Accéder à distance à un automate, une IHM ou un SCADA ne doit jamais obliger à publier un port sur Internet. Une architecture de sécurité réseau OT moderne privilégie les connexions sortantes, les tunnels VPN chiffrés, l’authentification forte, la segmentation et la journalisation complète des accès. L’objectif est simple : permettre la maintenance industrielle à distance sans transformer le réseau de production en cible exposée.
Pourquoi les ports publics sont dangereux en environnement OT
Les réseaux industriels ont longtemps été conçus comme des environnements isolés. Automates, variateurs, IHM, robots, postes d’ingénierie et serveurs SCADA communiquaient sur des réseaux locaux, souvent sans mécanisme d’authentification fort, car ils n’étaient pas supposés être joignables depuis l’extérieur.
Cette hypothèse ne tient plus. La maintenance à distance, la supervision multi-sites, les connexions cloud, les intégrateurs externes et la convergence IT/OT ont multiplié les points d’accès. Lorsqu’un port public est ouvert vers un équipement industriel, plusieurs risques apparaissent immédiatement :
- découverte automatique par scan Internet ;
- exposition de services RDP, VNC, SSH, HTTP, HTTPS, Modbus TCP ou OPC UA ;
- tentative de connexion par identifiants faibles ou réutilisés ;
- exploitation de firmwares non patchés ;
- absence de journalisation exploitable ;
- accès trop large au réseau OT après compromission ;
- difficulté à révoquer proprement un sous-traitant ;
- propagation possible depuis l’IT vers l’OT si la segmentation est insuffisante.
Le problème n’est pas seulement technique. Il touche aussi la conformité, la responsabilité d’exploitation et la capacité à prouver qui s’est connecté, quand, depuis où et vers quel équipement.
Le principe : aucune ouverture entrante
La meilleure approche consiste à supprimer le besoin d’exposer un port public. Au lieu d’attendre une connexion depuis Internet, la passerelle industrielle située dans l’usine ou sur le site distant établit elle-même un tunnel sortant vers une infrastructure maîtrisée.
Ce modèle s’appelle souvent outbound only. Il répond bien aux contraintes OT, car il fonctionne même derrière un NAT opérateur, un accès 4G, un pare-feu strict ou une connexion d’entreprise verrouillée.
Dans cette architecture, le réseau OT ne publie rien sur Internet. Le tunnel est initié depuis l’intérieur, chiffré, authentifié et contrôlé par des politiques d’accès.
Architecture Zero Trust adaptée à l’OT
Le Zero Trust appliqué à l’industrie ne consiste pas à empiler des outils IT classiques. Il s’agit de traduire le principe du moindre privilège dans un contexte où les équipements sont parfois anciens, fragiles, non patchables ou dépourvus d’authentification native.
Une architecture Zero Trust OT repose sur quatre questions :
- qui demande l’accès ?
- vers quel équipement ?
- pour quelle durée ?
- avec quel niveau de preuve et de journalisation ?
Un technicien n’a pas besoin d’accéder à tout le réseau industriel. Un intégrateur automate peut avoir besoin d’un accès temporaire à un PLC précis. Un fournisseur de supervision peut avoir besoin d’un accès à une IHM ou à un serveur SCADA, mais pas aux variateurs, aux caméras ou aux postes bureautiques.
tip Principe directeur Un accès distant industriel ne doit jamais être un accès réseau général. Il doit être une autorisation ciblée, limitée dans le temps, journalisée et révocable.
Comparaison des approches d’accès distant OT
Toutes les méthodes d’accès distant ne présentent pas le même niveau de risque. Le tableau suivant résume les écarts les plus importants.
| Approche | Exposition Internet | Traçabilité | Risque OT | Usage recommandé |
|---|---|---|---|---|
| Redirection de port vers automate | Très élevée | Faible | Critique | À proscrire |
| RDP ou VNC public | Très élevée | Variable | Critique | À proscrire |
| VPN global sans segmentation | Moyenne | Moyenne | Élevé | À limiter fortement |
| VPN sortant avec filtrage OT | Faible | Bonne | Maîtrisé | Recommandé |
| Accès Zero Trust par équipement | Très faible | Forte | Maîtrisé | Recommandé pour sites critiques |
La différence essentielle se situe dans la granularité. Un VPN global donne souvent l’impression de sécurité parce que le tunnel est chiffré, mais il peut ouvrir un accès trop large une fois l’utilisateur connecté.
