Pourquoi la cybersécurité des usines doit inclure un plan de reprise

Une cyberattaque contre une usine ne prend pas fin dès lors que le logiciel malveillant a été supprimé du réseau. La production peut rester suspendue, les systèmes de contrôle peuvent ne plus être fiables, et les ingénieurs peuvent se trouver dans l’impossibilité de vérifier si les configurations des machines, les paramètres de sécurité ou les recettes de production ont été modifiés. Même lorsque le service informatique de l’entreprise a rétabli la messagerie électronique, les fichiers et les applications métier, l’usine peut rester hors ligne car les technologies opérationnelles obéissent à une logique différente. C’est pourquoi la cybersécurité industrielle ne peut pas reposer uniquement sur la prévention. Les pare-feu, la segmentation du réseau, les contrôles d’accès et la formation des employés restent essentiels, mais ils ne répondent pas à la question cruciale qui se pose dès qu’un incident touche la production : comment l’entreprise peut-elle rétablir ses opérations sans provoquer une deuxième défaillance en procédant à un redémarrage non sécurisé ou prématuré ?

Pour les industriels, la reprise ne se résume pas à la simple remise en service des serveurs. Elle nécessite d’avoir l’assurance que les processus physiques, le comportement des machines et les fonctions de sécurité restent intacts. Une chaîne de production redémarrée avec une logique de contrôle corrompue peut sembler opérationnelle tout en produisant des produits défectueux, en endommageant les équipements ou en exposant les employés à des dangers. La pression pour reprendre rapidement la production peut donc entrer en conflit avec la nécessité de vérifier que l'usine est sûre. Un plan de reprise crédible résout ce conflit avant qu'une attaque ne se produise.

La restauration aux paramètres d'usine diffère de la restauration informatique

La reprise après sinistre traditionnelle s'articule généralement autour des systèmes, des applications et des données. Une entreprise identifie les services critiques, effectue des sauvegardes et définit l'ordre dans lequel ceux-ci doivent être restaurés. Les mêmes principes s'appliquent dans le secteur industriel, mais les technologies opérationnelles ajoutent une dimension supplémentaire, car ces systèmes contrôlent des équipements physiques.

Un automate programmable ne se contente pas de stocker des informations ; il gère la séquence des mouvements d'une machine. Une recette de production peut définir les températures, les pressions, les vitesses et les tolérances. Un contrôleur de sécurité peut empêcher un opérateur d'accéder à une zone dangereuse lorsque l'équipement est en marche. Une restauration incorrecte de ces systèmes peut avoir des conséquences bien plus graves que la simple perte de données.

L'environnement de production est également fortement interconnecté. Une seule ligne de production peut dépendre de contrôleurs, de variateurs, de capteurs, de systèmes de vision, de réseaux industriels, de logiciels d'exécution de la production et d'interfaces avec les systèmes de planification d'entreprise. La remise en service d'un composant ne garantit pas le bon fonctionnement du processus, en particulier lorsque les versions du système, les configurations et les paramètres de communication ne correspondent plus.

La reprise après sinistre constitue donc autant un défi technique qu'une mission de cybersécurité. Les équipes informatiques peuvent avoir une bonne compréhension de l'attaque et de l'infrastructure touchée, tandis que les ingénieurs de production savent quels systèmes doivent être restaurés ensemble et quels contrôles doivent être effectués avant que les équipements puissent être remis en service. Aucun des deux groupes ne peut gérer efficacement ce processus sans l'autre.

Le redémarrage le plus rapide n'est pas toujours le plus sûr

Lorsque la production s'arrête, la pression commerciale se fait immédiatement sentir. Les commandes sont retardées, les stocks s'accumulent et les clients commencent à demander quand les livraisons reprendront. La direction souhaite naturellement que l'interruption soit la plus courte possible, mais cette urgence peut inciter les équipes à rétablir les systèmes avant d'avoir pleinement saisi l'ampleur de l'incident.

Un contrôleur qui semble fonctionner correctement peut néanmoins comporter une logique altérée. Une sauvegarde peut être disponible, mais ne plus correspondre à la configuration de production validée. Un pirate peut avoir modifié des comptes utilisateurs, des paramètres d'accès à distance ou des seuils d'alarme sans perturber le système de manière visible.

