Cybersécurité OT : 10 bonnes pratiques essentielles pour sécuriser vos systèmes SCADA

Cybersécurité OT : 10 bonnes pratiques essentielles pour sécuriser vos systèmes SCADA

Les systèmes de contrôle industriel et les plateformes SCADA sont de plus en plus ciblés par des cybermenaces sophistiquées. À mesure que les environnements OT se connectent davantage à travers la convergence IT/OT et les initiatives Industrie 4.0, la surface d'attaque s'élargit considérablement. Sécuriser ces systèmes n'est plus une option, c'est un impératif stratégique qui impacte directement la continuité opérationnelle, la sûreté et la conformité réglementaire.

Chez OperaMetrix, en tant qu'Intégrateur Premier Ignition, nous concevons et déployons des architectures SCADA avec la sécurité intégrée dès la conception. Cet article présente 10 bonnes pratiques essentielles que toute organisation industrielle devrait mettre en œuvre pour protéger son infrastructure technologique opérationnelle.

1. Adopter le référentiel IEC 62443 comme fondation de sécurité

La norme IEC 62443 est la référence incontournable pour la cybersécurité des systèmes d'automatisation et de contrôle industriels (IACS). Contrairement aux référentiels centrés sur l'IT, la norme IEC 62443 répond aux exigences spécifiques des environnements OT, notamment la sûreté, la disponibilité et les contraintes de performance temps réel.

Étapes clés de mise en œuvre :

• Définir les niveaux de sécurité (SL 1 à SL 4) pour chaque zone et conduit de votre architecture
• Établir des politiques de sécurité alignées sur l'IEC 62443-2-1 pour les exigences organisationnelles
• Exiger des fournisseurs de composants qu'ils démontrent leur conformité IEC 62443-4-1 et 4-2
• Réaliser des évaluations de sécurité périodiques selon les exigences de la norme

La plateforme Ignition d'Inductive Automation supporte nativement les principes de l'IEC 62443, avec des fonctionnalités telles que le contrôle d'accès basé sur les rôles, les communications chiffrées et la journalisation complète des audits.

2. Mettre en place une segmentation réseau avec défense en profondeur

Les réseaux plats constituent la faille architecturale la plus dangereuse dans les environnements OT. Un réseau correctement segmenté contient les brèches et empêche les mouvements latéraux de la zone IT vers la zone OT.

Bonnes pratiques de segmentation :

• Déployer une zone démilitarisée (DMZ) entre les réseaux IT et OT, ne jamais autoriser de connexions directes du réseau d'entreprise vers les systèmes de contrôle
• Utiliser des pare-feu industriels et des passerelles unidirectionnelles pour appliquer les politiques de flux
• Segmenter les réseaux OT en zones fonctionnelles : Niveau 0 (capteurs/actionneurs), Niveau 1 (automates/RTU), Niveau 2 (IHM/SCADA), Niveau 3 (opérations site), selon le modèle Purdue
• Isoler les systèmes instrumentés de sécurité (SIS) sur des segments réseau dédiés

Astuce architecture Ignition : Déployez le Gateway Ignition dans la DMZ OT (Niveau 3.5) et utilisez la fonctionnalité Gateway Network avec une configuration TLS stricte pour relier les données de manière sécurisée entre les zones sans exposer les réseaux de contrôle.

# Exemple de configuration Gateway Network Ignition
# Paramètres de sécurité gateway.xml
<GatewayNetworkSettings>
  <RequireTLS>true</RequireTLS>
  <MinTLSVersion>TLSv1.2</MinTLSVersion>
  <CertificateValidation>strict</CertificateValidation>
  <AllowedIncomingConnections>gateway-prod-01,gateway-prod-02</AllowedIncomingConnections>
</GatewayNetworkSettings>

3. Appliquer le contrôle d'accès basé sur les rôles (RBAC) avec le moindre privilège

Chaque utilisateur, opérateur et ingénieur ne doit avoir accès qu'aux ressources dont il a besoin, rien de plus. Ce principe du moindre privilège est fondamental pour réduire les menaces internes et limiter le rayon d'impact des identifiants compromis.

