En bref :
Les exigences de la directive européenne NIS2 et de la norme internationale de cybersécurité IEC 62443 imposent une sécurité accrue et un contrôle des accès distants sur les sites industriels multi-usines.
L’authentification multi-facteurs, la segmentation réseau intelligente et l’approche SASE remplacent les architectures fondées sur la multiplication de boîtiers matériels.
La traçabilité minutieuse des connexions et une gouvernance claire des droits sont essentielles pour la cybersécurité et la conformité réglementaire.
La convergence IT/OT passe par des outils mutualisés, une supervision centralisée et une collaboration encadrée entre directions techniques et métiers.
Le choix de solutions cloud certifiées, auditées et adaptables est un levier pour fiabiliser la maintenance à distance tout en préservant l’agilité opérationnelle.
Combien d’usines sont encore à la merci d’un accès distant non maîtrisé ? À écouter des responsables de sites, la pression réglementaire monte : NIS2 et IEC 62443 constituent désormais les piliers incontournables de la cybersécurité. Mais sur le terrain, c’est la logique du « secure-by-design » (c’est-à-dire l’intégration de la sécurité dès la conception initiale des systèmes) qui s’impose : plus question de bricoler trois VPN et deux boîtiers pour maintenir une connexion à la chaîne de production, tout en croisant les doigts qu’aucune interruption de service ne survienne lors d’une mise à jour de firmware.
Dans les milieux industriels, le contexte s’est tendu. Le moindre incident impacte la réputation, la production, voire la sécurité des opérateurs. Plus personne ne veut de zones d’ombres sur les accès distants, ni sur les responsabilités : chacun doit tenir son rôle qu’ils soit industriel, intégrateur ou sous-traitant. La conformité n’est plus une option, elle engage la gouvernance autant que la technique. Un site multi-usines qui ne met pas à plat ses schémas réseau, ses flux d’accès et la protection de ses données court le risque de se retrouver dans la ligne de mire d’une attaque ou d’un audit musclé.
L’objectif n’est plus d’appliquer des correctifs d’urgence, mais de repenser l’architecture globale des accès à distance, en privilégiant la centralisation des règles, la mutualisation des points de contrôle et l’adoption de solutions reconnues et certifiées comme l’approche SASE. À la clé : repenser les flux OT/IT, tracer chaque intervention, départager le rôle de chacun (constructeur, exploitant, intégrateur).
Il devient alors primordial de sécuriser les accès réseau de ses sites industriels dès la conception. Grâce à l’expertise d’un partenaire spécialisé comme Scalair, les entreprises profitent d’une architecture SASE unifiée qui simplifie la gestion de leur connectivité multisite tout en garantissant un niveau de sécurité optimal face aux cybermenaces.
Sécuriser l’accès distant : contexte réglementaire et responsabilités
Depuis deux ans, le rythme des discussions autour de la sécurité industrielle s’est accéléré, surtout pour les groupes industriels qui gèrent plusieurs usines et filiales. La directive européenne NIS2 a levé l’ambiguïté : chaque site industriel exposé à des réseaux distants doit garantir un accès maîtrisé, bâti sur des principes de cybersécurité renforcée, sous peine de sanctions. Les industriels découvrent aussi le poids de la norme internationale IEC 62443, qui tombe rarement du ciel mais s’infiltre dans les audits clients et les cahiers des charges donneurs d’ordres.
Le principe de sécurité « by design » n’est plus une simple exigence théorique portée par la DSI : il se traduit par une restructuration profonde des architectures, le décloisonnement des équipes (IT et OT travaillant enfin main dans la main) et la redéfinition claire des responsabilités. Les fabricants d’équipements de contrôle industriel (PLC), les intégrateurs de SCADA, les exploitants propriétaires, chacun se voit assigner un périmètre et des obligations, avec une logique de responsabilité partagée. C’est là que le contrôle d’accès prend tout son sens : qui peut ouvrir une session sur un site de production distant ? Qui a logué la dernière maintenance sur le robot de palettisation ? Le flou n’a plus sa place dans ces discussions, tout doit être documenté, auditable et réversible.
Ce qui change la donne, c’est la façon dont les équipes abordent enfin la conformité : non plus seulement pour « faire plaisir » au juriste ou au client en visite, mais pour garantir une maîtrise effective des vulnérabilités et éviter la propagation d’attaque. Le passage vers des architectures sécurisées n’est plus une affaire de choix technologiques, mais d’alignement entre la réalité du terrain, les flux de données et la capacité d’anticipation. Pour ceux qui cherchent des benchmarks de visibilité sur l’ensemble de la chaîne d’approvisionnement logistique ou veulent pousser plus loin le pilotage à distance, la cohérence entre réglementation et terrain prévaut désormais. La certification (type IEC 62443) devient un gage autant pour l’industriel que son sous-traitant. Personne ne veut d’un ticket ouvert pour un phishing ou un incident qui cloue toute une ligne de production.