OpenVPN et IPsec : le rôle du tunnel chiffré
OpenVPN et IPsec sont deux technologies éprouvées pour créer des tunnels chiffrés. Dans une architecture Eziwan, elles peuvent être utilisées pour transporter les flux industriels entre la gateway et le concentrateur, sans rendre les équipements OT directement visibles.
Le tunnel apporte plusieurs bénéfices :
- chiffrement des communications ;
- authentification par certificats ;
- adressage privé stable ;
- traversée des pare-feux par connexion sortante ;
- centralisation des règles d’accès ;
- révocation d’un site ou d’un utilisateur sans intervention sur les automates.
OpenVPN est souvent apprécié pour sa simplicité d’exploitation, sa bonne traversée du NAT et son usage possible sur TCP 443. IPsec est très répandu dans les infrastructures réseau d’entreprise et peut offrir d’excellentes performances avec accélération matérielle. Le choix dépend des contraintes IT, du pare-feu central, du niveau d’administration disponible et des politiques internes.
Authentification forte et certificats X.509
Les mots de passe partagés sont l’un des points faibles les plus fréquents en télémaintenance industrielle. Ils circulent entre équipes internes, intégrateurs, fournisseurs et astreintes. Ils sont rarement changés au bon moment et deviennent difficiles à attribuer à une personne précise.
Une architecture plus saine repose sur des identités individuelles :
- un certificat par utilisateur ou par équipement ;
- une révocation indépendante ;
- une durée de validité limitée ;
- une authentification multifacteur pour les accès sensibles ;
- des droits associés à un rôle, un site, un équipement ou une plage horaire.
Le certificat prouve l’identité technique. Le MFA réduit le risque lié au vol d’un poste ou d’un secret. La politique d’accès limite ce que l’utilisateur peut réellement faire une fois connecté.
Segmentation OT/IT : zones et conduits
La sécurité OT ne se limite pas au VPN. Il faut aussi contrôler ce que le tunnel peut atteindre. Les bonnes pratiques inspirées de l'IEC 62443 utilisent les notions de zones et de conduits : les équipements ayant un niveau de risque similaire sont regroupés, et les flux entre zones sont explicitement autorisés.
Cette séparation évite qu’un accès de maintenance devienne une route générale entre le système d’information et l’atelier. Elle limite aussi les mouvements latéraux en cas de compromission.
Règles de filtrage minimales
Une passerelle OT doit refuser par défaut et autoriser uniquement les flux nécessaires. Les règles doivent être lisibles, documentées et révisables.
| Source | Destination | Protocole | Action | Justification |
|---|---|---|---|---|
| Technicien autorisé | Automate ligne 1 | Modbus TCP 502 | Autoriser | Maintenance automate validée |
| Technicien autorisé | IHM atelier | HTTPS 443 | Autoriser | Diagnostic interface locale |
| Serveur SCADA | Automate ligne 2 | OPC UA 4840 | Autoriser | Supervision industrielle |
| Gateway Eziwan | Concentrateur VPN | OpenVPN ou IPsec | Autoriser | Tunnel sortant chiffré |
| Réseau IT | Réseau OT complet | Tous | Bloquer | Refus d’accès transversal |
| Internet | Automates | Tous | Bloquer | Aucun port public exposé |
Cette logique est simple, mais elle change tout : le réseau OT n’est plus accessible par défaut. Chaque flux devient une décision explicite.
Journalisation et traçabilité NIS2
La directive NIS2 renforce les attentes autour de la gouvernance cyber, de la gestion des risques, de la continuité d’activité et du traitement des incidents pour de nombreuses organisations européennes. En France, l’ANSSI accompagne cette trajectoire avec des ressources comme le Référentiel Cyber France.
Pour un réseau OT, la traçabilité des accès distants devient un élément central. Il ne suffit pas de savoir qu’un VPN était actif. Il faut pouvoir reconstruire une session.
Un journal d’audit utile doit contenir :
- identité de l’utilisateur ;
- méthode d’authentification ;
- date et heure de début ;
- date et heure de fin ;
- site concerné ;
- équipement cible ;
- protocole utilisé ;
- adresse IP source ;
- adresse IP destination ;
- décision de politique appliquée ;
- résultat de la connexion ;
- événements de révocation ou d’échec.
info Audit Les journaux doivent être exportables, horodatés et conservés selon la politique interne de l’entreprise. Leur valeur dépend autant de leur précision que de leur capacité à être relus pendant un audit ou après incident.
