La distinction IT OT structure la stratégie de cybersécurité de toute usine connectée. Cette frontière technique conditionne aujourd’hui la conformité au règlement et la résilience des sites d’industries.
Les technologies de l’information gèrent les données et les technologies d’opération pilotent les machines physiques. Cette division historique s’effondre avec l’essor de l’internet d’industrie des objets et de l’IA embarquée. Les entreprises industrielles doivent fusionner ces deux univers sans multiplier les failles à exploiter. Le Forum économique mondial recense cette convergence parmi les priorités des dirigeants.
L’essentiel à retenir sur la convergence entre les systèmes IT et OT,
- L’IT gère les données et favorise la discrétion, alors que l’OT pilote les machines physiques et met l’accent sur la disponibilité.
- La convergence IT OT, portée par l’IIoT et l’IA, a amené l’industrie manufacturière a concentré 27,7 % des cyberincidents recensés par IBM en 2025 et le malware industriel a bondi de 64 %.
- La directive NIS2 impose depuis le 16 janvier 2023 une gouvernance stricte à 18 secteurs, avec des amendes jusqu’à 10 millions d’euros et une responsabilité personnelle des dirigeants.
Les logiques de technologie opposées entre l’IT et OT
Les protocoles d’industrie Modbus et DNP3 ont été conçus dans les années 1970. Ils pilotent encore de nombreux automates sans aucun chiffrement. L’IT traite les données d’entreprise comme la messagerie ou le cloud. En revanche, l’OT pilote directement les processus physiques.
L’OT contrôle par exemple les vannes et les capteurs. De plus, les priorités de ces deux univers différents. L’IT favorise d’abord le secret des informations. L’OT place la disponibilité et la sécurité physique au sommet. Un serveur IT redémarre rapidement après une mise à jour.
Un automate interrompu peut stopper la production pendant plusieurs jours. Le cycle de vie montre aussi ce décalage. Un poste IT se renouvelle tous les trois à cinq ans. Un équipement d’industrie dure généralement 15 à 20 ans. Les patchs de sécurité s’appliquent sans attendre côté IT. Un patch mal testé sur l’OT provoque des arrêts coûteux. Cette divergence de culture bloque fréquemment la communication entre équipes. Cela crée de véritables angles morts dans la gestion des risques.
L’industrie connectée accélère des deux technologies
Quinze milliards d’équipements d’industrie seront connectés en 5G d’ici fin 2026. L’utilisation des actifs OT avancera de 400 %. Cette hausse est portée par les capteurs et les cobots. Les plateformes de maintenance prédictive appuient aussi cette dynamique. Selon le Forum économique mondial, 42 % des organisations répondent. Elles intègrent la convergence IT/OT dans leur gestion des risques.
Les dirigeants d’industrie font confiance à ces innovations. Ils donnent de la valeur à l’IA et la fusion IT/OT. Ainsi, 44 % des directeurs manufacturiers ont évoqué l’IA fin 2025. Cela représente une hausse de 35 % sur un an. Les caméras réseau expriment parfaitement ce changement.
En 2024, 80 % des modèles avaient des fonctions d’analyse. Deux tiers reposaient sur le deep learning. Ces équipements circulent désormais sur les infrastructures de production. La frontière s’efface entre sécurité physique et pilotage d’industrie.
L’informatique de gestion est également concernée par ce rapprochement. Cette structure hybride améliore nettement la productivité. Cependant, elle expose des équipements autrefois isolés. Des menaces issues du monde IT touchent maintenant l’OT.
La convergence IT OT multiplie les risques de cyberattaque d’industrie
L’industrie manufacturière demeure le secteur le plus ciblé par les attaques en ligne. Cela dure depuis cinq années de suite. IBM a traité 27,7 % des incidents dans ce domaine en 2025. Le malware d’industrie a progressé de 64 % sur cette période. L‘automatisation par IA explique en partie cette accélération. En Europe, les événements de sécurité ont augmenté de 43 % en 2025. Ce chiffre provient du rapport Threat Landscape de l’ENISA.
