Cloisonnement IT / OT

Pourquoi cloisonner IT et OT

Les réseaux IT (bureautique, messagerie, ERP) et OT (automates, SCADA, capteurs) ont des exigences contradictoires : l'IT privilégie la confidentialité et l'intégrité, l'OT privilégie la disponibilité et le temps réel. Sans cloisonnement, une attaque sur le SI bureautique (ransomware, phishing) peut se propager jusqu'aux automates. Les incidents NotPetya (2017) et Triton (2017) illustrent ce risque dans des secteurs industriels comparables.

Modèle de référence : zones et conduits (IEC 62443)

La norme IEC 62443-3-3 définit une architecture en zones de sécurité reliées par des conduits contrôlés. Pour un service d'eau, on distingue généralement quatre zones :

• Zone IT — bureautique, messagerie, ERP, accès Internet.
• Zone DMZ — serveurs d'échange de données, serveur de télégestion, serveur historien.
• Zone OT superviseur — postes SCADA, serveurs d'acquisition.
• Zone OT terrain — automates programmables (PLC/RTU), capteurs, actionneurs.

Flux autorisés entre zones

Appliquer le principe du moindre privilège : seuls les flux strictement nécessaires sont autorisés, dans le sens le moins exposant possible.

• IT → DMZ : consultation des rapports de production, supervision en lecture seule.
• DMZ → OT superviseur : relai des données temps réel vers le serveur historien. Unidirectionnel si possible (diode réseau).
• OT superviseur ↔ OT terrain : protocoles industriels (Modbus TCP, DNP3, OPC-UA) sur VLAN dédié.
• Interdire tout flux direct IT → OT terrain. Tout accès distant passe obligatoirement par la DMZ.

Diode réseau vs pare-feu

Pour les infrastructures les plus sensibles (captage AEP, station de traitement principale), une diode réseau (data diode) garantit l'unidirectionnalité physique des flux et supprime tout risque de rebond. Elle est recommandée pour les remontées de données du terrain vers le système de supervision, lorsqu'aucun flux retour n'est nécessaire. Un pare-feu industriel reste approprié pour les cas où une communication bidirectionnelle est inévitable (mise à jour de firmware, maintenance distante encadrée).

Mise en œuvre pratique

• Inventorier tous les équipements réseau et leur zone d'appartenance avant de concevoir l'architecture.
• Utiliser des VLAN distincts pour chaque zone avec marquage 802.1Q. Ne pas utiliser le VLAN 1 natif.
• Configurer des ACL (Access Control Lists) sur les switchs de couche 3 pour appliquer les règles inter-zones.
• Documenter l'architecture réseau dans un schéma maintenu à jour. Intégrer cette documentation dans le dossier de sécurité NIS2.
• Tester le cloisonnement au moins une fois par an par un scan de vulnérabilités ou un test d'intrusion.

Références

• IEC 62443-3-3 : exigences de sécurité pour les systèmes de contrôle industriel.
• ANSSI — Guide de recommandations de sécurité pour les systèmes SCADA (ANSSI-PA-066).
• NIST SP 800-82 Rev. 3 : Guide to Operational Technology Security.