Un guide international publié le 28 juillet 2026 détaille la manière dont les opérateurs d’infrastructures critiques peuvent isoler leurs systèmes industriels en cas de cyberattaque sans interrompre les services essentiels. La priorité consiste à définir à l’avance le noyau technique qui doit rester opérationnel.
Définir le périmètre vital
Publié par l’Australian Signals Directorate avec plusieurs partenaires internationaux, le guide CI Fortify demande aux opérateurs d’identifier le nombre minimal de systèmes nécessaires au maintien du service critique.
Cette cartographie doit intégrer les clients prioritaires, comme les services de secours, les infrastructures militaires ou les opérateurs dépendants. Chaque connexion avec l’extérieur doit être documentée avec son usage, son propriétaire, le prestataire concerné et les objectifs de continuité associés.
Le périmètre inclut les liens avec le réseau bureautique, Internet, les plateformes cloud, les accès de maintenance à distance, les réseaux industriels tiers ainsi que les connexions mobiles, satellitaires ou télécoms.
Repérer les dépendances cachées
De nombreux environnements OT reposent encore sur des services partagés avec l’IT, notamment Active Directory, le DNS, le DHCP, la virtualisation, le stockage, les sauvegardes, la gestion des certificats ou la synchronisation horaire. Le guide recommande de rapprocher les fonctions indispensables des réseaux industriels et de limiter le recours aux infrastructures communes. L’alimentation électrique, le refroidissement et la sécurité physique ne doivent pas non plus dépendre d’un réseau moins critique.
Les opérateurs doivent aussi prévoir l’indisponibilité de prestataires, d’intégrateurs ou de fournisseurs de consommables pendant une crise touchant plusieurs organisations.
Prévoir une coupure progressive
CI Fortify recommande un plan gradué. L’organisation peut d’abord désactiver les accès distants, interrompre les échanges entre l’IT et l’OT, puis isoler certains segments industriels avant de couper totalement les systèmes les plus sensibles. Il est nécessaire de pouvoir exploiter les fonctions OT vitales en isolement complet pendant une durée pouvant atteindre trois mois.
La séparation physique constitue la protection de référence. Les réseaux critiques ne doivent alors partager ni commutateurs, ni routeurs, ni ressources de calcul avec les environnements non essentiels. Lorsque cette architecture n’est pas possible, le guide préconise des liaisons dédiées et un chiffrement assuré par des équipements distincts des systèmes OT.
Ne pas s’en remettre aux seuls VLAN
Les VLAN, les listes de contrôle d’accès, le blocage de routes ou MPLS peuvent segmenter les flux, mais ne remplacent pas une séparation physique ou cryptographique. Le document déconseille d’utiliser les VLAN comme unique barrière entre deux domaines de sécurité. Il rappelle également que MPLS doit être complété par du chiffrement lorsque des flux OT transitent par une infrastructure tierce.
Les plateformes d’orchestration réseau et les architectures pilotées par API doivent faire l’objet d’une vigilance particulière. Leur plan de gestion doit pouvoir être isolé des réseaux bureautiques afin d’éviter qu’un point central compromis permette de modifier plusieurs équipements.
Tester l’isolement complet
Les exercices doivent porter sur l’ensemble des systèmes vitaux. Un test limité à quelques équipements ne permet pas de vérifier le comportement réel du service une fois les réseaux coupés. Le guide recommande de conserver une copie hors ligne du plan, puis de surveiller les tables de routage et les flux pendant toute la durée de l’isolement pour détecter une reconnexion accidentelle ou malveillante.
Le retour à la normale doit enfin tenir compte des systèmes restés sans correctif, de la perte de visibilité extérieure et du recours accru aux supports amovibles.