Détection d’anomalies
La sécurité d’un accès distant ne s’arrête pas à l’authentification. Une session techniquement valide peut rester anormale. Il est donc utile de déclencher des alertes sur des comportements inhabituels.
Exemples d’anomalies pertinentes en OT :
- connexion hors plage horaire autorisée ;
- accès depuis une zone géographique inhabituelle ;
- tentative vers un équipement non autorisé ;
- volume de données supérieur au comportement habituel ;
- échecs MFA répétés ;
- changement brutal de protocole ;
- activité longue pendant une période non planifiée ;
- connexion d’un sous-traitant après fin de contrat ;
- accès à plusieurs zones OT sans justification.
Ces alertes doivent être exploitables. Trop d’alertes génériques finissent ignorées. Une bonne règle d’anomalie doit indiquer qui est concerné, quel équipement est ciblé et pourquoi l’événement sort du comportement attendu.
Révocation des accès : le test souvent oublié
Un accès distant sécurisé doit être facile à supprimer. C’est particulièrement important dans les environnements industriels où plusieurs prestataires peuvent intervenir sur une même ligne de production.
La révocation doit couvrir :
- départ d’un collaborateur ;
- fin de contrat d’un sous-traitant ;
- perte ou vol d’un poste ;
- suspicion de compromission ;
- changement de périmètre d’intervention ;
- fin d’une astreinte ou d’un créneau de maintenance.
La révocation par certificat est plus propre qu’un mot de passe partagé. Elle permet d’invalider une identité sans interrompre tous les autres utilisateurs et sans reconfigurer les équipements industriels.
Accès temporaires et plages horaires
Tous les accès OT ne doivent pas être permanents. Pour réduire le risque, il est préférable d’accorder des droits temporaires :
- accès valable uniquement pendant une intervention ;
- créneau horaire lié à un ordre de travail ;
- restriction aux jours ouvrés ;
- approbation préalable pour les zones critiques ;
- expiration automatique après intervention ;
- renouvellement manuel si l’opération dure plus longtemps que prévu.
Ce modèle est particulièrement utile pour les intégrateurs, les mainteneurs machine, les fournisseurs d’automates et les équipes d’astreinte.
Cas d’usage fréquents
La sécurisation OT sans port public s’applique à de nombreux environnements industriels.
| Cas d’usage | Besoin | Architecture recommandée |
|---|---|---|
| Télémaintenance automate | Accès ponctuel à un PLC | VPN sortant, MFA, filtrage par IP et port |
| Supervision SCADA multi-sites | Collecte continue de données | Tunnel permanent, segmentation, supervision réseau |
| Maintenance fournisseur | Accès limité à une machine | Accès temporaire, révocation automatique, journalisation |
| Site isolé en 4G | Absence de fibre | Gateway industrielle, double SIM, VPN sortant |
| Audit cybersécurité | Preuve des accès | Journaux exportables, horodatage, politiques documentées |
| Séparation IT/OT | Réduction des mouvements latéraux | DMZ industrielle, zones et conduits, refus par défaut |
Pour les sites distants sans fibre, cette architecture peut être combinée avec une gateway Eziwan et une solution de connectivité industrielle. Pour les organisations qui veulent centraliser l’accès multi-sites, l’option cloud Eziwan permet de regrouper les tunnels, les politiques et les journaux.
Bonnes pratiques de durcissement
Une architecture sans port public réduit fortement l’exposition, mais elle doit être complétée par des mesures de durcissement.
- désactiver les services inutiles sur la gateway ;
- changer tous les identifiants par défaut ;
- séparer administration, supervision et maintenance ;
- utiliser des certificats individuels ;
- activer le MFA sur les accès critiques ;
- limiter les flux par IP, port et protocole ;
- journaliser les connexions acceptées et refusées ;
- tester régulièrement la révocation ;
- mettre à jour les firmwares selon une procédure validée ;
- sauvegarder la configuration de la gateway ;
- documenter les routes, VLAN, règles et comptes ;
- intégrer les journaux au SIEM quand il existe.
caution Erreur classique Un VPN chiffré ne suffit pas si l’utilisateur connecté peut joindre tout le réseau OT. La sécurité vient de la combinaison entre chiffrement, identité, segmentation, filtrage et traçabilité.
