Séparer OT et IT dans la production
Un site de production a en général deux réseaux qui font semblant de n’en faire qu’un. Le côté bureau est corrigé tous les mois ; le côté machine tourne sur un logiciel qui était à jour à la mise en service de la ligne et qu’on ne peut pas toucher sans le constructeur.
Les systèmes de commande machine sont souvent impossibles à patcher, parce que le constructeur ne supporte qu’une version logicielle précise et qu’y toucher annule le contrat de support. C’est un fait avec lequel il faut concevoir, pas un problème à corriger.
La réponse est la séparation : mettez le réseau machine sur son propre segment, n’autorisez que le trafic précis qui doit passer, et ne laissez jamais un système de production atteindre internet directement ni partager un segment avec les portables de bureau.
Commencez par un inventaire de ce qui est réellement raccordé. Sur la plupart des sites, nous trouvons des machines dont personne ne savait qu’elles étaient joignables depuis le réseau bureautique, et cette seule découverte justifie l’exercice.
Deux mondes aux règles opposées
| Informatique de bureau | Commande machine | |
|---|---|---|
| Correctifs | Mensuels, automatiques quand c’est possible | Uniquement avec le constructeur, souvent jamais |
| Durée de vie | Trois à cinq ans | Quinze à vingt-cinq ans |
| Priorité | Confidentialité des données | Disponibilité et sûreté du procédé |
| Arrêt | Gênant | Coûteux à la minute, parfois dangereux |
| À qui c’est | À l’informatique | À la production ou à la maintenance, rarement à l’informatique |
La dernière ligne provoque l’essentiel des frictions. Le réseau machine appartient en général aux personnes qui font tourner la ligne, et il a été raccordé au réseau bureautique un jour pour pouvoir sortir un rapport. Personne ne l’a documenté.
Commencez par découvrir ce qui est raccordé
Tous les projets OT que nous avons menés ont commencé par une surprise. Une ligne de conditionnement avec un PC de commande sous un système d’exploitation qui n’est plus supporté depuis dix ans, joignable depuis n’importe quel bureau du bâtiment. Un portable de maintenance branché en permanence sur le réseau machine et également en wifi. Une connexion de télémaintenance ouverte par un fournisseur en 2019 et jamais refermée.
Un inventaire, c’est une journée de travail, et c’est le seul point de départ honnête. Tout le reste revient à concevoir pour un réseau que l’on devine.
La segmentation, dans l’ordre qui marche
- Séparez d’abord le réseau machine. Son propre segment, son propre adressage, sa propre interface de pare-feu.
- Refuser par défaut, puis autoriser ce qui est nécessaire. En général une poignée de flux précis : un serveur de reporting, une vérification de licence, une liaison fournisseur.
- Supprimez l’accès direct à internet. Si une machine a besoin d’une mise à jour, cela passe par un chemin contrôlé, pas par un navigateur.
- Contrôlez l’accès des fournisseurs. Télémaintenance ouverte à la demande et refermée ensuite, plutôt qu’un tunnel permanent que personne ne surveille.
- Ensuite, surveillez. Une fois le trafic séparé, le trafic inattendu devient visible, ce qu’il n’est jamais sur un réseau plat.
La conception et l’exploitation relèvent de la gestion de réseau, et la politique de sécurité de la cybersécurité.
Que faire des systèmes impossibles à patcher
Des mesures compensatoires, ce qui est la façon polie de dire : tenez-les à l’écart de tout ce qui pourrait leur nuire. Si un PC de commande ne peut pas être mis à jour, alors il ne doit pas être joignable depuis le réseau bureautique, ne doit pas naviguer sur internet, ne doit pas accepter de support amovible et doit disposer d’une image restaurable en une heure.
Ce dernier point compte plus qu’on ne le croit. Quand une machine non corrigée finit par être touchée, la voie de reprise est une restauration et non un nettoyage ; et si l’image n’existe pas, la ligne s’arrête jusqu’à ce que le constructeur puisse la reconstruire. Cette conversation-là se mesure en jours.
Sauvegardez aussi le côté machine
Les systèmes de commande machine échappent souvent au régime de sauvegarde parce qu’on ne les voit pas comme de l’informatique. La configuration d’une ligne, les recettes, les données d’étalonnage : tout cela est unique, rien n’est sur un partage réseau, et le constructeur n’en détient généralement pas de copie.
Nous les traitons comme n’importe quel autre système : une copie, une copie immuable et une restauration réellement testée. Le raisonnement est dans sauvegarde immuable.
L’industrie est concernée plus souvent qu’on ne le croit
La fabrication figure dans la liste des secteurs NIS2, tout comme l’agroalimentaire et la chimie. Même quand une organisation reste sous le seuil de taille, fournir un client concerné fait entrer les obligations par le contrat.
La segmentation et un inventaire font partie des premières choses que demande un auditeur, si bien que le travail a une valeur au-delà du gain de sécurité. À quoi ressemblent ces preuves est décrit dans NIS2 en pratique.
Ce qu’on nous demande à ce sujet
Ce que demandent les responsables de production et de maintenance.
Que faire des machines impossibles à patcher ?
Concevoir autour. Gardez la machine hors du réseau bureautique et hors d’internet, désactivez les supports amovibles, contrôlez l’accès du fournisseur et conservez une image restaurable. Vous ne rendrez pas sûr un système de commande non supporté ; vous allez le rendre injoignable et récupérable.
Par où commencer la segmentation OT ?
Par un inventaire de ce qui est réellement raccordé. Sur la plupart des sites, cela produit au moins une surprise, en général un système de commande joignable depuis n’importe quel bureau ou un tunnel fournisseur jamais refermé. On conçoit après l’inventaire, pas avant.
Faut-il sauvegarder les systèmes machine ?
Oui, et ils sont fréquemment oubliés parce qu’on ne les voit pas comme de l’informatique. Configuration de ligne, recettes et données d’étalonnage sont uniques, et le constructeur n’en détient généralement pas de copie. Sans image restaurable, une panne signifie attendre une reconstruction.
NIS2 s’applique-t-il à l’industrie ?
La fabrication est sur la liste des secteurs, comme l’agroalimentaire et la chimie. Des seuils de taille s’appliquent, mais fournir un client concerné fait entrer les obligations par le contrat de toute façon. La segmentation et un inventaire sont parmi les premières choses qu’un auditeur demande.
Où cela s’inscrit dans notre travail
Où ce travail atterrit.
Envie qu’on regarde votre site ?
Une demi-heure au téléphone suffit généralement à savoir si nous sommes le bon interlocuteur, et nous le dirons si ce n’est pas le cas.
Des connaissances informatiques concrètes dans votre boîte mail
De nouveaux guides sur la gestion, la sécurité et le poste de travail, écrits par ceux qui font le travail. Sans discours commercial, et la désinscription se fait en un clic.