Comment sécuriser votre usine contre les ransomwares sans bloquer la production ?

Vous avez vu les nouvelles, ou pire, un concurrent a vu sa production paralysée pendant des semaines à cause d’un ransomware. La panique s’installe. Votre première réaction est peut-être de vouloir tout débrancher, de refuser toute connexion externe. C’est une impulsion compréhensible, mais qui va à l’encontre des besoins de productivité et de maintenance de l’industrie 4.0. Les conseils habituels, souvent issus du monde informatique (IT), semblent inapplicables : « faites toutes les mises à jour », « changez tout le vieux matériel ». C’est facile à dire, mais irréaliste quand une machine critique tourne sur un ordinateur Windows XP qui ne peut être ni arrêté ni modifié sans risque.

La véritable clé n’est pas de viser une sécurité parfaite et théorique, mais de mettre en place une résilience opérationnelle pragmatique. Il faut cesser de voir la cybersécurité comme un problème technique obscur et la traiter pour ce qu’elle est vraiment : une composante essentielle de la gestion de la continuité d’activité. Chaque faille potentielle — un courriel infecté, une clé USB non vérifiée, un accès à distance pour un technicien — n’est pas un bug informatique, mais un risque opérationnel quantifiable qui menace directement votre chaîne de production. L’objectif n’est pas de construire des murs infranchissables, mais de créer des sas de sécurité et des plans de réponse qui empêchent une simple erreur de se transformer en catastrophe industrielle.

Cet article n’est pas un cours de cybersécurité théorique. C’est un guide de survie pour les responsables d’opérations. Nous allons décortiquer 8 points de défaillance concrets, du poste de bureautique à l’automate vieillissant, et vous donner des stratégies pragmatiques et applicables pour les neutraliser sans bloquer votre usine. Nous traduirons le jargon en actions et en décisions que vous pouvez prendre dès aujourd’hui pour dormir plus sereinement demain.

Pour vous guider à travers ces enjeux critiques, cet article est structuré autour des points de vulnérabilité les plus courants dans un environnement de production. Le sommaire ci-dessous vous permettra de naviguer directement vers les questions qui vous préoccupent le plus.

Pourquoi une infection dans les courriels ne doit jamais atteindre les automates ?

Le point de départ de nombreuses attaques n’est pas une faille complexe, mais un simple courriel de phishing ouvert sur un ordinateur de bureau. Le véritable danger survient lorsque ce malware, initialement confiné au réseau informatique (IT), trouve un chemin vers le réseau de production (OT). La convergence IT/OT est une réalité, mais elle ne doit jamais signifier une fusion sans contrôle. En effet, selon une étude récente, près de 73% des industriels ont été victimes d’une attaque en 2024, et un quart d’entre eux ont subi un arrêt de production. Un simple clic peut ainsi paralyser des machines valant des millions.

Le principe fondamental est la segmentation stricte. L’IT et l’OT doivent être considérés comme deux pays distincts avec une frontière hautement contrôlée. Cette frontière est ce que les experts appellent une « Zone Démilitarisée » (DMZ). Ce n’est pas un mur, mais un sas. Les données de l’IT (comme un ordre de fabrication) sont déposées dans ce sas, et le réseau OT vient les récupérer de son côté, sans qu’il n’y ait jamais de connexion directe ou de prise de contrôle possible de l’IT vers l’OT. Cette barrière logique est votre meilleure assurance-vie contre la propagation d’une infection. Comme l’a montré le cas d’un industriel attaqué par un ransomware, les dégâts peuvent vite chiffrer, coûtant près de 2 millions d’euros entre l’arrêt de la production et la remise en route.

VPN ou accès à distance : comment laisser entrer le technicien sans ouvrir la porte aux hackers ?

Votre usine a besoin de maintenance. Un fournisseur doit se connecter à distance pour diagnostiquer une panne sur un automate. C’est une réalité opérationnelle. La solution de facilité, le VPN traditionnel, est pourtant l’une des plus grandes sources de risque. Donner un accès VPN à un prestataire, c’est comme lui donner la clé de l’entrée principale et le laisser se promener librement dans toute l’usine. S’il est lui-même compromis, il devient une porte d’entrée béante pour les attaquants. Comme le souligne Thierry Hernandez, chargé de comptes industriels, le risque vient souvent de la négligence :

Il faut garder en tête que les risques peuvent être la conséquence de négligences et ne pas se concentrer que sur les attaques malveillantes directes. Comme il y a beaucoup d’intervenants dans une usine, chaque passage ou intervention constitue une porte d’entrée potentielle supplémentaire.

