Sécurisation d'un site de traitement

Contexte et enjeux

Les sites de traitement d'eau potable et d'épuration constituent des infrastructures critiques au sens de la directive NIS2 et des arrêtés sectoriels. Une compromission de ces systèmes peut entraîner une interruption de service, une contamination ou une atteinte à la sûreté publique. La sécurisation repose sur deux piliers complémentaires : la protection physique des accès et la protection logique des systèmes de contrôle (SCADA, automates).

Sécurité physique

Les mesures physiques constituent la première ligne de défense contre toute intrusion non autorisée.

• Clôturer l'ensemble du périmètre avec une hauteur minimale de 2 m et des détecteurs de franchissement.
• Mettre en place un contrôle d'accès à deux facteurs (badge + code ou badge + biométrie) pour l'entrée dans les locaux techniques.
• Installer un système de vidéosurveillance couvrant les entrées, la salle de contrôle et les armoires automates. Conserver les enregistrements 30 jours minimum.
• Séparer physiquement les locaux IT (serveurs de gestion) des locaux OT (automates, baies SCADA).
• Consigner les interventions sur site dans un registre (papier ou numérique) : nom de l'intervenant, heure d'entrée/sortie, motif.

Sécurité réseau OT

Les réseaux de contrôle industriel doivent être isolés du réseau d'administration.

• Créer une zone démilitarisée (DMZ) entre le réseau IT et le réseau OT. Interdire tout flux direct IT→OT.
• Utiliser un pare-feu industriel (ex. Stormshield SNi40, Cisco ASA) avec une politique de liste blanche stricte.
• Désactiver les protocoles non utilisés (Telnet, FTP, HTTP non chiffré) sur tous les équipements OT.
• Cartographier les flux réseau actifs au moins une fois par an et mettre à jour les règles de filtrage en conséquence.

Gestion des postes de supervision

• Dédier les postes de supervision SCADA uniquement à cet usage (pas de navigation Internet, pas de messagerie).
• Interdire les supports amovibles (clé USB, disque dur externe) sauf procédure formalisée avec scan antiviral préalable.
• Appliquer les mises à jour de sécurité des systèmes d'exploitation et des logiciels SCADA selon les recommandations de l'éditeur, après recette en environnement de test.
• Activer les journaux d'événements système (connexions, modifications de configuration) et les centraliser sur un serveur dédié.

Références réglementaires

• Directive NIS2 (2022/2555/UE) — art. 21 : mesures de sécurité des entités essentielles.
• Arrêté du 13 juin 2014 relatif aux systèmes d'information d'importance vitale (SIIV) — secteur eau.
• Guide ANSSI « Maîtriser la cybersécurité des systèmes industriels » (ANSSI-PA-066).
• Référentiel ASTEE 2023 — thème 9 : Sécurité des systèmes de supervision.