Sécurité OT : à retenir de ManUSec 2026

Fin février 2026 se tenait à Munich ManUSec Europe, l'une des principales conférences européennes dédiées à la cybersécurité industrielle. Au programme : panorama des menaces OT/ICS, pression réglementaire (NIS2, IEC 62443, CRA) et un débat de fond sur l'avenir de la segmentation réseau, avec des intervenants comme Zscaler, Dragos, Secomea, Swidch, GSK, Triovega ou KPMG. On te propose ici une synthèse de veille : ce qui change dans le paysage des menaces industrielles, et les mesures organisationnelles et techniques qui ressortent des présentations.

Pourquoi la sécurité OT diffère de l'IT

L'OT (Operational Technology) désigne les systèmes qui surveillent et contrôlent des équipements physiques : automates programmables (PLC), interfaces homme-machine (HMI), systèmes SCADA, capteurs et actionneurs. Contrairement à l'IT, une défaillance OT a des conséquences physiques immédiates : ligne de production à l'arrêt, processus chimique hors limites, réseau électrique perturbé.

Les chiffres présentés à Munich donnent la mesure du problème. Selon le rapport Dragos 2025, 68 % des incidents cyber industriels ont directement arrêté ou dégradé des lignes de production. Les pertes cumulées des incidents OT majeurs documentés depuis 2017 (Merck, Maersk, TSMC, Norsk Hydro, Colonial Pipeline…) dépassent 2,4 milliards de dollars. Et l'Allianz Risk Barometer 2026 place le cyber comme risque d'entreprise n°1 mondial pour la cinquième année consécutive, avec 42 % des sinistres d'assurance désormais liés au cyber.

La différence fondamentale entre les deux mondes tient à leurs contraintes :

Pour structurer cette frontière, l'industrie s'appuie sur le modèle Purdue : les niveaux 0 à 2 couvrent le terrain (capteurs, PLC, supervision SCADA), le niveau 3 héberge le MES et les postes d'ingénierie — zone pivot très convoitée par les attaquants —, et les niveaux 4-5 correspondent à l'IT d'entreprise (ERP, Active Directory, Internet). Entre les deux, l'iDMZ (niveau 3.5) joue le rôle de frontière critique. Un constat répété tout au long de la conférence : 73 % des compromissions OT débutent côté IT — VPN, hameçonnage ou chaîne d'approvisionnement logicielle.

La convergence IT/OT aggrave le dilemme. L'air-gap (isolation physique) protège, mais l'industrie 4.0 — maintenance prédictive, jumeaux numériques, IA — exige la connectivité. Et les budgets sécurité IT (EDR, SIEM, firewalls) sont contournés par les techniques Living off the Land : les attaquants utilisent les outils légitimes (maintenance à distance, serveurs relais, VPN) et restent invisibles. Comme l'a résumé Triovega : « Livré aujourd'hui. Hors support hier. » La solution n'est pas de patcher ce qui ne peut pas l'être, mais de segmenter, surveiller et authentifier autour des équipements legacy.

Panorama des menaces OT/ICS 2025

Le rapport annuel Dragos, présenté à la conférence, recense 26 groupes d'attaquants tracés, dont 11 actifs en 2025 et 3 nouveaux, ainsi que 3 318 attaques ransomware industrielles (+25 % sur un an). Quelques signaux marquants :

• 73 % des réponses à incident débutent par une exploitation VPN ou une réutilisation d'identifiants — vecteur d'accès initial n°1.
• 88 % des organisations ne détectent pas les attaques OT simulées lors d'exercices.
• 56 % des environnements OT ne peuvent pas détecter un mouvement latéral entre segments réseau.
• 13 semaines : temps moyen de retour à la normale après un incident OT.

Parmi les groupes suivis, trois nouveaux venus illustrent une division du travail industrialisée : SYLVANITE, courtier d'accès qui exploite les VPN Ivanti moins de 48 heures après divulgation d'une CVE puis cède ses accès ; AZURITE, spécialiste de l'accès longue durée via routeurs SOHO compromis, qui exfiltre schémas réseaux OT et données d'alarme sans aucune signature malware ; et PYROXENE, qui passe de l'IT à l'OT par ingénierie sociale (faux recruteurs LinkedIn ciblant les sous-traitants aérospatiaux). Côté groupes établis, VOLTZITE (alias Volt Typhoon) extrait des configurations SCADA pour identifier les conditions d'arrêt de processus, tandis qu'ELECTRUM a signé en 2025 le premier incident mondial visant des réseaux d'énergie décentralisée (DER) en Pologne, avec le wiper destructeur PathWiper.

