Un inventaire des actifs OT permet de savoir quels équipements sont présents dans un environnement industriel. Mais cette information reste limitée si elle n’est pas complétée par leur localisation, leurs connexions, leur usage et leur niveau d’exposition.
Cartographier un environnement OT, c’est comprendre comment ses actifs s’insèrent dans l’architecture industrielle et quels risques leur sont associés.
Cette vision est utile pour préparer une segmentation, identifier des vulnérabilités, contrôler les accès ou encore prioriser les actions de cybersécurité.
Dans cet article, découvrez comment :
- Identifier les actifs présents dans votre environnement OT
- Comprendre comment ils communiquent
- Relier les actifs à leur niveau de criticité
- Croiser les actifs avec les vulnérabilités
- Cartographier les accès qui permettent de les atteindre
- Tenir compte de l’évolution de votre environnement
- Faire de la cartographie un outil de cybersécurité
1. Identifier les actifs présents dans l’environnement OT
La première étape consiste à savoir quels équipements composent l’environnement industriel :
- Automates et systèmes de contrôle,
- SCADA et HMI,
- Serveurs industriels,
- Postes d’ingénierie et de maintenance,
- Équipements réseau,
- Systèmes d’historisation,
- Équipements de sécurité,
- Connexions et accès distants.
Mais le simple nom de l’équipement ne suffit pas. Pour chaque actif, il est utile de connaître son fabricant, son modèle, sa version logicielle ou firmware, sa fonction, sa localisation et la zone industrielle à laquelle il appartient.
Ces informations permettent notamment d’identifier les équipements obsolètes, ceux dont les versions ne sont plus supportées ou ceux qui nécessitent une attention particulière.
2. Comprendre comment les actifs communiquent
Deux équipements peuvent être parfaitement identifiés sans que leur relation soit clairement documentée.
La cartographie doit donc mettre en évidence les communications entre les actifs :
- Qui communique avec qui,
- Par quel protocole,
- Depuis quelle zone,
- Vers quelle destination,
- À quelle fréquence,
- Pour quel usage.
Cette vision permet d’identifier les dépendances entre systèmes et de repérer des communications qui ne correspondent plus forcément aux besoins actuels de l’installation.
Elle permet également de mettre en relation les actifs, les flux et les différentes zones de l’architecture OT, notamment lorsqu’une démarche de segmentation est envisagée.
Sur ce sujet, découvrez également notre article : Segmentation réseau OT : par où commencer ?
3. Relier les actifs à leur niveau de criticité
Tous les actifs OT ne présentent pas les mêmes enjeux pour la production. Un automate qui contrôle une étape critique du processus industriel n’a pas le même niveau de priorité qu’un équipement de test ou qu’un système isolé.
La cartographie doit donc permettre de mettre en relation les caractéristiques techniques de l’actif avec son rôle dans le processus industriel. On peut notamment prendre en compte :
- La criticité pour la production,
- Les processus concernés,
- Les dépendances avec d’autres systèmes,
- Les possibilités d’accès,
- Le niveau d’exposition,
- Les conséquences potentielles d’une indisponibilité.
Cette contextualisation permet de mieux hiérarchiser les actions de sécurité
4. Croiser les actifs avec les vulnérabilités
Une fois les équipements identifiés et contextualisés, il devient possible de rapprocher leurs caractéristiques des vulnérabilités connues. Une vulnérabilité ne se traite pas de la même manière selon qu’elle concerne :
- Un équipement isolé,
- Un automate connecté à plusieurs systèmes,
- Un serveur exposé à plusieurs zones,
- Un équipement critique dont l’arrêt aurait un impact direct sur la production.
Le cycle de vie de l’équipement doit également être pris en compte : version logicielle ou firmware, support disponible, fin de commercialisation ou fin de vie.
L’enjeu est donc de ne pas se limiter à une liste de CVE, mais de comprendre quelles vulnérabilités concernent réellement les actifs de l’environnement et lesquelles doivent être traitées en priorité.
La combinaison actif + version + connexions + criticité + vulnérabilités + cycle de vie permet d’obtenir une vision beaucoup plus exploitable du risque.
5. Cartographier aussi les accès
Un actif peut être correctement identifié et pourtant rester difficile à sécuriser si les accès permettant de l’atteindre ne sont pas connus.
La cartographie doit donc également prendre en compte les accès :
- Équipes de maintenance,
- Intégrateurs,
- Fournisseurs,
- Postes d’ingénierie,
- Connexions IT/OT,
- Accès distants,
- Comptes privilégiés.
Pour chaque accès, il faut pouvoir déterminer qui peut accéder à quoi, depuis quel environnement et avec quels droits.
Cette analyse permet d’identifier les accès qui doivent être restreints, mieux contrôlés ou surveillés.
6. Tenir compte de l’évolution de l’environnement
Une cartographie OT n’est utile que si elle reste représentative de l’installation.
Un nouvel automate, une modification de ligne, un remplacement de serveur, une mise à jour ou l’ouverture d’un accès distant peuvent modifier l’environnement.
La connaissance des actifs doit donc être actualisée au fil des évolutions.
L’enjeu n’est pas de produire une cartographie une fois. Il est de conserver une vision fiable de l’environnement dans le temps.
Cela implique notamment de rapprocher les données disponibles des changements réalisés sur les installations et de vérifier régulièrement que la représentation de l’environnement correspond toujours à la réalité opérationnelle.
7. Faire de la cartographie un outil de cybersécurité
Une cartographie complète permet de croiser plusieurs niveaux d’information :
Actifs → connexions → versions → criticité → vulnérabilités → accès
Cette vision peut ensuite alimenter différentes actions de cybersécurité industrielle :
- Segmentation des réseaux OT,
- Contrôle des accès,
- Surveillance des environnements,
- Gestion des vulnérabilités,
- Sécurisation des postes et serveurs,
- Sauvegarde et restauration,
- Gestion des changements,
- Préparation et réponse aux incidents.
La cartographie devient ainsi un socle commun pour les différentes mesures de sécurité, plutôt qu’un simple inventaire technique.
La visibilité comme point de départ
Connaître ses actifs est une première étape. Comprendre leurs connexions, leur criticité, leurs vulnérabilités, leur cycle de vie et leurs accès permet ensuite de déterminer où agir et dans quel ordre.
B2C Engineering accompagne les industriels dans l’analyse et la sécurisation de leurs environnements OT, depuis la connaissance des actifs et des flux jusqu’à la mise en œuvre des mesures de protection.
Selon les enjeux identifiés, nos équipes interviennent notamment sur l’architecture et la segmentation réseau, le contrôle des accès, la supervision, la gestion des vulnérabilités, la protection des environnements industriels ou encore la sauvegarde et le versioning des systèmes.
Votre équipe dispose-t-elle d’une vision suffisamment précise de vos actifs, de leurs connexions et de leur niveau d’exposition ?
Découvrez notre expertise en cybersécurité industrielle et les solutions que nous mettons en œuvre pour sécuriser les environnements OT.
FAQ
Qu’est-ce qu’une cartographie des actifs OT ?
Quelle différence entre inventaire et cartographie des actifs OT ?
Pourquoi cartographier les actifs industriels ?
Comment maintenir une cartographie OT à jour ?
Quels éléments intégrer dans une cartographie OT ?
Évaluez votre besoin avec nos experts
Nous vous accompagnons pour structurer, sécuriser et piloter votre cybersécurité industrielle.
Ensemble, nous évaluons vos besoins et planifions une démonstration de la solution.
Johan FOIREST
Business Development Engineer Cybersecurity
Email : jfoi@b2c-engineering.com