Contrôle d’accès : authentification forte et gestion des privilèges au cœur de la sûreté
La sécurisation des accès distants dans un site industriel ne se limite jamais à l’ajout d’un tunnel VPN ou d’un badge RFID sur une porte serveur. L’axe structurant, c’est l’authentification multi-facteurs. Piloter une « usine invisible » de l’extérieur demande de vérifier, plusieurs fois, que l’opérateur ou le prestataire d’astreinte est bien celui annoncé. Le standard s’est désormais aligné : un login, un mot de passe fort et un jeton de validation (comme un code temporaire envoyé sur smartphone ou une clé physique de sécurité). En complément, le recours à des certificats de sécurité numériques propres à chaque utilisateur permet de verrouiller davantage la connexion.
Il n’y a plus de place pour l’accès « admin » global ou l’utilisation d’un compte partagé entre plusieurs départements. Ce changement s’est vu récemment chez un industriel de l’agroalimentaire. Chaque technicien de maintenance accède au réseau OT via une application cloud contrôlée centralement, avec renouvellement automatique du mot de passe et traçabilité complète. Le principe du moindre privilège articule la répartition des droits : un sous-traitant en charge du firmware d’un automate accède uniquement aux ressources nécessaires, jamais aux serveurs Windows de l’ERP ou aux bases de données critiques.
Les architectures modernes ne se contentent pas de « valider localement » une connexion VPN, souvent trop permissive sur un réseau distribué. Les solutions basées sur le Zero Trust Network Access (ZTNA, un modèle de sécurité qui ne fait confiance à aucun utilisateur par défaut et vérifie systématiquement chaque requête) se déploient désormais en priorité : l’accès n’est plus un sésame permanent, mais un passeport limité à une fonction, un temps et un profil géographiquement localisé. On filtre par usage, par scénario, par plage horaire, avec une remontée d’alertes si une tentative hors norme survient. Les flux sont ainsi segmentés à la racine, respectant le besoin opérationnel sans jamais exposer toute la surface réseau à un utilisateur ou une machine.
Exemple terrain : la séparation fine des rôles
Une usine de mécanique de précision du Jura a basculé l’ensemble de ses accès maintenance vers une plateforme gérée en cloud, appuyée sur une politique Zero Trust. La supervision centralisée permet au responsable OT d’attribuer des plages de connexion limitées, tandis qu’un audit périodique valide que personne ne conserve des droits « dormants » (par exemple des accès obsolètes non révoqués après une intervention) au-delà de sa mission ponctuelle. La segmentation par rôle évite toute escalade interne si une attaque venait à débuter par la compromission d’un accès distant.
Segmentation réseau : multiplier les barrières, pas les boîtiers
Lorsque je rentre sur un site industriel, la première question n’est plus « quel VPN utilisez-vous ? », mais « comment segmentez-vous vos flux ? ». La segmentation du réseau sert à limiter le rayon d’action d’un acteur malveillant, ou à minimiser l’impact d’une boulette lors d’une maintenance à distance. Fini l’unique routeur autorisant tout port sortant vers internet, place à la multiplication des îlots réseau, gérés par usage et niveau d’importance stratégique.
Typiquement, les réseaux industriels mêlent réseau local (LAN) dédié aux opérations, réseau étendu (WAN) d’interconnexion multi-sites, et des passerelles de protocoles pour faire le pont avec des solutions Cloud. À chaque zone correspond des VLANs dédiés : flux automate–superviseur sur VLAN A, flux caméra–archivage sur VLAN B, flux maintenance sur VLAN C. Un pare-feu intermédiaire joue le filtre entre chaque segment, bloquant tout accès sortant non expressément prévu par le contrat d’exploitation et n’autorisant que les protocoles validés (OPC UA, Modbus/TCP… il faut bannir les règles permissives de type « any/any » qui autorisent tout type de trafic vers n’importe quelle destination).