Une organisation sur quatre a cessé ses opérations après une attaque. L’informatique de gestion demeure le principal point d’entrée des cybercriminels. Ainsi, 72 % des attaques débutent du côté IT. Elles se propagent ensuite vers les systèmes OT. Certains protocoles expirés manquent encore de chiffrement natif. De plus, les équipements d’industrie sont conçus pour durer plusieurs décennies.
Une convergence IT/OT mal maîtrisée crée des ponts directs très dangereux. Les attaquants relient ainsi les réseaux de bureau aux lignes de production. Des groupes ciblent en priorité les robots d’industrie. Les systèmes ICS et les supply chain deviennent des cibles majeures.
La réglementation NIS2 encadre désormais la convergence IT OT
La directive européenne NIS2 étend fortement les devoirs de cybersécurité. Elle concerne dorénavant 18 secteurs d’activité stratégiques. Le secteur manufacturier s’ajoute à l’énergie, la santé et aux transports. En France, l’ANSSI recense environ 15 000 entités en cause.
NIS1 ne visait que 500 opérateurs vitaux. Les entités majeures risquent 10 millions d’euros d’amende ou 2 % du chiffre d’affaires. Pour les entités importantes, le plafond baisse à 7 millions d’euros. L’article 20 introduit une nouveauté cruciale.
Les dirigeants engagent directement leur responsabilité personnelle. Ils risquent la suspension pour un temps de leurs fonctions. Le calendrier de notification d’incident s’avère très strict. Une alerte précoce doit se faire sous 24 heures et un rapport complet sous un mois.
La transposition française via la loi Résilience accuse du retard. La Commission européenne a saisi la Cour de justice en juillet 2026. Malgré cette incertitude, les obligations fixées par l’ANSSI demeurent valables. La plateforme MonEspaceNIS2 demeure donc pleinement d’actualité pour les entreprises.
Combien coûte la sécurisation de la convergence IT OT ?
Le coût d’une sécurisation de la convergence IT/OT dépend directement du périmètre audité et du nombre de sites industriels concernés. Un diagnostic léger couvre les bases : mots de passe, sauvegardes, segmentation réseau et cartographie des automates.
Un audit complet intègre un test d’intrusion ciblé sur la frontière IT/OT, incluant la validation de l’étanchéité des VLAN production face au réseau bureautique. Bpifrance et plusieurs régions cofinancent une partie de ces diagnostics pour les PME industrielles.
FAQ
L’IT gère les données d’entreprise en priorisant leur confidentialité, tandis que l’OT pilote des équipements physiques en priorisant leur disponibilité continue. Un automate OT demeure en service quinze à vingt ans, contre seulement trois à cinq ans pour un poste IT.
Elle connecte des équipements industriels historiquement isolés à des réseaux bureautiques exposés à internet, multipliant les points d’entrée possibles. 72 % des attaques touchant des environnements industriels démarrent côté IT avant de se propager vers l’OT.
Son périmètre cible surtout les entités essentielles et importantes de taille moyenne ou grande, réparties dans 18 secteurs dont le manufacturier. Une PME sous-traitante peut néanmoins être concernée indirectement via les exigences de sécurité imposées par ses donneurs d’ordre régulés.
Modbus et DNP3, conçus dans les années 1970, circulent encore majoritairement sans chiffrement natif sur de nombreux sites. Leur remplacement complet demeure rare, car les automates associés fonctionnent généralement depuis plus de quinze ans.
La segmentation par VLAN isole les systèmes critiques du réseau bureautique sans toucher aux automates en fonctionnement. Les tests de validation se planifient hors des heures de production ou lors des arrêts de maintenance déjà programmés.
- Partager l'article :
Merci, bon travail. Claire, simple à comprendre