Face à des menaces cyber de plus en plus nombreuses et sophistiquées, l’industrie se retrouve fortement impactée et on constate que ce secteur est devenu le 2nd secteur le plus touché par les ransomwares en 20241. Les systèmes d’information industriels, véritables cœurs névralgiques de la production, sont devenus l’une des cibles les plus attractives et privilégiées des attaquants visant à paralyser ou dégrader leur fonctionnement. Les exemples ne manquent pas : des arrêts d’activité suite à des ransomwares avec Colonial Pipeline paralysé en 2021 aux États-Unis et l’entreprise ferroviaire DSB au Danemark qui a dû arrêter tous ses trains en 2022, ou encore des incidents cybersécurité ayant affecté le réseau des transports de Londres en 2024. 

Au-delà de la simple interruption des opérations et la perte financière, les impacts sur l’intégrité physique des personnes et sur l’environnement sont des impacts HSE (Hygiène Sécurité Environnement) majeurs et qui impliquent des risques importants à prendre en compte pour le secteur industriel. 

Face à ces menaces et impacts grandissants, les industriels ont jusqu’à présent investi dans la protection des leurs systèmes d’information industriels. On constate désormais la prise en compte de la résilience et l’intégration de projets de résilience dans les feuilles de route cyber OT. En fonction du secteur et de l’entité industrielle, il peut être plus intéressant d’investir dans une reprise efficace que dans un trop grand nombre de protection. En combinant résilience et protection, les entreprises ont la capacité de reprendre au plus vite et en sécurité la majorité de leurs activités industrielles pour réduire les dégâts et les pertes financières.

Dans ce contexte, la cyber-résilience s’impose comme une nécessité absolue.

 Quelles sont les clés pour bâtir cette résilience et faire face aux défis de demain ? Découvrons-les ensemble. 

Les enjeux de la cyber-résilience pour les organisations

La résilience cyber est désormais une priorité stratégique pour les industries. Les enjeux vont bien au-delà de la simple sécurité des systèmes : 

• Mettre en sureté les personnes et l’environnement : Dans certains secteurs (hospitalier, énergétique, nucléaire, traitement des eaux, etc.), la priorité est de sécuriser les installations, même au détriment de la production. L’impact humain et environnemental d’une cyberattaque pouvant être bien plus grave qu’un simple arrêt de la production. 
• Protéger les installations critiques : Dans un second temps, la sécurisation des installations critiques à la production doit être pris en compte. Un impact sur ces systèmes entrainera d’importantes répercussions sur l’activité et le chiffre d’affaires de l’entreprise. 
• Préserver les données sensibles : Certaines informations industrielles sont cruciales pour la compétitivité et la sécurité. Toute fuite ou altération peut nuire gravement à l’entreprise et dans certains cas, à la sécurité nationale. 
• Reprendre rapidement et en toute sécurité : La cyber-résilience vise à redémarrer les opérations rapidement, tout en garantissant la sécurité des installations et des personnes. 

Les enjeux dépassent également la sécurité interne de l’organisation, avec des impacts géopolitiques et réglementaires croissants : 

• Risques géopolitiques : Les cyberattaques sur les infrastructures critiques, comme celles de l’énergie ou du secteur de l’eau, ont des conséquences politiques et sociétales majeures. 

• Pression réglementaire : Les lois comme la directive NIS, la LPM et le Cyber Resilience Act imposent des exigences strictes, poussant les entreprises à renforcer constamment leur cybersécurité. 

Quelles sont les principales activités de la résilience ? 

Les grandes activités de la cyber-résilience reposent sur trois axes principaux, chacun essentiel pour garantir la pérennité des opérations face aux incidents.

1. Maintenir les activités critiques en mode dégradé :
   • Identifier les activités critiques à restaurer en priorité
   • Industrialiser les fonctionnements en mode dégradé pour permettre une continuité partielle de l’activité en attendant la reprise totale
   • Endiguer la propagation des incidents afin de limiter les impacts
2. Tester sa gestion de crise :
   • Cela inclut la mise en place d’exercices réguliers pour identifier les points d’amélioration et renforcer la résilience de l’organisation face aux cyberattaques
3. Industrialiser sa reconstruction : reconstruire et restaurer un SI sain
   • Il ne s’agit pas simplement de rétablir les services, mais de vérifier et renforcer chaque composant du système pour garantir sa sécurité à long terme. Cette phase permet de regagner la confiance des parties prenantes et d’assurer une infrastructure robuste, prête à prévenir toute future menace

La mise en place d’un Plan de Reprise Informatique Industrielle : pierre angulaire de la reprise informatique 

Le PRII (Plan de Reprise Informatique Industrielle) est l’élément central de toute stratégie de cyber-résilience de l’industrie. Ce document regroupe l’ensemble des procédures techniques, organisationnelles et de sécurité nécessaires pour reconstruire et relancer un système d’information OT après un sinistre ou un incident majeur. Le PRII est activé pendant ou après un sinistre ou une crise. Son rôle est de garantir une reprise rapide et fiable des activités industrielles. 

Le PRII contient généralement les éléments suivants : 

• Une matrice de responsabilités claire 
• Un ordonnancement pour une reconstruction efficace 
• Des procédures détaillées pour la restauration des systèmes d’information et des actifs du SI OT 
• Des informations sur le mode de communication adapté 
• Des recommandations sur la fréquence de tests pour valider la reprise d’activité 

L’objectif principal du PRII est de réduire au maximum le temps de reprise tout en assurant un niveau de confiance élevé en son SII. Il protège également les données sensibles et aide à limiter les pertes financières liées aux interruptions d’activité. En garantissant un haut niveau de sûreté, le PRII minimise les impacts physiques, environnementaux et législatifs, tout en préservant l’image de l’entreprise et en facilitant le travail des équipes opérationnelles. 

