Auteur: Karl D’haveloose

Le 11 décembre dernier, Agoria m'avait invité à assister à cet événement, durant lequel Alain Wayenbergh a présenté la plateforme CMiB (Cyber Made in Belgium). À cette occasion, 95 leaders de l'industrie se sont réunis dans le but d'entendre les avis d'experts et d'utilisateurs sur la transposition de la directive NIS 2 dans des environnements de cybersécurité OT efficaces. J'ai été ravi de pouvoir assister à cet événement, car je serai bientôt amené à modérer un débat sur la cybersécurité organisé dans le cadre d'Indumation 2026 – débat auquel je suis sûr que vous souhaiterez assister.

L'objectif ici n'est pas de rédiger un énième compte rendu, que vous pouvez d'ailleurs très facilement trouver sur le site web d'Agoria. Ce que je tiens à souligner par-dessus tout, c'est l'urgence et la motivation réelles qui doivent guider la mise en œuvre de la cybersécurité OT. Il ne fait aucun doute que nous sommes en train de nous diriger vers un véritable 'réseau de perturbations', tant sur nos lieux de travail que dans les processus numériques et la chaîne d'approvisionnement, où les incidents ne cessent de s'accumuler. Pouvons-nous par ailleurs tirer des enseignements de l'approche adoptée par les Américains ?

L'été dernier, le plus grand constructeur automobile britannique, Jaguar Land Rover, a été contraint de suspendre ses activités pendant près d'un mois à la suite d'une cyberattaque menée à grande échelle contre ses systèmes informatiques dans le monde entier. Il semblerait que l'attaque ait été lancée depuis un fournisseur externe. Les conséquences ont été lourdes : perturbations au niveau de la chaîne d'approvisionnement et préjudice économique estimé à 2,5 milliards de dollars pour l'économie britannique. Cet incident souligne à quel point les systèmes de production modernes sont aujourd'hui interdépendants, mais aussi et surtout vulnérables.

De tels incidents montrent qu'il est de plus en plus urgent pour les entreprises manufacturières d'adopter des cadres de cybersécurité qui tiennent compte des opérations numériques et des chaînes d'approvisionnement connectées, et qui ne se concentrent plus exclusivement sur les réseaux informatiques classiques avec des environnements OT segmentés ou hors ligne.

Transformation numérique, évolution du paysage des menaces et modification de la réglementation

Au fur et à mesure que la transformation numérique remodèle l'industrie manufacturière, les cybermenaces gagnent en ampleur mais aussi en complexité. Si les systèmes d'exploitation industriels, les appareils connectés et les usines intelligentes permettent d'accroître l'efficacité, ceux-ci augmentent également la surface d'attaque. Aux États-Unis, un cadre volontaire avait déjà été mis en place par le NIST il y a 10 ans. Mais en Europe, les choses ne se sont pas passées de la même manière.

Les premières mesures adoptées par les États-Unis pour répondre à cette situation ont donc été prises avec la publication par le National Institute of Standards and Technology (NIST) d'une première version publique du Cybersecurity Framework (CSF) 2.0 Manufacturing Profile. Cette version actualisée offre aux entreprises manufacturières un cadre de référence pratique et en phase avec les réalités actuelles leur permettant de renforcer leur résilience sans nuire à leur productivité.

Le cadre de cybersécurité initial du NIST, publié en 2014, est devenu une norme de facto dans le domaine de la gestion des cyberrisques. La version 2.0, publiée en 2024, reflète dix ans d'évolution technologique et élargit son champ d'application, qui ne se limite plus aux technologies de l'information (IT), mais englobe également les technologies opérationnelles (OT) et les systèmes cyber-physiques (CPS).

Quant à la célèbre directive européenne NIS 2 (UE 2022/2555), elle sera transposée dans la législation belge et néerlandaise et définira les mesures de gestion des risques, les procédures de signalement des incidents, la sécurité de la chaîne d'approvisionnement, mais aussi la responsabilité des dirigeants et les sanctions applicables.

