Réseau IP et cybersécurité industrielle

Sur Shodan, un automate mal exposé se cherche exactement comme un serveur web oublié. La différence, c'est qu'un serveur web piraté perd des données — un automate piraté peut arrêter une production, ou pire.

Nos deux premiers articles ont couvert la GTB et la sûreté électronique comme deux disciplines à part entière. Elles le sont. Mais elles reposent toutes les deux sur la même chose : un réseau IP, avec ses câbles, ses VLAN, ses protocoles et ses failles. Ignorer cette couche, c'est construire une GTB exemplaire sur des fondations qu'on n'a jamais vérifiées.

01 — Fondations

La colonne vertébrale invisible

Avant même de parler de cybersécurité, un réseau mal câblé ou plat — sans segmentation — est déjà une faille. Cat 6A et fibre pour le débit, VLAN dédiés pour cloisonner ce qui doit l'être.

02 — IT vs OT

Deux mondes, une seule menace

L'IT gère l'information. L'OT pilote un processus physique — automates, capteurs, actionneurs. La GTB et la sûreté électronique sont, au sens strict, des réseaux OT.

03 — Modèle de Purdue

L'architecture de référence

6 niveaux du terrain à l'entreprise

Chaque niveau est un segment réseau distinct. Aucun flux n'est autorisé par défaut entre eux — c'est la règle qui structure tout le reste.

04 — DMZ industrielle

Le tampon qui sépare IT et OT

Deux pare-feux, un bastion, aucun accès direct entre les deux mondes. C'est elle qui empêche un rançongiciel du réseau bureautique d'atteindre un automate de production.

05 — Protocoles industriels

Trois logiques, un même terrain de chasse

Modbus reste ouvert et non chiffré. OPC UA a été conçu sécurisé — mais des failles critiques y ont quand même été trouvées entre 2022 et 2026. Chacun a son port de signature sur Shodan.

06 — Réglementation

Ce que la loi impose déjà

2027 application intégrale du Cyber Resilience Act

Cyber Resilience Act, obligations CERT-FR, IEC 62443 : le filet réglementaire se resserre vite, jusqu'aux équipements industriels eux-mêmes.

07 — Vulnérabilités OT

On ne patche pas un automate comme un serveur

Arrêter la production pour un correctif n'est jamais anodin. La priorisation par le risque réel remplace le tout-CVSS, avec des mesures compensatoires documentées.

08 — Zero Trust & NDR

La supervision ne dort plus

Micro-segmentation, authentification continue, surveillance comportementale du trafic — y compris sur les segments réputés fiables.

Le réseau IP, fondation invisible

Le câblage structuré (norme ISO/IEC 11801) reste la base : catégories cuivre 5e à 8, fibre optique pour le backbone. En 2026, la Cat 6A (10 Gbps sur 100 m, compatible PoE) est le standard recommandé pour les postes. Au-dessus, le VLAN segmente logiquement ce réseau physique : il limite les déplacements latéraux d'un attaquant, réduit l'exposition des systèmes critiques. Un VLAN IoT/OT dédié, distinct du réseau bureautique, n'est plus une option — c'est un prérequis.

IT, OT : pourquoi la distinction change tout

L'IT (Information Technology) gère l'information — bureautique, serveurs, applications. L'OT (Operational Technology) pilote un processus physique : automates, capteurs, actionneurs. Ce distinguo n'est pas théorique : nos deux premiers articles — GTB et sûreté électronique — décrivent, sans le nommer ainsi, deux réseaux OT. La cybersécurité OT ne peut pas être une copie conforme de la cybersécurité IT : contraintes temps réel, cycles de validation longs, criticité de la disponibilité.

Le modèle de Purdue et la DMZ industrielle

Le modèle de Purdue divise l'environnement industriel en niveaux hiérarchiques, du terrain jusqu'à l'IT d'entreprise. Chaque niveau est un segment réseau distinct, avec des règles de pare-feu explicites — aucun flux n'est autorisé par défaut. Entre OT et IT, une DMZ industrielle sert de tampon : schéma type IT → pare-feu → DMZ (historisation, proxies, bastion) → pare-feu → OT, sans accès direct ni flux latéral. Une DMZ bien conçue comporte typiquement deux pare-feux industriels de marques différentes et un bastion avec authentification multifacteur.

Protocoles industriels : trois logiques, un même terrain de chasse

Ce que couvrent nos deux premiers articles sur le terrain (BACnet côté GTB, ONVIF et OSDP côté sûreté) repose sur les mêmes fondations réseau que ces protocoles génériques :

Modbus

Protocole ouvert, largement déployé sur les automates — mais aucun mécanisme de sécurité natif. Port de signature : 502.

