Vous héritez d'un réseau d'usine rempli d'automates (PLC). Votre scanner de vulnérabilités et votre cycle de patchs IT sont prêts — comment les adaptez-vous à l'OT ?

Le piège de cette question est de traiter un réseau OT comme un grand LAN de bureau. Les contrôleurs industriels interagissent avec le monde physique : un scan ou un correctif banal sur un portable peut arrêter une pompe ou une ligne de production.

Ce que dit le NIST

Le NIST SP 800-82r3 construit la sécurité OT autour d'exigences uniques de performance, de fiabilité et de sûreté. Ses recommandations sont précises :

• Patching : les mises à jour ne peuvent pas toujours être appliquées rapidement ; elles exigent des tests approfondis par l'éditeur et l'exploitant, des arrêts planifiés des jours ou semaines à l'avance, parfois une revalidation. Les correctifs doivent d'abord être testés sur un bac à sable puis appliqués en fenêtres de maintenance planifiées, avec un plan de reprise.
• Scan actif : il faut évaluer si les outils de scan actif peuvent nuire aux systèmes OT, et les tester sur des systèmes hors ligne avant déploiement.
• Surveillance : une surveillance réseau en mode passif (ports SPAN ou taps) est une première étape pertinente.
• Équipements non patchables : utilisez des contrôles compensatoires, par exemple des équipements « bump-in-the-wire » placés devant eux.

Pourquoi les distracteurs échouent

Scanner tout ce soir ignore les consignes de test. Refuser de sécuriser l'OT est défaitiste : surveillance passive, segmentation et patching planifié fonctionnent. Scanner aux heures de pointe maximise les dégâts si un équipement fragile tombe.

Ce que veulent les recruteurs

Une réponse senior montre que vous adaptez les méthodes à l'environnement : découvrir passivement, tester d'abord, changer en fenêtres, compenser quand on ne peut pas patcher.