Sur des organisations multi-sites, la segmentation réseau ne se résume pas à déployer des infrastructures matérielles lourdes et identiques sur chaque site. L’approche SASE se positionne comme le centre de commandement du réseau : la configuration se gère centralement, en cloud et les règles de sécurité s’appliquent finement entre chaque site et chaque segment fonction. C’est le meilleur moyen d’éviter ce qu’on appelle le « mouvement latéral » : un attaquant qui, via un automate exposé, chercherait à remonter vers des ressources IT ou à pivoter vers d’autres ateliers.
Type de segment | Protocoles autorisés | Règles de pare-feu | Fonction principale |
|---|---|---|---|
OT (production) | OPC UA, Modbus/TCP | Accès limité, flux sortants restreints | Commande machines, monitoring |
IT (bureautique) | HTTPS, SMB, RDP | Interdit à l’OT sauf exceptions tracées | Gestion, bureautique, ERP |
Sous-traitance/maintenance | VPN chiffré, SSH | Accès horaire, authentification forte | Support ponctuel, télémaintenance |
Vidéo-surveillance | RTSP, HTTPS | Isolation VLAN, flux unidirectionnels | Contrôle images, audit |
Cette architecture n’a rien d’un délire d’architecte. Elle s’appuie sur des années de retours terrain : à chaque attaque notoire recensée, c’est le manque d’étanchéité entre les différents sous-réseaux qui a facilité la propagation de la cyberattaque. Quand un réseau OT n’est pas cloisonné, même le plus costaud des pare-feu ne rattrape pas la propagation silencieuse d’un ransomware ou d’un malware de type cyberattaque IoT. Un partenaire SASE comme Scalair intervient sur la couche réseau (la connectivité, la segmentation et les accès entre ces zones). La sécurisation applicative des automates et des systèmes de contrôle reste du ressort de l’exploitant ou de son intégrateur OT.
Mise en œuvre avec SASE : un levier pour les sites distribués
Chez un acteur de la logistique industrielle, la transition vers une architecture SASE s’est traduite par la disparition de la moitié des boîtiers matériels sur site. Au lieu de multiplier les équipements physiques complexes (commutateurs réseaux, boîtiers d’interconnexion, serveurs VPN dédiés), la politique de sécurité est centralisée, les mises à jour sont déployées en cloud, la configuration est supervisée sur une interface unique, évitant les écarts d’un site à l’autre. On accroît le niveau de protection globale face aux vulnérabilités, en rapidité d’évolution, et on réduit la surface d’attaque sur chaque segment OT/IT.
Traçabilité et supervision : quand chaque action laisse une empreinte
Impossible aujourd’hui d’imaginer un accès distant qui ne laisse aucune trace durable. Les équipes se recentrent sur la génération et la conservation de journaux précis : logs de connexion détaillés, enregistrements d’actions, tentatives d’accès bloquées. Ces éléments facilitent non seulement les audits périodiques, mais simplifient aussi l’analyse lors d’un incident de cybersécurité, voire d’une attaque interne (ce qui arrive plus souvent qu’on ne le pense).
La norme IEC 62443 insiste sur la disponibilité, la sécurité et l’intégrité de ces journaux, mais aussi sur leur exportabilité pour des analyses ou des enquêtes externes. Les solutions avancées intègrent même des moteurs de corrélation et de reporting, parfois en interaction avec des plateformes d’intégration informatique industrielle. Aucun log n’a de valeur s’il est accessible à tout le monde ou modifiable : il doit être sécurisé, centralisé et consultable uniquement par les personnes accréditées.
Ce volet souvent ignoré se révèle une source d’informations cruciale lors des revues post-incident. Quand un prestataire obtient un accès exceptionnel pour une opération de maintenance imprévue, il faut savoir quand il s’est connecté, depuis quelle adresse IP, sur quel segment, et ce qui a réellement changé (paramétrage, firmware, suppression, upload). Ces traces, bien exploitées, réduisent la durée des investigations, accélèrent la réparation des systèmes touchés et garantissent la transparence devant toute partie prenante.
Checklist de traçabilité efficace
Chaque accès distant s’accompagne d’un identifiant unique, corrélé à un utilisateur, une fonction et un site.
Les actions majeures (conf, upload, changement firmware) génèrent une alerte ou un journal horodaté.
Les logs sont exportables, infalsifiables et archivés hors ligne selon les préconisations de l’IEC 62443.
Un audit externe teste régulièrement la validité des traces et leur intégrité face aux tentatives de falsification.
De la passerelle physique au cloud certifié : simplification et renforcement de la sécurité
Pendant longtemps, empiler du matériel (type boîte VPN, firewall dédié, passerelle de télésurveillance spécifique) répondait à la demande de « contrôle local ». Mais lorsque l’on aligne cinq sites, chacun disposant de son propre mix d’automates et d’interfaces historiques, la multiplication des équipements devient vite ingérable sur les volets maintenance, coûts et ouverture aux nouveautés (prises en charge de nouveaux protocoles, chiffrement…).