Le danger ne se limite pas au sabotage délibéré. Les opérations de remise en état effectuées dans l'urgence peuvent être à l'origine de nouvelles erreurs. Les ingénieurs peuvent charger une version erronée du programme, négliger une modification locale ou reconnecter une machine avant que les systèmes environnants ne soient prêts.

Le plan de reprise doit donc définir les conditions dans lesquelles chaque partie de l'usine peut être remise en service. Ces conditions peuvent inclure une validation technique, des contrôles de sécurité, la confirmation des paramètres de production et l'approbation des responsables désignés. La décision de redémarrage doit reposer sur des preuves plutôt que sur l’hypothèse selon laquelle un système apparemment au repos est un système sain. L’objectif n’est pas de retarder inutilement la production, mais d’éviter qu’un redémarrage précipité n’entraîne des dommages matériels, des défauts de qualité ou un deuxième arrêt encore plus long.

Les configurations « connues pour fonctionner correctement » sont plus importantes que les sauvegardes classiques

Les usines conservent souvent des sauvegardes des contrôleurs et des programmes des machines, mais l'existence d'un fichier ne prouve pas qu'il soit à jour, complet ou qu'il puisse être restauré en toute sécurité. Une sauvegarde peut avoir été copiée après qu'une configuration a déjà été compromise, tandis que les versions plus anciennes peuvent ne pas inclure des modifications légitimes apportées lors de la maintenance ou de l'amélioration des processus.

La reprise dépend donc du maintien de configurations dont la fiabilité est avérée : des versions vérifiées de la logique de commande, des paramètres de sécurité, des paramètres machine et des configurations réseau auxquelles l'entreprise peut se fier.

Ces enregistrements doivent comporter des informations claires sur leur propriétaire et l'historique des versions. Les ingénieurs doivent savoir quand une configuration a été validée, à quelle machine elle correspond et quelles versions matérielles et logicielles elle nécessite. Les modifications apportées directement sur les équipements doivent être consignées et ne pas rester des connaissances locales non documentées.

Les copies hors ligne ou isolées revêtent une importance particulière, car les sauvegardes connectées en permanence au même environnement peuvent être chiffrées ou corrompues lors d'une attaque. L'entreprise doit également vérifier si les fichiers peuvent effectivement être restaurés. Une sauvegarde qui n'a jamais été chargée sur un matériel de remplacement offre moins de garanties qu'il n'y paraît.

Pour les machines héritées, les difficultés peuvent notamment résider dans l'utilisation de logiciels obsolètes, l'indisponibilité des licences ou un matériel qui n'est plus fourni par le fabricant. La planification de la reprise après sinistre doit permettre d'identifier ces dépendances avant qu'une situation d'urgence ne les mette en évidence.

Les priorités de reprise doivent respecter les dépendances de production

Tous les systèmes ne peuvent pas être remis en service simultanément, et l'ordre dans lequel cela se fait a son importance. Une entreprise pourrait être tentée de commencer par la chaîne de production la plus visible, même si celle-ci dépend de systèmes auxiliaires qui ne sont pas encore disponibles.

Un plan de reprise doit recenser les interdépendances entre les équipements auxiliaires, les systèmes de sécurité, les réseaux, les machines et les logiciels de production. Il se peut que les systèmes d'air comprimé, de gestion de l'alimentation électrique, de refroidissement ou de manutention doivent être remis en service avant la ligne de production elle-même. Les services d'authentification et la synchronisation horaire peuvent s'avérer nécessaires avant que les contrôleurs et les applications puissent communiquer de manière fiable.

Cet ordre doit également refléter les priorités de l'entreprise. Une usine peut choisir de relancer une gamme de produits d'importance stratégique avant d'autres activités, mais cette décision doit être compatible avec les exigences techniques et de sécurité. La direction peut définir quels produits et quels clients sont les plus importants, tandis que le service d'ingénierie détermine ce qui peut être remis en service en toute sécurité et dans quel ordre.

Cette carte des dépendances doit être suffisamment détaillée pour orienter les interventions, sans pour autant être trop complexe au point que personne ne puisse s'en servir en cas d'incident. Les plans les plus efficaces identifient les systèmes critiques, les services indispensables, les équipes responsables et les éléments de preuve requis avant de passer à l'étape suivante.