Il était vraiment urgent, tant pour les États-Unis que pour l'Europe, que ces efforts de transposition vers les systèmes OT soient enfin concrétisés. En Europe, où la norme NIS est combinée à la norme industrielle ISO de cybersécurité IEC 62443 et à certaines extensions ISO/IEC 27001 et CyFun®, cela donne toutefois lieu à un véritable casse-tête. Mais, comme je l'ai déjà mentionné, mon intention est avant tout de mettre en avant les leçons tirées de l'incident qui a touché Jaguar et de présenter 'The Manufacturing Profile', une adaptation du Cadre de Cybersécurité adopté aux États-Unis.

Govern

La grande nouveauté ici réside dans l'ajout de la fonction 'Govern', qui souligne l'importance du leadership, des risques existant au niveau de la chaîne d'approvisionnement et de la gestion des identités, qui sont à présent considérés comme des piliers stratégiques à part entière et non plus comme des éléments accessoires. Le Manufacturing Profile convertit ce cadre générique en directives spécifiques à chaque secteur pour les environnements de production et aide les fabricants à :

• Identifier et protéger les actifs de production critiques.
• Détecter et réagir en temps utile à tout comportement anormal dans les systèmes connectés.
• Assurer une reprise rapide des activités après un incident sans compromettre la continuité des opérations.

Il est essentiel que le profil reconnaisse explicitement la convergence entre les technologies de l'information (IT) et les technologies opérationnelles (OT), car il s'agit là d'un important catalyseur d'innovation, mais aussi d'une vulnérabilité fondamentale. Cette intégration permet l'accès en temps réel aux données de production, à l'analyse cloud et à l'optimisation pilotée par l'IA, ce qui conduit à une efficacité accrue, à une maintenance prédictive et à une meilleure prise de décision. Mais dans le même temps, les systèmes d'exploitation sont exposés à des menaces qui ne concernaient autrefois que les réseaux informatiques.

Leçon apprise : les risques liés aux tiers

L'attaque dont a été victime Jaguar Land Rover illustre bien que les cyberrisques ne touchent pas uniquement les sites de production, l'origine de l'attaque ayant été identifiée chez un partenaire externe. Cela met clairement en évidence la dépendance des entreprises manufacturières vis-à-vis de leurs fournisseurs, de leurs partenaires logistiques et des services de maintenance à distance.

Les cyberattaquants parviennent souvent à s'introduire dans les systèmes via des fournisseurs chez qui la gestion des droits d'accès est obsolète, les comptes sont partagés ou la surveillance est insuffisante. Une étude menée récemment par le Ponemon Institute a d'ailleurs révélé qu'au cours de l'année dernière près de la moitié des entreprises industrielles ont été confrontées à un cyberincident impliquant des tiers. En Belgique, l'AZ Monica en a d'ailleurs récemment fait la triste expérience.

Afin de limiter ces risques, le Manufacturing Profile du NIST propose des mesures concrètes, dont notamment :

• Répertorier toutes les connexions externes, telles que les partenaires de maintenance ayant accès aux réseaux de production.
• Mettre en œuvre une politique d'accès de type 'zero trust' (confiance zéro), exigeant une nouvelle authentification pour accéder aux systèmes sensibles.
• Surveiller en permanence toute utilisation anormale des accès, p. ex. ceux qui se font en dehors des heures normales ou à partir de lieux inhabituels.

Lorsque ces principes sont appliqués de manière cohérente, les menaces provenant de tiers peuvent être rapidement contenues, voire totalement évitées. Dans un environnement de production moderne, il n'est tout simplement plus possible de faire confiance à qui que ce soit sans vérification préalable.

La sécurité au service de la productivité

Une cybersécurité efficace ne ralentit pas nécessairement la production. Au contraire, un cadre de sécurité bien pensé augmente la productivité en limitant les temps d'arrêt, en réduisant le besoin de reproduction et en améliorant l'intégrité des données.