Exemple de politique d’accès
Voici un exemple de politique simple pour une usine disposant d’une ligne de production automatisée.
Rôle : intégrateur automate
Sites autorisés : usine A
Équipements autorisés : PLC-L1, IHM-L1
Protocoles autorisés : Modbus TCP 502, HTTPS 443
Plage horaire : lundi à vendredi, 08:00-18:00
MFA : obligatoire
Durée maximale de session : 2 heures
Journalisation : complète
Expiration : automatique après 7 jours
Cette politique donne assez d’accès pour travailler, sans ouvrir le reste du réseau. Elle est aussi compréhensible par l’OT, l’IT, le RSSI et un auditeur.
Comment Eziwan sécurise l’accès distant OT
Eziwan met en place une architecture d’accès distant pensée pour les environnements industriels : tunnel sortant, VPN OpenVPN ou IPsec, authentification forte, segmentation, filtrage et audit centralisé. La gateway est installée au plus près du réseau OT, tandis que les accès utilisateurs sont contrôlés depuis une infrastructure centralisée.
Les fonctionnalités clés incluent :
- aucun port entrant publié sur le site industriel ;
- tunnel sortant chiffré depuis la gateway ;
- certificats X.509 individuels ;
- MFA TOTP pour les accès sensibles ;
- politiques d’accès par utilisateur, site et équipement ;
- filtrage des flux industriels ;
- journal d’audit exportable ;
- révocation rapide des accès ;
- supervision de l’état des tunnels ;
- alertes sur comportements anormaux.
Cette approche permet de conserver les contraintes opérationnelles de l’industrie tout en réduisant fortement l’exposition Internet.
Plan de mise en œuvre
La sécurisation d’un réseau OT sans port public peut être menée progressivement.
1. Cartographier les accès existants
Identifiez les ports ouverts, les VPN existants, les comptes partagés, les prestataires, les automates accessibles et les flux SCADA. Cette étape révèle souvent des accès oubliés.
2. Supprimer les expositions directes
Fermez les redirections de ports vers les automates, IHM, postes Windows, serveurs SCADA et interfaces d’administration. Remplacez-les par un tunnel sortant contrôlé.
3. Définir les zones OT
Regroupez les équipements par criticité, ligne, atelier ou fonction. Une zone pompe, une zone traitement, une zone conditionnement ou une zone énergie ne doivent pas forcément partager les mêmes droits.
4. Créer les politiques d’accès
Définissez les droits par rôle : automaticien interne, mainteneur fournisseur, exploitant, administrateur réseau, superviseur. Chaque rôle doit avoir un périmètre clair.
5. Activer MFA et certificats
Remplacez les secrets partagés par des identités individuelles. Activez le MFA pour les automates critiques, les serveurs SCADA et les accès prestataires.
6. Tester la journalisation
Vérifiez que chaque session produit un journal exploitable : utilisateur, équipement, protocole, heure, décision de sécurité et résultat.
7. Tester la révocation
Supprimez volontairement un accès de test et confirmez qu’il ne fonctionne plus. Ce contrôle simple évite de découvrir trop tard qu’un ancien accès reste actif.
Conclusion
Sécuriser un réseau OT industriel ne consiste pas à rendre un port public plus discret. La bonne stratégie consiste à supprimer l’exposition entrante, établir des tunnels sortants chiffrés, authentifier chaque utilisateur, segmenter les zones industrielles et journaliser toutes les actions importantes.
Avec une architecture Eziwan, les techniciens et prestataires peuvent accéder aux automates, IHM et SCADA dont ils ont réellement besoin, sans ouvrir de ports sur Internet et sans donner un accès général au réseau de production. C’est une base solide pour réduire le risque cyber, améliorer la traçabilité et préparer les exigences de conformité liées à NIS2, IEC 62443 et aux bonnes pratiques de cybersécurité industrielle.
Pour aller plus loin
- Cybersécurité industrielle — les bonnes pratiques pour sécuriser vos réseaux OT de bout en bout
- VPN industriel — chiffrez les communications vers vos automates sans exposer de ports publics
- NIS2 industrie — mettez votre sécurité OT en conformité avec la directive NIS2
- Accès distant industriel — accès sécurisé aux équipements OT sans VPN exposé sur internet
- Cybersécurité accès distant OT — sécurisez spécifiquement les flux d’accès distant vers vos réseaux industriels