– Thierry Hernandez, Chargé de comptes industriels chez Stormshield

L’approche moderne est le « Zero Trust Network Access » (ZTNA). Au lieu de donner accès à tout le réseau, le ZTNA donne un accès ultra-spécifique, limité à une seule machine ou une seule application, pour une durée limitée et après une authentification forte. C’est comme escorter le technicien directement à la machine concernée, surveiller ses actions, et le raccompagner à la sortie dès sa tâche terminée. Cette approche granulaire élimine le risque de « mouvement latéral », où un attaquant se déplace de machine en machine après une première intrusion.

Le tableau suivant met en évidence les différences critiques entre un accès VPN classique et une approche moderne de type « Zero Trust », une distinction essentielle pour justifier l’investissement auprès de votre direction.

Clé USB trouvée ou branchée : le piège classique qui contourne tous vos pare-feux

Vous pouvez avoir les meilleurs pare-feux du monde, mais ils ne servent à rien si un technicien ou un opérateur branche une clé USB infectée directement sur une console de machine. C’est le cheval de Troie par excellence. Qu’elle soit « trouvée » sur le stationnement (une technique d’attaque connue) ou qu’elle appartienne à un prestataire, une clé USB est un point d’entrée physique qui contourne toutes les barrières numériques. Les experts en cybersécurité industrielle s’accordent à dire que les clés USB représentent un risque majeur et difficile à maîtriser en environnement OT, car on ne contrôle pas toujours les ordinateurs sur lesquels elles sont branchées.

Plutôt que d’interdire totalement les clés USB, ce qui est souvent irréaliste, la solution est de créer un processus de « décontamination ». Mettez en place une station de scan dédiée et isolée : un ordinateur qui n’est connecté à aucun réseau (ni IT, ni OT), équipé de plusieurs solutions antivirus. Toute clé USB venant de l’extérieur doit obligatoirement passer par cette station avant de pouvoir être utilisée ailleurs dans l’usine. C’est un processus simple, peu coûteux, mais incroyablement efficace.

Pour mettre en place un programme robuste, inspirez-vous des recommandations du Centre Canadien pour la Cybersécurité (CCC) :

• Créer une station de scan isolée : Mettez en place un poste de travail dédié, hors réseau, où tous les médias amovibles doivent être scannés avant usage.
• Former le personnel : Organisez des micro-formations de 5 minutes avant les débuts de quart pour rappeler la procédure et les risques. La répétition est la clé.
• Établir une politique claire : Rédigez une politique d’une page, alignée sur les directives du CCC, définissant la procédure et les responsabilités. Affichez-la près de la station de scan.
• Implémenter un registre de traçabilité : Tenez un simple cahier ou un fichier pour noter chaque média externe introduit, qui l’a apporté, et quand il a été scanné.

L’erreur de sauvegarde qui vous empêche de redémarrer après une attaque

En cas d’attaque par ransomware, votre sauvegarde est votre seule police d’assurance. Mais beaucoup d’entreprises font une erreur fatale : leurs sauvegardes sont connectées en permanence au réseau principal. Résultat : lorsque le ransomware se propage, il chiffre non seulement vos systèmes de production, mais aussi vos sauvegardes, les rendant totalement inutilisables. Vous pensez avoir une issue de secours, mais la porte est également en feu.

La règle d’or de la sauvegarde moderne est la règle du 3-2-1-1-0 : 3 copies de vos données, sur 2 supports différents, avec 1 copie hors site, 1 copie immuable ou « air-gapped » (déconnectée), et 0 erreur de restauration testée. L’élément le plus crucial ici est la copie « air-gapped » ou immuable. Une sauvegarde immuable est une copie qui, une fois écrite, ne peut être ni modifiée ni supprimée pendant une période définie, même par un administrateur. C’est une forteresse numérique que le ransomware ne peut pas atteindre. La tendance à la connexion de dispositifs IIoT étend massivement la surface d’attaque, rendant ces stratégies de sauvegarde encore plus critiques pour se prémunir contre le vol de données, la fraude et l’extorsion, qui sont en hausse au Canada.