Pour ce faire, le Manufacturing Profile du NIST adopte une approche évolutive et basée sur les risques. Au lieu de vouloir tout sécuriser en même temps, les entreprises peuvent donner la priorité aux processus dont la compromission aurait le plus grand impact sur la sécurité, les finances ou la réputation.

Parmi les mesures importantes pouvant être prises, on peut citer :

• La segmentation du réseau entre IT et OT afin de limiter la propagation des incidents.
• Le contrôle d'accès basé sur les rôles (RBAC) afin que les employés et les fournisseurs n'aient accès qu'aux fonctionnalités strictement nécessaires.
• L'authentification à multiples facteurs (MFA) pour tous les accès externes, en particulier pour les fournisseurs et les utilisateurs privilégiés.
• L'analyse contextuelle et comportementale permettant de prendre des décisions de sécurité en temps réel et basées sur les risques.

Une fois correctement mises en œuvre, la plupart de ces mesures peuvent être intégrées dans les systèmes existants sans perturber leur fonctionnement outre mesure. Il en résulte une résilience adaptative qui combine un accès sécurisé et sans friction avec une protection de haut niveau.

L'avenir : l'identité comme nouveau périmètre

La gestion des identités et des accès (en anglais : Identity & Access Management ou IAM) devient le point de contrôle central dans les environnements de production numériques. Les fabricants doivent authentifier, autoriser et surveiller chaque utilisateur, chaque appareil et chaque application, en particulier dans les environnements où le personnel de production partage des postes de travail, des bornes et des appareils mobiles.

Les pares-feux et les mots de passe ne suffisent plus pour contrer les attaques pilotées par l'IA. Les adversaires utilisent en effet l'automatisation et l'intelligence artificielle pour contourner les anciens systèmes de sécurité, imiter les comportements légitimes et exploiter les accès oubliés. La sécurité basée sur l'identité repose quant à elle sur le principe que la confiance doit être continuellement méritée, et jamais donnée pour acquise.

Le Manufacturing Profile s'inscrit parfaitement dans ce cadre en mettant l'accent sur :

• La vérification continue de qui (ou de ce qui) demande l'accès, et d'où cet accès est demandé.
• Les principes du moindre privilège, selon lesquels les droits sont strictement limités aux tâches à accomplir.
• L'automatisation et l'analyse pour détecter les anomalies plus rapidement que les équipes humaines et réduire les contrôles d'accès manuels.

En plaçant l'identité au cœur de leur stratégie de sécurité, les entreprises se rendent moins vulnérables et renforcent le niveau de confiance dans les opérations connectées. La gestion uniforme des identités permet aux équipes de collaborer plus rapidement, d'innover en toute sécurité et de reprendre leurs activités plus rapidement après un incident.

Conclusion : this is not a compliancy drill

L'introduction du Manufacturing Profile du CSF 2.0 du NIST offre au secteur l'occasion de redéfinir la sécurité de la production à l'ère du numérique. Et c'est une très bonne chose, dans la mesure où, à l'avenir, les cyberattaques telles que celle subie par Jaguar Land Rover ne feront que se multiplier et devenir plus sophistiquées.

Les entreprises manufacturières qui considèrent la cybersécurité comme une fonction stratégique – et non comme un simple exercice de conformité – seront les mieux placées pour innover en toute sécurité et maintenir un climat de confiance au sein de leur écosystème. L'avenir de l'industrie manufacturière ne dépend pas seulement de ce que nous construisons, mais aussi du niveau de sécurité avec lequel nous construisons.

Un accès sécurisé et sans friction et une gestion rigoureuse des identités permettent aux fabricants de moderniser leurs processus en toute confiance : vérifier chaque connexion, protéger chaque identité et assurer la continuité des opérations.

Les Américains déclarent avoir bien compris qu'il ne s'agit plus d'un simple exercice de conformité, mais bien d'une priorité stratégique.