Le modèle bascule désormais vers une centralisation par le cloud et une approche SASE : la sécurité prend la forme de fonctionnalités virtualisées, la gestion des droits et des identités est pilotée via une interface cloud unique et les politiques d’accès s’appliquent d’un site à l’autre, même si les bases techniques diffèrent. Le contrôle de l’authentification se renforce, les données traversent des tunnels chiffrés multipoints, les mises à jour de firmware suivent le même rythme pour tous les sites.
Ces solutions apportent des réponses concrètes à la question « comment sécuriser sans multiplier les points faibles ? ». Plus besoin de maintenir des armoires entières de matériel spécifique dont le déploiement à grande échelle s’avère extrêmement complexe dans la réalité. On gagne en visibilité, en réactivité (patchs ou changements de configuration en quasi-temps réel) et surtout en homogénéité de la politique de cybersécurité face aux attaques évolutives. La certification des acteurs cloud devient capitale ici : chaque plateforme SASE crédible (Scalair en tête) doit être auditée régulièrement, soumise à des tests externes, voire à la simulation d’incidents type basculement automatique de secours (failover) ou retour à une version précédente fonctionnelle (rollback) ou sauvegarde automatisée pour vérifier l’étanchéité des flux.
Aspect | Passerelle physique classique | SASE/cloud centralisé |
|---|---|---|
Déploiement multi-sites | Multi-boîtiers, config locale | Mutualisation, centralisation |
Maintenance | Dépendante du site | Supervisée par le cloud |
Authentification | Mot de passe/VPN local | MFA, accès contextuel global |
Gestion des vulnérabilités | Patch dispersé | Mise à jour synchronisée |
Audits et certifications | Difficiles à standardiser | Cycle régulier, traçabilité accrue |
Contraintes industrielles : compatibilité, latence et maintien en conditions opérationnelles
Les usines ne sont pas des laboratoires. Entre les équipements anciens dits « legacy » (systèmes vieillissants mais toujours en production) qui tournent depuis 15 ans, les contraintes de latence dictées par le temps réel, et les fenêtres de maintenance calées sur les rares arrêts de production, déployer une architecture moderne de sécurité relève plus du Tetris que du Lego. L’approche SASE simplifie la tâche : pas besoin de disperser des baies entières de matériel dans chaque implant, la convergence IT/OT s’opère à la racine, avec un minimum d’équipements tout en limitant le risque de point de défaillance unique.
Adopter cette démarche requiert cependant d’anticiper la compatibilité des protocoles, la gestion différenciée des flux (certains nécessitant des microsecondes de latence garantie, d’autres supportant un léger décalage de transmission lié au passage par le cloud (cloud buffer) et la planification des fenêtres temporelles de déploiement. C’est sur ce terrain que la simplicité du cloud doit être tempérée par l’ancrage dans le réel : un site multi-usines ne changera pas sa flotte d’automates pour des raisons de conformité pure, il faut pouvoir moderniser l’existant (rétrofit), segmenter au plus près, et garantir une continuité sans faille. Les outils proposés par les acteurs SASE jouent ici sur la granularité de configuration, la gestion centralisée mais adaptative et l’autonomie des relais locaux si la connexion WAN venait à être coupée.
Synergie OT/IT : management et montée en compétence pour une sécurité durable
La cybersécurité industrielle n’est jamais l’affaire d’une équipe unique. Réussir un projet de sécurisation des accès distants, c’est partager le pilotage entre OT (opérationnel terrain) et IT (infrastructure et applications), sans dilution des responsabilités. Le rôle d’un partenaire réseau comme Scalair se concentre sur la connectivité et l’accès sécurisé entre les sites ; la gouvernance des équipements OT eux-mêmes (automates, SCADA) reste pilotée en interne ou avec l’intégrateur industriel. La clé reste entre les mains de l’exploitant (le propriétaire des actifs du site), qui doit conserver maîtrise technique et décisionnelle sur ses accès, ses configurations et la logique de protection de ses données.
Les prestataires avisés recommandent de coupler toute modernisation d’accès distant avec un audit de configuration initial, une formation spécifique des équipes locales et un support de proximité pour répondre aux questions « du lundi matin à 6h ». Les outils de supervision sont alors partagés, chacun disposant d’un tableau de bord adapté à ses missions et de seuils d’alerte personnalisables.