Le fonctionnement manuel doit être planifié, et non improvisé

Certaines usines peuvent maintenir une production limitée, manuellement ou en recourant à des modes de fonctionnement simplifiés, lorsque les systèmes numériques ne sont pas disponibles. Cela peut réduire l'impact d'une attaque, mais uniquement si le processus de remplacement a été conçu et mis en pratique au préalable.

Les employés doivent savoir quelles tâches peuvent être effectuées en toute sécurité sans automatisation classique, quels contrôles qualité doivent être mis en place et comment les données de production seront enregistrées. Les procédures manuelles peuvent nécessiter davantage de personnel, des cadences plus lentes et un autre type de supervision.

Ce processus doit également être encadré par des limites claires. Une machine conçue pour fonctionner de manière automatisée peut ne pas être adaptée à une utilisation manuelle prolongée, tandis que les employés qui n'effectuent plus certaines tâches de manière régulière peuvent manquer de l'assurance ou de l'expérience nécessaires.

Les entreprises doivent éviter de considérer le fonctionnement manuel comme une solution de secours universelle. Dans certains contextes, l'arrêt de la production reste la décision la plus sûre. Le plan de reprise doit établir une distinction entre les processus pouvant se poursuivre en mode dégradé et ceux qui nécessitent une restauration complète avant la reprise du travail.

Les services informatiques, opérationnels, de sécurité et de production ont besoin d'une structure unique de gestion des incidents

Les incidents cybernétiques mettent souvent en évidence des divisions au sein de l'organisation qui étaient gérables dans le cadre d'un fonctionnement normal. Le service informatique peut se concentrer sur la neutralisation de l'attaquant, les équipes chargées des technologies opérationnelles (OT) sur la remise en état des équipements, les responsables de production sur le rendement et les spécialistes de la sécurité sur les risques. En l'absence d'une structure de commandement commune, ces priorités peuvent entrer en conflit.

Un plan de reprise d'activité d'une usine doit désigner la personne chargée de diriger l'intervention, celle habilitée à isoler les systèmes et celle qui autorise le redémarrage des équipements. Il doit définir les modalités de transmission des décisions entre les équipes et les sites, en particulier lorsque l'incident touche plusieurs installations.

Les partenaires externes peuvent également jouer un rôle essentiel. Les constructeurs de machines, les intégrateurs d'automatismes et les éditeurs de logiciels disposent souvent de connaissances spécialisées dont le fabricant ne dispose pas en interne. Il convient de préparer à l'avance leurs coordonnées, les procédures d'accès et leurs responsabilités contractuelles, avant que l'incident ne survienne, plutôt que de les négocier alors que la production est déjà à l'arrêt.

L'entreprise devrait également plan la manière dont l'accès à distance des fournisseurs sera géré pendant la phase de reprise. Rétablir trop tôt les connexions externes peut compromettre les mesures de confinement, tandis que les bloquer complètement risque d'empêcher les ingénieurs de bénéficier de l'assistance dont ils ont besoin.

Les tests de reprise après sinistre doivent aller au-delà d'un simple exercice théorique

De nombreuses organisations discutent de scénarios de cyberattaques dans leurs salles de réunion, ce qui permet de clarifier les rôles et la communication. Les usines ont également besoin de tests pratiques visant à vérifier si les systèmes peuvent être remis en état de marche dans des conditions réalistes.

Un exercice de reprise peut consister à charger un programme de contrôleur dont le bon fonctionnement est avéré, à reconfigurer un poste de travail industriel ou à restaurer une application de production dans un environnement isolé. Les équipes peuvent ainsi vérifier si la documentation est exacte, si du matériel de remplacement est disponible et s'il est possible de récupérer les mots de passe ou les licences en cas de besoin.

Cet exercice doit inclure une vérification opérationnelle et ne pas s'arrêter au simple démarrage du logiciel. Les ingénieurs doivent s'assurer que les capteurs, les alarmes, les mouvements des machines et les verrouillages de sécurité fonctionnent comme prévu. Les équipes chargées de la qualité devront peut-être inspecter les premiers produits avant que la ligne ne reprenne son rythme de production normal.

Les tests permettent souvent de mettre en évidence des dépendances qui n'ont pas été mentionnées dans la documentation. Une application restaurée peut s'appuyer sur un ancien pilote, une machine peut nécessiter un ordinateur portable d'ingénierie spécifique, ou un système de sécurité peut nécessiter l'intervention d'un spécialiste indisponible en dehors des heures de travail.

