Expliquer l'OT Zero Trust au conseil d'administration : plan de communication et d'action de 90 jours pour le CISO

Contexte : La confiance zéro OT n'est plus une option

Après l'incident du ransomware Colonial Pipeline en 2021, la Transportation Security Administration (TSA) américaine a publié plusieurs directives de sécurité, exigeant explicitement que les opérateurs de pipelines mettent en œuvre la segmentation du réseau et une architecture de confiance zéro. Parallèlement, des normes telles que NERC CIP-013 imposent des exigences similaires en matière de sécurité de la chaîne d'approvisionnement. Cependant, de nombreuses entreprises, confrontées à un contrôle réglementaire, affirment souvent verbalement avoir « atteint la confiance zéro » sans pour autant avoir déployé des mesures substantielles – en particulier à la frontière critique où se融合n l'OT et l'Internet des objets (IoT).

Le guide de la CISA intitulé *Adapter les principes de confiance zéro aux technologies opérationnelles* (IC3/2026/260429) indique que la confiance zéro doit être mise en œuvre de manière différenciée dans les environnements OT. La norme NIST SP 800-07 *Architecture de confiance zéro* s'applique à tous les réseaux, mais sa conception est davantage orientée vers les environnements informatiques. Les systèmes OT doivent fonctionner 24h/24 et 7j/7, comportent de nombreux équipements anciens et sont extrêmement sensibles à la latence et à la disponibilité, ce qui rend difficile l'application directe des principes tels que « vérification explicite, privilège minimal, présomption de compromission ».

Problème : Qu'est-ce qui préoccupe réellement le conseil d'administration ?

Lorsque le conseil d'administration ou le service d'audit demande : « Avons-nous atteint la confiance zéro ? », le RSSI se trouve face à un dilemme : soit donner une réponse affirmative vague, soit énumérer une multitude de détails techniques qui déconcertent les décideurs. La communication véritablement efficace consiste à redéfinir la confiance zéro comme un ensemble de principes de contrôle de sécurité vérifiables, plutôt que comme une architecture abstraite.

Par exemple, on peut expliquer au conseil : « Chaque utilisateur et chaque système doit prouver son identité et justifier ses besoins d'accès – c'est le cœur de la confiance zéro, et nous déployons actuellement des capacités d'authentification, d'autorisation et de journalisation d'audit correspondantes aux points d'entrée critiques. » En même temps, l'accent doit être mis sur les points de convergence entre l'IT et l'OT : les serveurs de rebond, les connexions aux historiciens, les chemins d'accès à distance et les référentiels d'identité interfonctionnels. Ce sont précisément les points de contrôle que les organismes de réglementation (tels que la TSA et la NERC) ne cessent de souligner.

Analyse technique et des risques

Surface d'attaque et chaîne d'exploitation Les attaques dans les environnements OT se propagent souvent le long de la frontière IT/OT : les attaquants infiltrent d'abord le réseau informatique par hameçonnage, puis se déplacent latéralement vers le réseau OT via des VPN ou des canaux d'accès à distance des fournisseurs. Une fois à l'intérieur, le manque de correctifs sur les équipements anciens, la segmentation laxiste et l'absence de surveillance permettent aux attaquants de perturber facilement les processus de production.

Actifs concernés Ceux-ci incluent les stations de compression, les salles de contrôle, les automates programmables (PLC), les serveurs d'historiciens, les unités terminales distantes (RTU), etc. La caractéristique commune de ces actifs est qu'ils doivent fonctionner de manière stable, sans pouvoir être redémarrés ou mis à jour fréquemment.### Niveaux de risque - Risque opérationnel : interruption de service entraînant une perte de revenus et des dommages aux infrastructures. - Risque de conformité : non-respect des directives TSA ou des normes NERC pouvant entraîner des amendes et des restrictions opérationnelles. - Risque financier : rançongiciel, coûts de restauration, augmentation des primes d'assurance. - Risque de marque : une attaque contre des infrastructures critiques nuirait gravement à la confiance du public.

Analyse de l'impact sur l'entreprise

Pour les entreprises possédant un environnement OT (énergie, fabrication, eau), la conséquence directe de l'absence de Zero Trust est une augmentation des coûts de réponse aux incidents de sécurité. Prenons l'exemple d'un exploitant de pipeline : un arrêt de six jours peut entraîner des pertes de plusieurs centaines de millions de dollars et déclencher des auditions au Congrès. De plus, l'accès à distance des fournisseurs tiers est un point faible courant – la CISA avertit régulièrement que de nombreuses attaques commencent par des connexions RDP non protégées par les fournisseurs.