Stratégie de mise en œuvre :

• Définir des rôles de sécurité granulaires : Opérateur, Chef de quart, Ingénieur, Administrateur, Auditeur
• Associer les rôles à des permissions spécifiques pour les tags, les écrans, les scripts et la configuration du Gateway
• Utiliser les zones de sécurité d'Ignition pour restreindre l'accès en fonction de l'origine réseau du client
• Implémenter des restrictions d'accès temporelles pour les fenêtres de maintenance

Configuration spécifique Ignition :

# Exemple de configuration des zones de sécurité Ignition
# Restreindre l'accès en écriture aux tags selon la zone et le rôle
def checkTagWritePermission(tagPath, user, securityZone):
    allowed_zones = ["salle-de-controle", "poste-ingenieur"]
    required_roles = ["Opérateur", "Ingénieur", "Administrateur"]

    if securityZone not in allowed_zones:
        return False
    if not any(role in user.getRoles() for role in required_roles):
        return False
    return True

Configurez l'intégration du fournisseur d'identité (IdP) d'Ignition pour centraliser l'authentification via votre annuaire d'entreprise (Active Directory, LDAP ou IdP basé sur SAML 2.0) tout en conservant les définitions de rôles spécifiques à l'OT.

4. Activer des pistes d'audit et une journalisation exhaustives

On ne peut pas protéger ce qu'on ne voit pas. Des pistes d'audit complètes sont essentielles pour détecter les anomalies, enquêter sur les incidents et démontrer la conformité réglementaire.

Que journaliser dans les environnements OT :

• Tous les événements d'authentification (tentatives de connexion réussies et échouées)
• Les modifications de valeurs de tags et leur auteur
• Les modifications de configuration des automates, IHM et serveurs SCADA
• Les acquittements d'alarmes et les changements d'état
• Les modifications de configuration du Gateway et des projets
• Les événements de connexion réseau et l'état du Gateway Network

Journalisation d'audit Ignition :

Ignition fournit un système de journalisation d'audit intégré qui capture les actions des utilisateurs sur l'ensemble de la plateforme. Configurez-le pour :

• Stocker les enregistrements d'audit dans une base de données dédiée et inviolable
• Définir des politiques de rétention conformes à vos exigences réglementaires (IEC 62443, NIS 2)
• Transmettre les événements vers un SIEM via syslog
• Configurer des alertes en temps réel pour les événements de sécurité critiques

# Envoyer les événements de sécurité critiques au SIEM via syslog
import system

def onSecurityEvent(event):
    if event.getEventType() in ["LoginFailure", "ConfigChange", "RoleModification"]:
        message = "SCADA_SECURITY: %s | Utilisateur: %s | Source: %s | Details: %s" % (
            event.getEventType(),
            event.getUser(),
            event.getSource(),
            event.getDetails()
        )
        system.util.getLogger("SecurityAudit").warn(message)

5. Chiffrer toutes les communications avec TLS

Toutes les données en transit entre les composants SCADA doivent être chiffrées. Cela inclut les communications Gateway-à-Gateway, les connexions client-Gateway, les connexions aux bases de données et les sessions OPC UA.

Exigences de chiffrement :

• Imposer TLS 1.2 ou supérieur sur toutes les connexions du Gateway Ignition
• Utiliser des certificats signés par une AC interne de confiance, ne jamais utiliser de certificats auto-signés en production
• Configurer les endpoints OPC UA pour utiliser la politique de sécurité Sign & Encrypt avec Basic256Sha256 ou Aes256_Sha256_RsaPss
• Activer SSL/TLS sur les connexions aux bases de données entre Ignition et votre historien

Durcissement TLS Ignition :

• Remplacer le certificat SSL par défaut immédiatement après l'installation
• Désactiver les redirections SSL uniquement si un reverse proxy gère la terminaison TLS
• Configurer le Gateway Network pour exiger l'authentification TLS mutuelle
• Renouveler les certificats annuellement et automatiser le renouvellement dans la mesure du possible

6. Établir un programme rigoureux de gestion des correctifs

Les systèmes non corrigés sont une cible facile pour les attaquants. Cependant, l'application de correctifs en environnement OT nécessite une planification minutieuse pour éviter de perturber les processus de production.