Ces conclusions sont précieuses car elles transforment une capacité supposée en une capacité réelle. C'est en s'entraînant que l'on améliore les plans de reprise, et non pas uniquement grâce à la confiance en soi.

Le contrôle qualité fait partie intégrante de la cyber-récupération

Lorsqu'un incident informatique affecte les systèmes de production, l'entreprise doit se demander si les produits fabriqués avant la détection de l'incident restent fiables. Un pirate pourrait avoir modifié progressivement les paramètres des processus, tandis que des données corrompues pourraient avoir affecté la traçabilité ou les résultats des contrôles.

Le processus de reprise va donc au-delà des machines. Les équipes chargées de la qualité peuvent être amenées à mettre des stocks en quarantaine, à examiner les registres de production et à déterminer quels lots nécessitent une inspection supplémentaire. Si les données de traçabilité sont incomplètes, l'entreprise peut être contrainte de mettre en place des mesures de confinement plus étendues que ne le suggéreraient les seules preuves techniques.

Les premiers produits fabriqués après le redémarrage méritent également une attention particulière. Une machine peut passer un test fonctionnel de base tout en fonctionnant encore en dehors des tolérances requises pour garantir une qualité constante. Une montée en puissance contrôlée, des prélèvements supplémentaires et une supervision technique permettent d'identifier les problèmes avant la reprise de la production normale.

Ce lien entre la cybersécurité et la qualité passe souvent inaperçu lorsque l'incident est principalement considéré comme une panne informatique. Dans le secteur industriel, l'intégrité des systèmes et celle des produits sont étroitement liées.

Les plans de relance doivent s'appuyer sur une stratégie en faveur d'un environnement sain

La restauration de systèmes compromis au sein du même réseau, sans isolation suffisante, peut permettre à un pirate de récupérer l'accès ou de propager l'attaque vers des équipements nouvellement remis en service. Les fabricants ont besoin d'un environnement sécurisé dans lequel les systèmes peuvent être examinés, restaurés et testés avant leur remise en service.

Cela peut impliquer la mise en place de réseaux de secours distincts, de postes d'ingénierie isolés et de voies de transfert contrôlées pour les logiciels et configurations approuvés. Les appareils doivent être analysés et vérifiés avant leur connexion, tandis que les identifiants d'accès compromis lors de l'incident doivent être remplacés.

L'entreprise doit également déterminer dans quelle mesure il convient de reconstruire l'environnement plutôt que de le réparer. La réinstallation d'un poste de travail à partir d'une image fiable peut offrir une plus grande garantie que de tenter de le nettoyer, mais les anciens systèmes industriels peuvent être difficiles à recréer sans nuire à la compatibilité.

La stratégie doit trouver un juste équilibre entre la confiance, le temps et la faisabilité opérationnelle. La décision s'avère beaucoup plus facile à prendre lorsque des images de remplacement, des fichiers de configuration et des inventaires du matériel sont déjà disponibles.

Les équipements anciens nécessitent une attention particulière

Les usines continuent souvent d'utiliser leurs machines pendant des décennies, bien après que les logiciels et systèmes d'exploitation associés ont cessé de bénéficier d'un support officiel. Ces équipements peuvent être difficiles à mettre à jour et encore plus difficiles à restaurer.

Un système obsolète peut dépendre d'un ordinateur, d'un câble, d'une clé de licence ou d'une application technique spécifiques qui ne sont plus facilement disponibles. Il se peut que l'entreprise ne compte qu'un seul employé se souvenant de la configuration du système.

La planification de la reprise après sinistre doit identifier ces dépendances fragiles et préserver les outils nécessaires à leur restauration. Cela peut inclure du matériel de secours, des supports d'installation archivés, de la documentation hors ligne et des relations avec des prestataires de services spécialisés.

Lorsque le remplacement n'est pas possible dans l'immédiat, l'entreprise peut réduire les risques grâce à la segmentation, à un accès restreint et à une surveillance étroite. Aucune de ces mesures ne dispense toutefois de la nécessité de comprendre comment l'actif serait restauré en cas de défaillance ou de compromission.

La machine la plus ancienne de l'usine peut constituer l'étape la plus longue du processus de remise en état.

