Pourquoi la Convergence IT/OT Échoue Sans Gouvernance

Introduction

Les normes CISA, NIST et ISA/IEC 62443 ont longtemps souligné la nécessité croissante d'une intégration plus étroite entre les domaines IT (Technologie de l'Information) et OT (Technologie Opérationnelle). Cette convergence est essentielle pour moderniser les infrastructures industrielles et critiques, améliorer l'efficacité opérationnelle et, surtout, renforcer la posture de sécurité des organisations. Pourtant, pour de nombreux RSSI, directeurs informatiques, ingénieurs réseau et opérateurs, la promesse de la convergence IT/OT peut se transformer en désillusion et en risque si les éléments fondamentaux de gouvernance sont négligés.

Contexte Historique : La Genèse des Silos IT/OT

Pour comprendre les défis de la convergence, il est important de réfléchir aux histoires séparées de l'IT et de l'OT.

• Systèmes IT : Traditionnellement, les environnements informatiques étaient conçus pour la confidentialité et l'intégrité, mettant l'accent sur la sécurité des données, le contrôle d'accès et l'interconnexion sur de grands réseaux distribués basés sur le modèle OSI. L'adoption rapide de TCP/IP, Ethernet, puis des modèles centrés sur l'identité, a accompagné la diffusion de la planification des ressources d'entreprise (ERP) et des systèmes commerciaux.

• Systèmes OT : Inversement, les environnements OT (PLC, DCS, SCADA) ont commencé avec des protocoles isolés, déterministes et parfois propriétaires (Modbus, Profibus, DNP3). Jusqu'à récemment, ces systèmes étaient déconnectés pour des raisons de fiabilité et de sécurité physique, avec des protocoles de communication et des topologies réseau physiques conçus pour le contrôle des processus en temps réel, et non pour la résilience face aux menaces provenant d'Internet.

Le résultat est deux écosystèmes fondamentalement différents : l'IT mettant l'accent sur les données et les utilisateurs, l'OT sur le processus et le temps de fonctionnement.

Les Facteurs de Convergence IT/OT—et Ses Modes d'Échec

La logique de la convergence est claire : transformation numérique, demandes croissantes d'efficacité, maintenance prédictive via l'analyse de données, et la nécessité de protéger simultanément les actifs IT et OT des menaces cybernétiques évolutives. Cependant, le manque de gouvernance transforme la convergence d'un multiplicateur de force en une responsabilité.

Modes d'Échec Courants

1. Propriété et Processus Ambigus : Sans gouvernance claire, qui est propriétaire de la politique de cybersécurité dans les réseaux convergés ? Qui est responsable de la mise à jour d'une HMI basée sur Windows contrôlant un processus critique ?

2. Conflit de Priorités : Les équipes IT peuvent prioriser les mises à jour rapides et les améliorations d'authentification. Les opérations OT peuvent refuser les temps d'arrêt à tout prix, privilégiant la sécurité et le fonctionnement continu. Sans gouvernance, les affrontements se produisent, et chaque partie devient prudente ou même combative.

3. Visibilité et Contrôle Incohérents : L'IT manque souvent de visibilité sur les dispositifs OT anciens et leur trafic réseau. Les équipes OT peuvent posséder une connaissance approfondie des actifs mais peu de compréhension des risques cybernétiques. Des mécanismes de gouvernance sont indispensables pour établir une visibilité et des contrôles partagés.

4. Architectures Réseau Vulnérables : Une convergence non structurée conduit à des réseaux plats, des zones mal segmentées, et des chemins non documentés entre l'IT et l'OT. Le résultat : propagation de ransomware, mouvements latéraux, et échecs de conformité.

Réseaux, Frontières, et l'Architecture de la Convergence

Architectures Anciennes

Historiquement, l'Architecture de Référence Entreprise Purdue (PERA) a fourni le modèle de facto pour les réseaux industriels : Niveau 4 (IT), Niveaux 3–1 (OT), et Niveau 0 (processus/appareils de terrain) avec des DMZs comme frontières. Cependant, la montée de l'IIoT (Internet des objets industriel) et des plateformes cloud a compliqué ce modèle, introduisant de nouvelles interfaces et points de terminaison qui doivent être gouvernés.

Approches Modernes de Segmentation

• Zone et Conduit (62443): La norme ISA/IEC 62443 a formalisé la granularité nécessaire pour la segmentation basée sur les risques—divisant les actifs en zones (en fonction de la criticité et de la fonction) et contrôlant le trafic interzones via des conduits (pare-feux, proxies, diodes de données).