Stratégie de gestion des correctifs OT :

• Maintenir un inventaire complet de toutes les versions logicielles (Ignition, OS, Java, base de données, pilotes)
• S'abonner aux avis de sécurité et notes de version d'Inductive Automation
• Tester les correctifs dans un environnement de préprod qui reproduit la production avant le déploiement
• Planifier les fenêtres d'application des correctifs pendant les arrêts de maintenance prévus
• Documenter les procédures de retour arrière pour chaque déploiement de correctif
• Prioriser les correctifs par score CVSS, vulnérabilités critiques (CVSS 9.0+) sous 72 heures

Bonnes pratiques de mise à jour Ignition :

• Toujours sauvegarder le Gateway avant une mise à jour (sauvegarde complète via l'interface web)
• Utiliser les fonctionnalités de redondance d'Ignition pour effectuer des mises à jour progressives sans interruption
• Vérifier la compatibilité des modules avant de mettre à jour la plateforme Gateway
• Tester tous les scripts et templates personnalisés dans l'environnement de préprod après la mise à jour

7. Adopter une approche Zero Trust pour les réseaux OT

Le modèle de sécurité périmétrique traditionnel, « faire confiance à tout ce qui se trouve derrière le pare-feu », est fondamentalement obsolète. Le Zero Trust part du principe que chaque équipement, utilisateur et flux réseau peut être compromis, et vérifie en permanence.

Principes Zero Trust pour l'OT :

• Ne jamais faire confiance, toujours vérifier, authentifier et autoriser chaque connexion
• Micro-segmenter les réseaux pour qu'une compromission dans une zone ne puisse pas se propager
• Surveiller en continu tout le trafic réseau pour détecter les anomalies à l'aide d'IDS/IPS de grade industriel
• Implémenter des certificats d'identité pour les automates, RTU et passerelles edge
• Appliquer des politiques d'accès conditionnel, refuser par défaut, autoriser par exception

Mise en œuvre pratique avec Ignition :

• Utiliser les zones de sécurité d'Ignition pour appliquer des politiques d'accès basées sur la localisation
• Configurer le SSO avec authentification multi-facteurs (MFA) via l'intégration IdP
• Implémenter des délais d'expiration de session et le verrouillage automatique des écrans sur les postes opérateurs
• Déployer Ignition Edge sur les sites distants avec authentification locale de secours, synchronisée via Gateway Network

8. Sécuriser l'accès distant avec des points d'entrée contrôlés

L'accès distant est indispensable pour les opérations OT modernes, mais il représente l'un des vecteurs d'attaque les plus risqués. Chaque connexion distante doit être strictement contrôlée et surveillée.

Bonnes pratiques d'accès distant :

• Utiliser un serveur de rebond dédié ou une solution de gestion des accès privilégiés (PAM) comme unique point d'entrée
• Exiger l'authentification multi-facteurs pour toutes les sessions distantes
• Enregistrer et auditer toutes les sessions d'accès distant avec capture vidéo si possible
• Implémenter des jetons d'accès à durée limitée, aucune connexion VPN permanente
• Déployer le client web d'Ignition (Perspective) en HTTPS au lieu d'exposer RDP ou VNC

Ignition Perspective pour l'accès distant sécurisé :

Le module Perspective d'Ignition fournit une interface navigateur qui élimine le besoin de tunnels VPN dans de nombreux scénarios. Combiné avec un reverse proxy et une authentification IdP, il offre une solution d'accès distant sécurisée et auditable :

• Déployer derrière un WAF (Web Application Firewall) avec limitation de débit
• Configurer le SSO basé sur un IdP avec MFA (Azure AD, Okta, Keycloak)
• Utiliser les zones de sécurité d'Ignition pour limiter ce que les utilisateurs distants peuvent voir et contrôler
• Activer la journalisation d'audit pour chaque action effectuée lors des sessions distantes

9. Élaborer et tester un plan de réponse aux incidents

Un incident de cybersécurité dans un environnement OT peut avoir des conséquences physiques, dommages aux équipements, rejets environnementaux ou risques pour la sûreté. Votre plan de réponse aux incidents doit tenir compte de ces réalités.