Cette dualité crée parfois des frictions. Mais ce sont ces tensions, bien canalisées, qui préservent l’équilibre entre agilité et sécurité réelle : une équipe trop technique oubliera les flux métier prioritaires, une équipe trop « métier » négligera l’importance d’un correctif firmware ou d’un verrouillage de certificat expiré. Les projets réussis intègrent régulièrement des ateliers où IT et OT lisent ensemble les logs, simulent un incident, testent le backup des configurations, bref ils prennent le temps de croiser compétences et angles morts.
Sécurité et accès distants : un atout stratégique pour l’industrie connectée
Penser la sécurité des accès distants n’est donc plus subir une contrainte réglementaire, mais transformer une opération complexe en avantage compétitif. Les industriels qui s’ouvrent à la connectivité avancée (télédiagnostic, maintenance prédictive, optimisation en direct) récoltent les fruits d’infrastructures pensées pour la pérennité des opérations, la rapidité de réaction et la souplesse d’intégration.
La convergence entre solutions cloud certifiées, segmentation réseau ajustée aux flux réels, politique Zero Trust et pilotage partagé construit un maillage de sécurité performant. C’est cette toile qui permet d’absorber une attaque (ransomware, compromission de fournisseur), de l’isoler dans une zone restreinte pour l’empêcher de se propager et de redémarrer sans chaos. L’investissement n’est pas anodin, mais je l’ai vu se rentabiliser dès qu’une grosse panne réseau n’affecte qu’un atelier au lieu d’une usine toute entière, ou qu’un processus de relevé passe à l’échelle mondiale sans remettre en cause le schéma de sécurité.
Cela suppose d’avancer sans dogme mais avec méthode, de tester sans attendre la crise et d’aligner chaque outil de protection sur une norme de sécurité internationale. Désormais, l’enjeu évolue : les sites qui maîtrisent leurs accès à distance disposent d’un levier de croissance et d’innovation tout en gardant les murs porteurs de leur réseau OT. Les autres, quant à eux, prennent un risque difficilement justifiable devant un conseil de direction bien informé.
Dans ce contexte critique, s’appuyer sur un partenaire expert comme Scalair devient un véritable atout stratégique. En déployant une architecture SASE sur-mesure, Scalair permet aux entreprises de moderniser leur connectivité multisite sans complexifier leur parc matériel. C’est l’assurance d’une sécurité réseau centralisée, performante et pérenne, indispensable pour prévenir les intrusions et garantir la continuité des opérations dans l’industrie d’aujourd’hui.
Quelle est la différence entre VPN et SASE pour les accès distants industriels ?
Un VPN classique crée un tunnel chiffré entre deux points, mais ne gère qu’imparfaitement la granularité des accès ni la centralisation des politiques de sécurité. SASE (Secure Access Service Edge) introduit une administration cloud, une segmentation fine des flux, une authentification multi-facteurs et une surveillance unifiée des accès, ce qui limite la multiplication des équipements physiques et améliore la sécurité native des architectures distribuées.
Comment s’assurer que la segmentation réseau est correctement appliquée ?
La segmentation réseau doit être traduite en schémas clairs, testée lors de sessions de validation sur site, auditée par des experts externes, et vérifiée par des outils de monitoring réseau. Il est essentiel de simuler des scénarios d’attaque pour vérifier que chaque segment reste isolé, en s’appuyant sur les recommandations de l’IEC 62443.
Peut-on intégrer de vieux équipements industriels au sein d’une architecture SASE sans tout remplacer ?
Oui, à condition d’implémenter des passerelles adaptatives, de segmenter ces équipements sur des VLAN dédiés et de sécuriser leur accès via des proxys ou des tunnels chiffrés aux standards actuels. L’important est de ne jamais les exposer directement à l’extérieur, mais de les isoler via des politiques d’accès gérées en cloud.
Qui décide des droits d’accès et de la gestion quotidienne des accès ?
L’exploitant industriel (Asset Owner) conserve la maîtrise finale de la gestion des accès, souvent avec un support IT pour l’implémentation technique. Les droits doivent être revus régulièrement, en fonction des missions et du cycle de maintenance, avec une collaboration systématique entre équipes OT et IT.
Quels sont les risques clés si l’on ne sécurise pas les accès distants en 2026 ?
Risque de propagation de ransomware, compromission de données industrielles, arrêt de production au mauvais moment, audit réglementaire non conforme et sanctions associées. Un accès distant mal tracé peut devenir un point d’entrée direct dans les systèmes de production les plus stratégiques.