L’architecture documentaire de la reprise doit être adaptée à la taille et à la structure de l’entreprise. Il est essentiel de choisir correctement la granularité de la reconstruction et le format approprié pour chaque système d’information (SI) et entité industrielle. 

Exemple

• PRII Groupe (Plan de Reprise Informatique Industrielle Groupe) : document principal définissant les principes, responsabilités et processus de reprise d’activité au niveau du groupe. Il renvoie vers les PRII spécifiques à chaque site. Revue : tous les 5 ans ou en cas de modification majeure. 
• PRII Site (Plan de Reprise Informatique Industrielle d’un Site) : Document détaillant les principes et responsabilités de la reprise pour un site spécifique. Il précise également l’ordre de reprise des systèmes en cas de sinistre affectant plusieurs SI, et renvoie vers les fiches de reconstruction des SII. Revue : tous les 5 ans ou en cas de modification majeure. 
• Fiches de Reconstruction Usine/SII : Documents opérationnels qui détaillent l’ordonnancement et les actions nécessaires pour la reprise de chaque SII, incluant les schémas d’architecture et l’inventaire des actifs. Revue : chaque année ou en cas de modification des SII. 

Les clés de succès d’une reprise efficace : l’importance de bien cadrer son projet de reprise

Focus | Définir en amont l’usage des fiches pour une reprise optimale

Avant de passer à l’écriture et la mise en place des fiches de reconstruction du SII, il est important de prendre en compte plusieurs aspects afin de faciliter leur rédaction et coller à la réalité et des exigences métier. 

Les prérequis indispensables à l’écriture d’un plan de reprise informatique industrielle : pourquoi une documentation SII bien structurée est cruciale 

Il est nécessaire de formaliser des prérequis documentaires essentiels pour garantir la reprise efficace du système informatique industriel (SII), en mettant l’accent sur les éléments clés suivants : 

• Maîtrise du SII : Une connaissance approfondie du SII est indispensable. Cela inclut une vision claire des systèmes, un inventaire détaillé des actifs, ainsi qu’une cartographie et des schémas d’architecture (logique et physique). Il est également crucial d’identifier les référents SII, détenteurs des connaissances clés sur ces systèmes et de s’assurer que leurs informations sont régulièrement mises à jour. 
• Plan de sauvegarde : Un plan de sauvegarde complet, incluant les données critiques au bon fonctionnement de l’usine, est indispensable pour assurer une reprise rapide et complète de l’activité. Cela inclut des éléments tels que la sauvegarde des programmes et configurations d’automates, des PC administratifs, des systèmes SCADA, et des historians. 
• Connaissance Métier : La présence d’un correspondant Plan de Continuité d’Activité (PCA) ou métier est un atout majeur pour définir un ordonnancement efficace. Il permet de s’assurer que le plan de reprise est non seulement applicable, mais aussi opérationnel et en adéquation avec les besoins spécifiques de l’activité. 

Ces trois éléments fondamentaux sont incontournables pour initialiser une démarche de reprise informatique efficace et alignée avec les besoins réels du métier. Le projet ne pourra démarrer sans leur présence, ainsi que le financement adéquat du site. 

Pour aller plus loin | La reprise : Une grande étape de la mise en conformité du SII

Le projet de reprise d’activité permet de réaliser un état des lieux approfondi du SII, qui sert de base à l’élaboration d’un plan d’action pragmatique pour sa mise en conformité. Ce processus inclut l’identification des obsolescences dans le parc industriel, des sauvegardes manquantes et d’autres points de faiblesse. Grâce aux tests de reprise, de nombreuses recommandations et améliorations peuvent être mises en place pour renforcer la sécurité du SII et le rendre plus résilient face aux crises. 

Le plan d’action qui en découle met en lumière plusieurs points clés (non exhaustifs) : 

• Gestion de l’obsolescence : L’obsolescence des infrastructures SI doit être prise en compte dans la stratégie de reprise d’activité. Les équipements vieillissants peuvent gravement compromettre l’efficacité des plans de récupération. 
• Logiciel non maintenu sur PC obsolètes : L’utilisation de logiciels de supervision non maintenus par l’éditeur, installés sur des PC obsolètes (matériel et système d’exploitation), et difficiles à remplacer, présente un risque majeur. En cas de crise, cela pourrait empêcher le bon fonctionnement de l’usine faute de supervision. 
• Absence de sauvegarde de données critiques : L’absence de sauvegarde d’un serveur clé, essentiel pour la reprise d’activité de plusieurs sites, met en péril la continuité des opérations de l’entité. 
• Manque de documentation et non-respect des contrats : L’absence de documentation sur certains équipements (configurations, procédures d’installation) et l’absence de schémas d’architecture pour certains SI montrent un manquement aux exigences contractuelles. Ces lacunes compliqueront la reconstruction du SI en cas de crise. 

En conclusion, la réussite d’un projet de reprise d’activité pour les industries dépend d’une préparation rigoureuse, incluant la définition du sizing ainsi que les besoins des usines, l’élaboration d’une roadmap priorisant les activités critiques, et la constitution d’une équipe projet avec les ressources dédiées nécessaires. Ces étapes permettent de garantir une reprise fluide, dans les délais et budgets, tout en renforçant la résilience face aux risques cyber.