Guide · Cybersécurité OT · Paris
Dans une usine ou un laboratoire parisien, le scénario revient souvent : un automate pilote une ligne depuis un réseau que personne n’a dessiné, et un fournisseur entre dans les machines par un logiciel d’accès installé il y a longtemps. Cette page décrit comment une cybersécurité industrielle se met en place à Paris, ce qu’elle couvre, ce qui fait varier le devis et les étapes d’un projet.
Sommaire
La cybersécurité industrielle, c’est quoi ?
Le sujet consiste à protéger les systèmes qui pilotent des machines, des procédés ou des bâtiments, en gardant la production disponible. On parle d’OT, pour technologies de l’exploitation, afin de désigner les automates programmables, les supervisions SCADA et les GTB, par opposition à l’IT qui gère les postes et la messagerie. La démarche ne se confond pas avec la sécurité bureautique : une mise à jour qui redémarre un automate peut arrêter une chaîne entière.
Le cloisonnement en zones et conduits
Le réseau industriel se découpe en zones selon leur fonction. Les échanges entre zones passent par des conduits filtrés, et un pare-feu industriel n’autorise que les flux nécessaires. Un poste de bureau compromis ne peut pas atteindre directement un automate.
Des références à suivre
La norme IEC 62443 structure la démarche, et les guides de l’ANSSI consacrés aux systèmes industriels fournissent un ordre de travail. L’objectif est de documenter chaque décision pour qu’elle reste compréhensible par l’exploitation.
Contexte local · Paris
Contexte local : la cybersécurité industrielle à Paris
Paris correspond au département 75 et réunit des zones d’activité très différentes sur un territoire restreint. Le quartier central des affaires accueille de nombreux immeubles de bureaux dont la GTB pilote chauffage, ventilation et contrôle d’accès. Il faut vérifier auprès de l’exploitant de l’immeuble qui intervient sur ces automates, par quel accès et depuis quels locaux. Dans le secteur de Paris Rive Gauche (13e), les chantiers de bâtiments et les équipements connectés multiplient les intervenants extérieurs, donc les accès à encadrer. Une entreprise qui exploite des sites dans plusieurs arrondissements, ou dans un département voisin comme les Hauts-de-Seine, la Seine-Saint-Denis ou le Val-de-Marne, gagne à tenir un seul inventaire et une seule règle de télémaintenance. Pour un siège parisien qui pilote des installations en périphérie, la question clé reste de savoir qui se connecte à quoi, et depuis quel poste. Un plan d’accès écrit, partagé avec le gestionnaire, évite bien des surprises.
- Repères
- Quartier central des affaires, Paris Rive Gauche (13e)
- Zones voisines
- Hauts-de-Seine, Seine-Saint-Denis, Val-de-Marne
Les situations qui déclenchent un projet
- Un fournisseur qui ouvre la ligne à distance : une passerelle ancienne permet encore d’entrer dans une machine, sans compte nominatif ni trace des sessions.
- Une GTB joignable depuis Internet : le système de bâtiment répond à une adresse publique que le dernier schéma réseau ne mentionnait pas.
- Un rançongiciel venu de la bureautique : une attaque sur les postes de gestion peut aussi couper la supervision si les réseaux se rejoignent.
- Des programmes d’automates sans copie récente : après une panne, personne ne sait quelle version restaurer ni comment la relancer.
Ce que comprend une prestation
Avant toute modification : inventaire et cartographie
Le relevé recense les automates, les postes de supervision, les passerelles et les équipements connectés, en privilégiant une observation passive pour ne pas perturber les équipements en production. La cartographie des flux montre qui communique avec quoi entre le réseau de gestion, le réseau industriel et l’extérieur. Un tableau des risques sert ensuite de référence pour fixer les priorités.
Pendant : cloisonnement et accès distants
Le réseau est découpé en zones, les pare-feu reçoivent des règles de filtrage explicites, et la télémaintenance passe par une passerelle dédiée. Chaque compte est nominatif, chaque session est journalisée, et l’accès peut être coupé sans intervention sur les automates.
Après : détection et plan de reprise
Des sondes capables de lire les protocoles industriels remontent les alertes vers une équipe de surveillance. Les programmes d’automates et les configurations sont sauvegardés, avec une procédure de redémarrage écrite et testée avec l’exploitation.
Ce qui fait varier le prix
Aucun montant n’est affiché ici : le devis dépend du périmètre réel. Deux propositions ne se comparent qu’à périmètre égal.
- le nombre de sites, de lignes ou de bâtiments à couvrir ;
- la diversité des automates, des supervisions et des protocoles ;
- les contraintes d’exploitation, avec ou sans arrêts possibles et fenêtres d’intervention ;
- le niveau de cloisonnement visé et le matériel réseau à ajouter ;
- une détection continue ou ponctuelle.
Vérifiez donc que les offres portent sur le même inventaire, le même cloisonnement et la même détection.
Bien choisir son prestataire
Trois questions départagent souvent les offres. L’inventaire se fait-il sans perturber la production ? Comment la télémaintenance des fournisseurs sera-t-elle encadrée, et qui en garde la trace ? Les mesures ont-elles été validées avec les équipes d’exploitation, et pas seulement avec la direction informatique ?
Les étapes de votre projet à Paris
- Décrire les sites, les automates connus et les fournisseurs qui interviennent dans le formulaire.
- Recevoir un cadrage et un devis qui précisent l’inventaire, le cloisonnement et les accès distants.
- Valider avec l’exploitation les fenêtres d’intervention et l’ordre de déploiement.
- Déployer zone par zone, en commençant par les accès distants et les sauvegardes.
- Recevoir la documentation des règles et le plan de reprise.
Pour aller plus loin, la page de référence sur la cybersécurité industrielle détaille les prestations et les questions à poser. Le Val-de-Marne est lui aussi couvert, sur la page consacrée au Val-de-Marne, et les départements voisins disposent de leurs pages pour les Hauts-de-Seine et la Seine-Saint-Denis. Pour démarrer, décrivez votre site dans le formulaire : un spécialiste de la cybersécurité industrielle à Paris vous recontacte, gratuitement et sans engagement.