OPC UA

Conçu avec la sécurité intégrée (chiffrement, authentification) — mais des failles critiques y ont été documentées entre 2022 et 2026 (Claroty, Kaspersky). Port : 4840.

BACnet/IP

Déjà détaillé dans notre article GTB. Port de signature : 47808 — indexable sur Shodan au même titre que les deux précédents.

Sur Shodan, ces trois protocoles ont chacun leur filtre de recherche dédié. Ce n'est pas un détail technique : c'est la preuve que l'exposition d'un automate se mesure exactement comme celle d'un serveur.

Ce que la réglementation impose déjà

Le Cyber Resilience Act impose aux fabricants, importateurs et distributeurs de produits numériques connectés — dont les équipements industriels — une sécurité dès la conception, des mises à jour garanties au moins 5 ans, un signalement de vulnérabilité sous 24h. Calendrier : notification obligatoire des vulnérabilités actives à l'ENISA dès le 11 septembre 2026, application intégrale au 11 décembre 2027. Sanctions jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires mondial. En parallèle, le CERT-FR (opéré par l'ANSSI) publie alertes et panorama annuel de la cybermenace — la norme IEC 62443 reste le référentiel technique de cybersécurité industrielle le plus complet, couvrant tout le cycle de vie des systèmes.

Gérer les vulnérabilités sans arrêter la production

La gestion des vulnérabilités en environnement OT se heurte à des contraintes sans équivalent en IT pur : impossible de patcher un automate sans interrompre le processus qu'il pilote, firmwares obsolètes sans correctif disponible, systèmes legacy critiques parfois en service depuis plus de quinze ans sans mise à jour. L'approche recommandée priorise le risque réel — le framework SSVC plutôt que le seul score CVSS — avec des mesures compensatoires documentées et un patch management aligné sur les cycles de maintenance industriels, jamais sur le cycle IT classique.

Zero Trust et supervision moderne

Le modèle Zero Trust appliqué à l'OT ajoute : micro-segmentation des zones de contrôle, authentification par certificat pour les communications machine-à-machine, surveillance continue du comportement des équipements. Le NDR (Network Detection and Response) couvre tout le trafic interne — pas seulement le périmètre — pour détecter les anomalies, y compris sur des segments réputés fiables. C'est la direction que prend la discipline : la confiance ne se donne plus une fois pour toutes, elle se vérifie en continu.

Synthèse

GTB, sûreté, réseau : trois articles, un seul système

Le réseau IP ne referme pas seulement cet article — il boucle la trilogie. Ce qui pilote le bâtiment (GTB), ce qui le protège (sûreté) et ce qui les relie (réseau) convergent vers la même exigence : une architecture pensée comme un tout, pas comme trois lots qui s'ignorent. C'est cette convergence, réglementée et certifiable, que nous détaillons dans notre article Smart Building.

Questions fréquentes

Quelle est la différence entre IT et OT ? +

L'IT (Information Technology) gère l'information — bureautique, serveurs, réseau d'entreprise. L'OT (Operational Technology) pilote un processus physique — automates, capteurs, actionneurs. La GTB et la sûreté électronique sont, au sens strict, des réseaux OT.

Qu'est-ce que le modèle de Purdue ? +

Une architecture de référence qui divise l'environnement industriel en niveaux hiérarchiques, du terrain (capteurs, actionneurs) jusqu'aux systèmes d'entreprise IT, avec une DMZ industrielle entre les niveaux OT et IT.

Pourquoi Modbus est-il considéré comme moins sûr qu'OPC UA ? +

Modbus est un protocole ouvert sans mécanisme de sécurité natif (pas de chiffrement, pas d'authentification). OPC UA a été conçu avec la sécurité intégrée, même si des vulnérabilités critiques y ont été documentées entre 2022 et 2026.

Qu'est-ce que le Cyber Resilience Act (CRA) ? +

Un règlement européen imposant des obligations de cybersécurité aux fabricants, importateurs et distributeurs de produits numériques connectés, y compris les équipements industriels — notification des vulnérabilités dès septembre 2026, application intégrale en décembre 2027.

Peut-on patcher un automate industriel comme un serveur IT ? +

Non. Arrêter un automate pour appliquer un correctif suppose d'interrompre le processus de production qu'il pilote. L'approche recommandée priorise le risque réel (framework SSVC) plutôt que le seul score CVSS, avec des mesures compensatoires documentées.

Sources

Les seuils, échéances et obligations réglementaires cités (Cyber Resilience Act, CERT-FR) évoluent : à revérifier dans les textes consolidés avant toute décision d'investissement.

Sans réseau fiable, la GTB et la sûreté ne sont que des promesses