Votre plan d’action doit donc se concentrer sur la validation de votre stratégie de sauvegarde. Ne vous contentez pas de vérifier que les sauvegardes se font ; testez-les. Planifiez un exercice trimestriel où vous tentez de restaurer un système critique à partir de vos sauvegardes. C’est le seul moyen de savoir si votre plan de secours fonctionnera le jour où vous en aurez vraiment besoin. L’objectif n’est pas seulement de sauvegarder, mais d’être capable de redémarrer la production rapidement.

Patcher ou isoler : que faire avec un ordinateur Windows XP qui pilote une machine critique ?

C’est le cauchemar de tout responsable d’opérations : une machine-outil qui coûte une fortune, fonctionne parfaitement, mais est pilotée par un ordinateur datant de l’âge de pierre, sous Windows XP ou une autre version obsolète. Vous ne pouvez pas la mettre à jour, car le fabricant n’existe plus ou le logiciel de contrôle n’est pas compatible. Vous ne pouvez pas la remplacer sans un investissement colossal. Alors, que faire ? La laisser telle quelle est une invitation aux pirates.

Comme le rappelle le cabinet Magellan Sécurité, c’est un problème courant :  » De nombreux systèmes industriels reposent encore sur des technologies anciennes ou obsolètes, souvent vulnérables aux attaques. Des machines d’usinage datant de plusieurs décennies peuvent ne pas recevoir de mises à jour de sécurité. » Face à ce dilemme, vous n’êtes pas sans options. Il ne s’agit pas d’un choix binaire, mais d’une matrice de décision basée sur le risque et le coût.

La solution la plus pragmatique est souvent la micro-segmentation. Si vous ne pouvez pas « guérir » l’ordinateur en le patchant, vous pouvez le mettre en « quarantaine ». Cela consiste à utiliser un pare-feu pour l’isoler et créer une bulle de protection autour de lui. Ce pare-feu ne laissera passer que les communications strictement essentielles à son fonctionnement (par exemple, uniquement le dialogue avec son automate) et bloquera tout le reste. L’ordinateur vulnérable peut continuer de fonctionner, mais il ne peut ni être atteint depuis le reste du réseau, ni servir de point de rebond pour une attaque.

Le tableau suivant vous aide à visualiser les compromis entre les différentes stratégies pour gérer ces équipements critiques mais vieillissants.

Quand remplacer vos serveurs physiques : les 3 signaux d’alerte critiques

Dans le monde de la production, la règle « si ça fonctionne, on n’y touche pas » prévaut souvent. C’est une approche prudente, mais qui a ses limites. Les équipements OT (technologies opérationnelles) ont des cycles de vie bien plus longs que les équipements IT (informatiques). Une analyse de Zscaler sur la sécurité opérationnelle montre que les cycles de vie OT peuvent s’étendre sur des décennies, contre 4 à 6 ans pour l’IT. Maintenir un serveur ou un automate au-delà du raisonnable ne relève plus de l’économie, mais du risque opérationnel pur.

Attendre une panne catastrophique pour remplacer un équipement est la pire des stratégies. Vous devez être proactif et guetter les signaux d’alerte qui indiquent qu’un équipement est devenu un passif plutôt qu’un actif. Il ne s’agit pas seulement de l’âge, mais de sa capacité à s’intégrer dans un écosystème sécurisé moderne. Un équipement qui ne peut pas communiquer de manière chiffrée ou qui nécessite des « rustines » de sécurité coûteuses devient un maillon faible pour toute votre chaîne de production. Le coût de ces mesures compensatoires peut rapidement dépasser le coût d’un remplacement planifié.

Pour vous aider à prendre une décision éclairée et à la justifier financièrement, voici trois signaux d’alerte critiques qui doivent déclencher une planification de remplacement :

• Signal 1 : L’incapacité à communiquer de façon sécurisée. L’équipement est incapable d’utiliser des protocoles modernes et sécurisés (comme TLS ou les certificats), vous forçant à utiliser des canaux de communication en clair et vulnérables.
• Signal 2 : Le coût des mesures compensatoires. Le coût annuel des solutions de contournement (pare-feux dédiés, surveillance accrue, etc.) pour protéger cet équipement dépasse le coût total de possession (TCO) d’un équipement neuf amorti sur 3 ans.
• Signal 3 : Le refus de l’assureur. Votre assureur spécialisé en cyber-risques au Canada refuse de couvrir l’équipement, ou augmente la prime de manière si drastique que cela rend son maintien économiquement absurde.