Côté vulnérabilités, Dragos propose le cadre de priorisation NOW / NEXT / NEVER : seules 2 % des vulnérabilités ICS/OT publiées en 2025 exigent une action immédiate (exploitation active + impact OT direct). Pour les 71 % « NEXT », la segmentation, le monitoring et la MFA constituent des mesures d'atténuation viables sans arrêt de production. Un principe vital quand 119 nouvelles CVE sortent chaque jour et que 26 % des bulletins ICS/OT n'ont aucun correctif constructeur disponible à la publication.

Mesures organisationnelles : la gouvernance avant la technologie

Fil rouge des présentations de KPMG et Secomea : la technologie ne résout pas un problème de gouvernance. La majorité des incidents présentés auraient pu être contenus si des processus clairs existaient avant l'incident. Trois axes ressortent :

• Implication de la direction. NIS2, que les États devaient appliquer depuis octobre 2024, rend les organes de direction responsables des mesures de cybersécurité (art. 20) et permet d'interdire temporairement à un dirigeant d'exercer ses fonctions (art. 32), avec notification d'incident sous 24 h (alerte) et 72 h (rapport). Ce n'est plus un sujet purement IT : un arrêt de production impacte directement l'EBITDA et la réputation.
• Exercices de simulation (TTX). Le cadre tabletop de KPMG (contexte → incident → escalade → retour d'expérience) révèle qui décide quand l'incident franchit la frontière IT/OT. Constat récurrent : « dans chaque incident réel, les deux premières heures sont perdues sur la question de propriété du problème ». Un TTX annuel révèle ces lacunes avant qu'un incident réel le fasse.
• Formation et plan de reprise OT dédié. Redémarrer une usine prend plus de temps que redémarrer un datacenter. 30 % des incidents Dragos ont été signalés par un opérateur (« quelque chose ne va pas ») avant tout outil : la sensibilisation des équipes terrain est un capteur de détection à part entière. Il faut aussi tester régulièrement les restaurations de sauvegardes pour éviter les dépendances fournisseurs.

Les données Secomea confirment que la régulation est un levier de maturité : les infrastructures critiques affichent ~25-28 % de taux d'incidents contre 33-37 % pour le manufacturier général, et la pharma (régulée FDA/EMA) fait mieux que des secteurs comparables. IEC 62443 répartit d'ailleurs la responsabilité sur toute la chaîne : propriétaires d'actifs, intégrateurs et fournisseurs de composants — complétée par le CRA qui impose la sécurité by design sur les composants industriels.

Mesures techniques : authentifier et segmenter le legacy

La démonstration la plus parlante de la conférence est venue de Swidch : des PLC Siemens avec le mot de passe par défaut inscrit sur une étiquette collée sous l'équipement. Pas une exception — la norme dans la majorité des environnements industriels. Or les solutions IT classiques échouent en OT : TOTP, jetons RSA, PKI ou MFA par SMS exigent tous une connectivité réseau ou un serveur de validation, incompatibles avec un environnement isolé et des automates anciens.

La réponse présentée, OTAC (One-Time Authentication Code), génère un code à usage unique à partir d'un algorithme partagé entre le dispositif utilisateur et l'équipement OT, sans aucune communication réseau au moment de l'authentification. Chaque code est dynamique, horodaté, lié à l'identité, à l'appareil et à la commande exécutée — donc inutilisable s'il est intercepté. Le tout fonctionne en environnement totalement isolé, sur du multi-constructeur (Siemens, Schneider, Rockwell) via passerelle, sans modifier l'infrastructure existante.

Le débat : segmentation traditionnelle ou zero-trust ?

Le moment le plus intéressant de ManUSec 2026 fut la confrontation de deux visions de la segmentation OT.

