie présente un risque fondamentalement différent de ce même automate acceptant des modifications de configuration — même si les deux se produisent sur le même segment réseau.
Le contexte opérationnel compte
Comprendre l'intention est plus important que cartographier la topologie. La sécurité doit évaluer ce que fait une connexion, pas seulement où elle va.
La segmentation seule est insuffisante
Les frontières réseau réduisent l'exposition mais ne peuvent distinguer la connectivité acceptable de la connectivité dangereuse. Une sécurité efficace nécessite la médiation — des échanges explicites, contraints et alignés sur l'intention.
L'infrastructure évolue vers un mouvement contrôlé
Les réseaux de transport s'appuient sur la signalisation et les points de contrôle pour réguler le comportement sans redessiner les routes. La cybersécurité industrielle suit le même principe : superviser les interactions, ne pas tenter de séparer les systèmes entièrement.
Une couche de médiation distribuée.
La sécurité introduite au moment de l'interaction.
La DMZ industrielle doit évoluer en une couche de contrôle distribuée qui médie les interactions entre systèmes tout en laissant ces systèmes fondamentalement inchangés. La sécurité est introduite par des points d'application soigneusement positionnés qui respectent le caractère opérationnel de l'infrastructure industrielle.
Quatre architectures pour sécuriser l'OT sans redesign.
Médiation inline
- Dispositif inséré directement entre les systèmes communicants
- Observe et gouverne les échanges sans exiger de modifications
- Le risque de déploiement reste faible — la topologie reste intacte
- Les équipes opérationnelles conservent la maîtrise de leur environnement
- Dispositif inséré directement entre les systèmes communicants
- Observe et gouverne les échanges sans exiger de modifications
- Le risque de déploiement reste faible — la topologie reste intacte
- Les équipes opérationnelles conservent la maîtrise de leur environnement
Médiation inline
Téléchargez le guide complet sur les architectures DMZ.
Obtenez le guide complet : les limites de la DMZ traditionnelle, quatre architectures de segmentation par proxy, et comment appliquer les principes Zero Trust sans modifier les réseaux industriels.
Ce que vous apprendrez
Comment les réseaux industriels en sont arrivés à leur état actuel. Pourquoi le concept de DMZ centralisée échoue à grande échelle. Quatre architectures — médiation inline, segmentation fonctionnelle, connectivité overlay et observabilité opérationnelle — qui introduisent le contrôle sans perturbation opérationnelle.
Appliquez-le avec Access Gate
Access Gate implémente les quatre architectures en une seule appliance inline — pas de redesign réseau, pas d'installation d'agents, aucune modification des actifs OT existants.
Questions fréquentes sur l'architecture DMZ industrielle.
architectures pour sécuriser les environnements OT. Chacune répond à un défi architectural distinct : déploiement, segmentation, overlay et observabilité.
La médiation inline place un dispositif d'application directement entre deux systèmes communicants sans exiger la reconfiguration d'aucun des deux. Dans les environnements OT où les temps d'arrêt sont inacceptables et les cycles de vie des équipements s'étendent sur des décennies, cela compte car la sécurité peut être introduite dans les chemins de signal existants — exactement comme les usines industrielles ajoutent déjà l'instrumentation et les verrouillages de sécurité — sans perturber le processus.
La segmentation par VLAN divise les espaces d'adressage. La segmentation fonctionnelle définit la politique en fonction de l'intention opérationnelle. Une session de maintenance, un flux de télémétrie et une mise à jour de configuration peuvent traverser le même câble physique, mais ils portent un risque fondamentalement différent. La segmentation fonctionnelle permet à la politique de décrire quelles actions opérationnelles sont autorisées dans quelles circonstances — pas seulement quel sous-réseau peut communiquer avec un autre.
Un overlay ajoute une couche logique supplémentaire qui gouverne les relations de confiance sans modifier l'infrastructure physique. La commutation, le routage, l'adressage IP et les VLAN restent totalement inchangés. Access Gate établit des chemins de communication authentifiés et chiffrés en overlay — laissant le réseau existant exactement tel quel tout en ajoutant l'identité et l'application de politique au-dessus.
Oui. Les quatre architectures décrites dans ce livre blanc soutiennent la conformité par la médiation plutôt que la migration. L'application inline fournit le contrôle d'accès et la piste d'audit requis par NIS2 et CMMC. La segmentation fonctionnelle prend en charge les modèles de zones et conduits IEC 62443. Le tout sans nécessiter de redesign d'infrastructure ou de remplacement d'équipements.
Correct. L'architecture de médiation inline ne nécessite aucune modification des terminaux — les PLC, HMI, RTU et systèmes SCADA legacy qui ne peuvent pas exécuter de logiciel de sécurité moderne sont protégés par la couche proxy. L'actif OT communique exactement comme il l'a toujours fait ; l'application se fait au niveau de l'Access Gate, pas sur le dispositif lui-même.