L’erreur de mot de passe par défaut qui ouvre votre usine aux pirates

C’est l’une des erreurs les plus simples, les plus courantes et les plus dévastatrices. De nombreux équipements industriels — automates, caméras, capteurs — sont livrés avec des identifiants par défaut comme « admin/admin » ou « password ». Les installateurs, pressés par le temps, oublient souvent de les changer. Pour un pirate, c’est une autoroute directe vers le cœur de vos opérations. Des moteurs de recherche spécialisés comme Shodan scannent en permanence Internet à la recherche de ces dispositifs non sécurisés.

La gestion des identifiants dans un environnement OT est complexe car la responsabilité est souvent floue : est-ce au fournisseur, à l’équipe d’ingénierie interne ou à l’IT de changer ces mots de passe ? Cette confusion crée des failles béantes. La stratégie à adopter est double : un inventaire rigoureux et une segmentation des identités. Il faut isoler les identités des dispositifs IIoT de celles des utilisateurs et des systèmes IT/OT traditionnels, puis surveiller les tentatives d’accès pour détecter tout comportement anormal, comme une connexion en dehors des heures de production.

La mise en place d’un processus clair, inspiré des normes du Centre Canadien pour la Cybersécurité (CCC), est non négociable pour éliminer ce risque fondamental :

• Créer un inventaire exhaustif : Documentez tous les équipements de votre usine possédant une interface de connexion et vérifiez leurs identifiants par défaut.
• Documenter clairement les responsabilités : Définissez par écrit qui est responsable de changer les mots de passe à l’installation et de les gérer durant le cycle de vie de l’équipement.
• Mettre en place un scan réseau mensuel : Utilisez des outils pour scanner votre réseau à la recherche d’équipements utilisant encore des identifiants par défaut.
• Implémenter une rotation obligatoire des mots de passe : Établissez une politique de changement de mot de passe pour les comptes à privilèges, en suivant les recommandations du CCC en matière de complexité et de fréquence.

Comment mettre votre PME en conformité avec la Loi 25 sans engager un consultant à temps plein ?

La Loi 25 au Québec modernise les règles de protection des renseignements personnels. En tant que responsable d’usine, vous pourriez penser que cela ne concerne que le service marketing ou les ressources humaines. C’est une erreur. Les données générées par votre environnement de production, comme les logs de pointage des employés, les données de performance liées à un opérateur, ou même les enregistrements vidéo de surveillance, sont considérées comme des renseignements personnels et tombent sous le coup de la loi.

Pour une PME, l’idée de se conformer à une telle réglementation peut sembler écrasante et coûteuse. Cependant, une approche pragmatique et mutualisée est possible. La loi n’exige pas que chaque entreprise engage un expert à temps plein. L’esprit de la loi est d’assurer la mise en place d’une gouvernance responsable des données. La tendance réglementaire est mondiale, comme le montre la directive européenne NIS2 qui étend les obligations de cybersécurité à de nombreux secteurs, et qui inspire les régulations ailleurs dans le monde.

Commencez par les bases. La première étape est de savoir quelles données vous détenez. Un registre des actifs informationnels OT est un simple document qui liste les systèmes qui collectent ou traitent des données personnelles (ex: le système de pointage, le logiciel de supervision, les serveurs vidéo). Ensuite, rédigez une politique de confidentialité simple et claire pour les employés d’usine, expliquant quelles données sont collectées et pourquoi. Enfin, documentez un plan de réponse aux incidents : que faites-vous si vous suspectez une fuite de données ? Ces trois documents constituent un socle solide pour démarrer votre conformité. Pour alléger la charge, les PME peuvent s’associer, par exemple au sein d’un parc industriel ou via une association comme Manufacturiers et Exportateurs du Québec (MEQ), pour partager les coûts d’un responsable de la protection des renseignements personnels.

Protéger votre usine n’est pas une série d’actions isolées, mais la construction d’une culture de la résilience. Chaque mesure, de la gestion d’une clé USB à la configuration d’un accès distant, contribue à un ensemble cohérent. L’étape suivante consiste à passer de la réaction à l’anticipation en réalisant une première auto-évaluation de vos risques. Identifiez le point de cette liste qui vous semble le plus faible et faites-en votre priorité pour le mois à venir.