Un plan de reprise doit inclure des décisions stratégiques

Les équipes techniques peuvent rétablir le fonctionnement des systèmes, mais la direction doit déterminer quel niveau de perturbation l'entreprise est en mesure de tolérer et quels compromis elle est prête à accepter.

L'usine devrait-elle redémarrer à capacité réduite alors que certains systèmes restent indisponibles ? Est-il possible de fabriquer des produits sans traçabilité numérique complète ? Quels clients devraient être prioritaires lors de la reprise de la production ? À quel moment l'entreprise doit-elle informer les autorités de régulation, les assureurs ou ses partenaires commerciaux ?

Ces décisions sont difficiles à prendre en période de crise, car les informations sont incomplètes et la pression financière est forte. Un plan de reprise ne peut pas prévoir toutes les réponses à l'avance, mais il peut définir des principes, des seuils et les compétences décisionnelles.

L'entreprise doit également définir les informations dont la direction a besoin. Un rapport d'état pertinent fait la distinction entre les systèmes qui ont été techniquement rétablis, les processus qui ont été validés sur le plan opérationnel et la production qui a retrouvé un niveau de qualité acceptable. Il s'agit là d'étapes distinctes, même si elles sont parfois présentées comme une seule et même étape.

La préparation à la reprise devrait influencer les investissements technologiques

Un nouveau système industriel est souvent évalué en fonction de sa productivité, de son niveau d'intégration et de son prix d'achat. La récupérabilité mérite toutefois une attention tout aussi grande.

Les fabricants devraient se demander s'il est possible d'exporter les configurations, dans quels délais du matériel de remplacement peut être obtenu et si le fournisseur prend en charge les sauvegardes hors ligne et la restauration contrôlée. Les systèmes propriétaires qui ne peuvent être restaurés sans l'intervention d'un prestataire externe peuvent présenter un risque caché pour la continuité des activités.

Le même principe s'applique aux plateformes connectées et aux services cloud industriels. L'entreprise doit comprendre ce qui se passe lorsque le service n'est pas disponible, comment les données peuvent être récupérées et si les opérations locales peuvent se poursuivre en mode dégradé.

Les exigences en matière de reprise après sinistre doivent être prises en compte dès la phase d'acquisition, plutôt que d'être ajoutées une fois que la technologie est devenue indispensable à la production.

Le plan doit rester à jour

Les usines sont en constante évolution. Les machines sont modernisées, les chaînes de production sont reconfigurées et les versions logicielles évoluent, ce qui signifie qu'un plan de reprise peut devenir obsolète même s'il était tout à fait exact au moment de sa rédaction.

La responsabilisation est donc essentielle. Les équipes désignées doivent vérifier régulièrement les configurations, les dépendances et les coordonnées. Tout changement important en production doit donner lieu à une mise à jour, tandis que les exercices de reprise doivent permettre de vérifier que le plan correspond toujours à la réalité.

La documentation doit également rester accessible en cas d'incident. Un plan stocké uniquement sur le réseau compromis risque de ne pas être disponible au moment où on en a le plus besoin. Des copies sécurisées hors ligne ou isolées garantissent que les équipes puissent toujours accéder aux procédures, aux inventaires et aux coordonnées. La préparation à la reprise d'activité n'est pas un simple document établi pour un audit. Il s'agit d'une capacité opérationnelle qui doit évoluer au rythme des changements au sein de l'usine.

La résilience commence avant l'attaque

Les fabricants ne peuvent pas éliminer tous les risques cybernétiques, d’autant plus que les usines sont de plus en plus connectées et dépendantes des logiciels. Ils peuvent toutefois réduire l’incertitude qui suit un incident. Un plan de reprise solide définit quels sont les systèmes les plus importants, comment les configurations fiables seront restaurées et qui décide du moment où la production peut reprendre. Il rassemble les services informatiques, les technologies opérationnelles (OT), la production, la qualité et la sécurité au sein d’un même processus, tout en reconnaissant qu’un redémarrage réussi nécessite bien plus que des ordinateurs en état de marche. La question centrale n’est pas de savoir à quelle vitesse l’entreprise peut remettre les machines en marche, mais à quelle vitesse elle peut revenir à une production sûre, stable et fiable. La prévention réduit le risque qu’une attaque atteigne l’atelier de production. La planification de la reprise détermine si l’entreprise peut survivre lorsque la prévention ne suffit pas.