D'un point de vue de la conformité, la directive TSA 2021-02C exige que les exploitants soumettent un plan de sécurité chaque année et le mettent à jour après tout changement majeur. La norme NERC CIP-013, quant à elle, exige que la gestion des fournisseurs intègre des considérations de risque liées à la chaîne d'approvisionnement. Les entreprises qui ne peuvent pas prouver leur progression en matière de Zero Trust risquent une surveillance réglementaire accrue ou la révocation de leur licence d'exploitation.

Tendances du secteur

• Le débat sur le Zero Trust dans l'OT est passé de « est-ce possible ? » à « comment le mettre en œuvre ? ». Un consensus se dégage dans le secteur :
• Commencer par les points de convergence IT/OT : les bastions, l'accès à distance et les systèmes d'identité inter-domaines sont les points de contrôle prioritaires.
• Renforcer l'accès à distance des fournisseurs : imposer l'authentification multifacteur (MFA), l'accès par proxy et l'audit des sessions.
• Simplifier la mesure de la maturité : adopter le cadre « gouvernance – protection – détection – réponse », en se concentrant sur la couverture des actifs à haut risque.

Ce n'est pas un cas isolé, mais un reflet de la mise à niveau mondiale de la sécurité des infrastructures critiques. Les États-Unis, l'UE (NIS2) et l'Australie renforcent tous la réglementation de la sécurité OT. Le Zero Trust passe d'un concept IT à une exigence de conformité OT.

Recommandations de défense et de réponse : plan d'action 90 jours

Jours 1 à 30 : Inventaire des actifs et des identités à la frontière IT/OT - Collaborer avec les ingénieurs OT pour identifier les actifs à fort impact (dimensions opérationnelles, de sécurité et de conformité). - Cartographier tous les utilisateurs et canaux capables d'atteindre le réseau OT (privilèges internes, VPN fournisseurs, interfaces cloud). - Classer les identités et les connexions selon le risque, l'impact et l'exposition. - Produit : une vue claire des « actifs OT critiques, points d'entrée et identités associés ».

Jours 31 à 60 : Endiguer l'accès à distance des fournisseurs pour des gains rapides - Imposer un proxy et activer la MFA pour toutes les sessions OT à distance. - Fermer les connexions RDP des fournisseurs qui ne sont plus utilisées. - Mettre en place une surveillance et une journalisation indépendantes des activités des tiers. - Établir une politique de contrôle d'accès des fournisseurs conforme aux exigences TSA et NERC CIP-013.

Jours 61 à 90 : Construire un tableau de bord de maturité simplifié et un récit - Discuter avec les équipes sécurité et OT pour déterminer des indicateurs adaptés à l'organisation (par exemple, « proportion d'actifs OT à fort impact pour lesquels une stratégie de segmentation est mise en œuvre », « proportion de chemins d'accès à distance à haut risque où la MFA et le proxy sont activés »).### Jours 61-90 : Construire un tableau de bord de maturité simplifié et un récit - Négocier avec les équipes sécurité et OT pour sélectionner des indicateurs adaptés à l'organisation (par exemple : « proportion d'actifs OT à fort impact ayant implémenté une stratégie de segmentation », « proportion de chemins d'accès à distance à haut risque ayant activé l'authentification multifacteur et un proxy »). - Regrouper les indicateurs sous trois thèmes : « Gouvernance », « Protection », « Détection et réponse ». - Définir pour chaque thème un « état actuel » et un « objectif pour le prochain trimestre ». - Livrable : un tableau de progression présentable au conseil d'administration, montrant clairement le niveau actuel d'adoption du Zero Trust, les améliorations réalisées en trois mois et les écarts restants.

SecurityPost Insight

L'adoption du Zero Trust dans l'OT ne nécessite pas de renverser l'architecture existante en une seule fois. Comme le souligne l'auteur de cet article, un plan de 90 jours mis à jour chaque trimestre est bien plus convaincant qu'une promesse de « mise en œuvre complète du Zero Trust ».

Le défi principal du CISO est de traduire le langage de la sécurité en langage métier. En se concentrant sur les frontières IT/OT, la cartographie des identités et le contrôle des fournisseurs, et en utilisant les exigences réglementaires comme moteur, le CISO peut améliorer progressivement la résilience de la sécurité sans interrompre les opérations. À l'avenir, avec la maturité de la détection des menaces basée sur l'IA et la réponse automatisée, le Zero Trust OT deviendra plus intelligent, mais les fondations resteront toujours un contrôle clair des identités et des accès. Les entreprises doivent commencer dès maintenant, en remplaçant les visions floues par des actions mesurables.