• Zero Trust pour OT : Les architectures modernes empruntent aux principes Zero Trust : vérification continue (micro-segmentation, atteinte profonde), accès au privilège le plus bas, et surveillance constante—pas seulement la défense périmétrique.

Crucialement, les contrôles techniques n'ont aucun sens sans gouvernance : inventaire des actifs, gestion des changements, revue d'accès, et responsabilités de réponse aux incidents doivent être bien définis et appliqués.

Sécurité, Connectivité, et l'Écart de Gouvernance

Rôle de la Gouvernance Collaborative

La réussite de la convergence repose sur l'établissement d'une gouvernance partagée couvrant à la fois les domaines IT et OT. Les éléments clés incluent :

• Cadres de Politique Conjointe : Politiques unifiées qui prennent en compte le temps de fonctionnement, la sécurité, et la cybersécurité—reconnus comme critères équivalents, informés par des équipes interdisciplinaires et maintenus via une supervision régulière au niveau du conseil.

• Gestion des Actifs et des Risques : Inventaires centralisés et régulièrement mis à jour ainsi que des registres de risques. Les actifs OT doivent être suivis avec la même rigueur que les endpoints IT, et la tolérance au risque doit être définie au niveau de l'organisation—pas du département.

• Gestion des Changements et des Incidents : Processus prédéfinis et testés pour les changements réseau, y compris les plans de réponse aux urgences qui ne compromettent pas la sécurité. Exercices DR/BC (Reprise après sinistre/Continuité d'activité) communs qui incluent à la fois des scénarios IT et OT.

• Identité et Accès : Contrôle d'accès basé sur les rôles qui s'aligne avec les besoins opérationnels et les impératifs de sécurité. Les informations d'identification pour les systèmes OT critiques ne doivent pas être une négligence de sécurité ou contournées pour des raisons de commodité. L'AMF et l'audit doivent être adaptés aux réalités OT.

Étude de Cas : Là où la Gouvernance Réussit

Considérez une entreprise mondiale d'énergie avec une structure de gouvernance IT/OT mature. Les conseils de gouvernance incluent à la fois les dirigeants DSI/CTO et les responsables des opérations ; les changements de réseau (par exemple, l'ajout de surveillance à distance pour les turbines) nécessitent une justification commerciale documentée et une revue inter-équipes. La politique est exécutoire—l'accès à distance aux réseaux OT est limité par des contrôles techniques (hôtes de saut, VPN avec vérification de posture), mais aussi par la politique, avec des lignes de signalement en cas de déviation. Les protocoles de réponse aux incidents partagés garantissent que les actifs IT et OT sont inclus dans les recherches de menaces et les revues post-incidents.

Contrastons cela avec des organisations qui ajoutent des passerelles IIoT ou permettent un accès temporaire à des fournisseurs à distance sans évaluation des risques, documentation ou approbation. Le premier construit la résilience et la confiance ; le second risque des incidents de sécurité et des sanctions réglementaires.

Conclusion

Alors que la technologie progresse rapidement, le comportement organisationnel met plus de temps à s'adapter. La convergence IT/OT n'est pas un changement technique, mais une transformation de la responsabilité, de la responsabilisation et de la visibilité. Les décisions d'architecture réseau, la connectivité sécurisée à distance, et la segmentation découle de la gouvernance—sans elle, la convergence est fragile et dangereuse. En tant que leaders des infrastructures industrielles et critiques, il est impératif de prioriser la gouvernance en tant que pierre angulaire de tout projet IT/OT.

Recommandations et Prochaines Étapes

• Établir un conseil de gouvernance de la sécurité IT/OT conjointe, avec le parrainage C-level.

• Adopter des normes (ISA/IEC 62443, NIST SP 800-82) et les cartographier sur des processus de gouvernance spécifiques.

• Mandater la découverte continue des actifs et l'évaluation des risques dans tous les domaines IT et OT.

• Définir des processus de gestion des accès, des changements et des incidents avec des lignes d'autorité claires.

• Investir dans des exercices de simulation en atelier simulant des scénarios d'incidents IT/OT, en examinant à la fois les contrôles techniques et les procédures de gouvernance.

Avec une gouvernance robuste comme colonne vertébrale, la convergence IT/OT peut réaliser ses promesses d'efficience—sans introduire de risques ingérables.