Essentiels de la réponse aux incidents OT :

• Définir clairement les rôles et responsabilités : qui prend la décision d'isoler un système compromis ?
• Établir des protocoles de communication entre la sécurité IT, l'ingénierie OT et la direction de l'usine
• Créer des runbooks pour les scénarios courants : ransomware, accès non autorisé, identifiants compromis, équipements non autorisés
• Maintenir des sauvegardes hors ligne de toutes les configurations du Gateway Ignition, des projets et des données d'historique
• Tester le plan par des exercices de simulation au moins deux fois par an

Préparation à la reprise après sinistre Ignition :

• Planifier des sauvegardes automatiques du Gateway (incluant projets, tags et configuration)
• Stocker les sauvegardes hors ligne et hors site, pas sur le même réseau que la production
• Documenter la procédure complète de restauration du Gateway et la tester régulièrement
• Maintenir un Gateway de secours à froid avec la même version et les mêmes modules, prêt pour un déploiement rapide

10. Cultiver une culture de sensibilisation à la sécurité dans les équipes OT et IT

La technologie seule ne peut pas sécuriser vos systèmes SCADA. Le facteur humain reste le vecteur d'attaque le plus courant, le phishing, l'ingénierie sociale et les mauvaises pratiques d'hygiène numérique sont à l'origine de la majorité des compromissions initiales.

Construire la sensibilisation à la sécurité OT :

• Former les opérateurs et les ingénieurs à reconnaître les tentatives de phishing et d'ingénierie sociale
• Organiser des sessions régulières de sensibilisation adaptées aux menaces spécifiques de l'OT (malwares via USB, équipements non autorisés, mises à jour firmware non autorisées)
• Établir des politiques claires pour les supports amovibles, les équipements personnels et l'installation de logiciels sur les systèmes OT
• Récompenser les comportements soucieux de la sécurité et créer une culture de signalement sans blame pour les quasi-incidents
• Inclure les responsabilités en matière de cybersécurité dans chaque fiche de poste OT

Collaboration transversale :

• Former un comité de sécurité IT/OT conjoint qui se réunit mensuellement
• Aligner les outils de sécurité IT et les exigences de sécurité OT, éviter de déployer des protections endpoint IT qui pourraient perturber le contrôle temps réel
• Partager les renseignements sur les menaces entre le SOC IT et les équipes d'exploitation OT
• Mener des exercices conjoints de tests d'intrusion IT/OT annuellement

Conclusion : la sécurité est un processus continu

Sécuriser les systèmes SCADA n'est pas un projet ponctuel, c'est un processus continu d'évaluation, de durcissement, de surveillance et d'amélioration. Les 10 pratiques présentées ci-dessus fournissent une base solide, mais elles doivent être adaptées à votre contexte opérationnel spécifique, votre profil de risque et votre environnement réglementaire.

Chez OperaMetrix, nous intégrons les considérations de cybersécurité à chaque phase de nos projets SCADA, de la conception architecturale initiale jusqu'à la mise en service, la formation et le support continu. En tant qu'Intégrateur Premier Ignition, nous exploitons les fonctionnalités de sécurité avancées d'Ignition pour construire des systèmes à la fois performants et résilients.

Prêt à renforcer votre posture de cybersécurité OT ? Contactez notre équipe pour un audit de sécurité de votre infrastructure industrielle, ou découvrez nos services d'intégration pour voir comment nous concevons des architectures SCADA sécurisées par défaut.