Ce que Zscaler critique dans la segmentation traditionnelle

Pour Zscaler, au-delà du périmètre réseau, l'OT est sans défense : l'approche périmétrique protège jusqu'à l'iDMZ, mais en dessous — là où vivent les PLC, HMI et RTU — il n'y a aucune authentification forte. Les VPN, MPLS et SD-WAN étendent la confiance routable dans les usines au lieu de les sécuriser ; les pare-feux surveillent rarement les communications intra-VLAN ; les VLAN regroupent des centaines d'appareils aux profils de risque différents ; et 76 % des malwares ciblent les équipements passerelle. La segmentation statique serait donc rigide, créerait des « îlots » d'équipements isolés et inutilisables, et laisserait subsister les identifiants partagés. La réponse Zscaler : microsegmentation sans agent de tout équipement OT IP, accès distant par navigateur avec audit complet, et rayon d'impact réduit à un seul appareil — le ransomware ne peut plus se propager. Études de cas à l'appui : 90 types d'appareils segmentés sans une minute d'arrêt chez Kingston Technology, 15 usines sécurisées et 75 % de réduction des dépenses SD-WAN chez un pharmaceutique mondial.

Ce que Triovega et GSK répondent

Pour Triovega et GSK, le problème n'est pas la segmentation en soi mais sa version statique : la segmentation moderne repose sur des politiques dynamiques, pas sur des VLAN figés. Deux approches concrètes ont été présentées :

• edge.SHIELDOR (Triovega) : un conteneur IT/OT qui agit comme traducteur de protocoles. L'IT parle HTTPS/SMBv3, le conteneur traduit vers les protocoles OT natifs (SMBv1, RDP, Telnet non-patchables) en inspectant chaque échange. Le réseau OT reste isolé mais fonctionnel — c'est exactement le problème SMBv1 de NotPetya résolu sans patch ni remplacement. En production depuis 2025, après trois ans de R&D.
• Dynamic Edge Segmentation — DES (GSK) : des politiques pilotées par métadonnées. Chaque nouvel équipement connecté est découvert, classifié (type, entité, score de risque via les outils existants : Active Directory, CrowdStrike, Tenable, ServiceNow) et reçoit automatiquement sa politique, appliquée au niveau des switches sans refonte réseau. Résultat chez GSK : un chantier estimé à 6 ans en segmentation classique (3 500 fenêtres de maintenance) déployé en quelques heures par site, avec un niveau IEC 62443 atteignant le niveau 4 sur certains segments.

Au fond, les deux camps convergent plus qu'ils ne s'opposent : tous rejettent le modèle VLAN/pare-feu statique. Le désaccord porte sur le chemin — microsegmentation cloud-native côté Zscaler, segmentation dynamique sur l'infrastructure existante côté Triovega/GSK.

Ce qu'on retient de ManUSec 2026

Cinq messages traversent l'ensemble des présentations :

1. L'OT est la cible finale, pas le vecteur initial. 100 % des incidents présentés commencent côté IT (VPN, chaîne d'approvisionnement, hameçonnage, ERP). La bonne question n'est plus « mon OT sera-t-il attaqué ? » mais « quand mon IT sera compromis, mon OT survivra-t-il ? ».
2. La segmentation doit être dynamique, pas statique. L'approche VLAN/pare-feu est jugée dépassée par Zscaler, GSK et Triovega — les politiques doivent s'adapter en temps réel, sans fenêtres de maintenance massives.
3. Les endpoints OT n'ont aucune authentification forte. Mots de passe statiques sur les PLC, comptes partagés, traçabilité inexistante — démontré en live. Des solutions hors-ligne comme OTAC répondent à cette exigence en respectant les contraintes du terrain.
4. La réglementation est là. NIS2 n'est pas optionnel : responsabilité personnelle des dirigeants, notification d'incidents, et — données Secomea à l'appui — les secteurs régulés subissent moins d'incidents.
5. Les adversaires cartographient les boucles de contrôle industriel. Extraction de configurations SCADA, exfiltration de données d'alarme : la préparation d'effets physiques a commencé.

Pour les défenseurs — et les futurs analystes SOC —, le message est clair : surveiller la frontière IT/OT, traquer les accès distants fournisseurs, détecter le mouvement latéral et s'entraîner avant l'incident. La sécurité OT n'est plus un sujet de niche : c'est l'un des terrains où la cybersécurité a l'impact le plus concret sur le monde physique.