Connecter directement le réseau informatique d'une entreprise au réseau SCADA ou DCS constitue rarement une architecture satisfaisante pour un environnement industriel critique.

Les deux environnements n'ont pas les mêmes objectifs, les mêmes technologies ni les mêmes contraintes. L'IT privilégie généralement la protection des données et des services numériques, alors que l'OT doit également préserver la disponibilité, la sûreté et la continuité du procédé industriel.

La création d'une DMZ industrielle, ou Industrial DMZ, permet d'introduire une zone intermédiaire contrôlée entre ces deux mondes.

1. Pourquoi séparer les réseaux IT et OT ?

Dans une infrastructure non segmentée, une compromission initialement limitée au réseau IT peut faciliter un mouvement latéral vers les systèmes industriels.

Une architecture industrielle peut contenir des actifs particulièrement sensibles :

• serveurs SCADA et DCS ;
• stations d'ingénierie ;
• PLC et RTU ;
• HMI ;
• historians ;
• serveurs OPC ;
• IED et relais de protection ;
• serveurs de licences ;
• systèmes de sauvegarde OT.

2. À quoi ressemble une architecture avec DMZ industrielle ?

Une architecture classique utilise une zone intermédiaire entre l'Enterprise IT et les systèmes OT.

L'objectif n'est donc pas simplement d'ajouter deux firewalls.

Il faut surtout modifier la manière dont les applications échangent leurs données.

3. Quels services peut-on placer dans une DMZ industrielle ?

Une DMZ OT peut héberger plusieurs services permettant de supprimer ou de réduire les communications directes entre IT et OT.

4. Que ne faut-il pas placer dans la DMZ ?

La DMZ ne doit pas devenir un deuxième réseau OT dans lequel on place progressivement tous les systèmes.

Les systèmes directement nécessaires au contrôle du procédé doivent rester dans les zones OT adaptées à leur fonction et à leur criticité.

5. Faut-il utiliser deux firewalls ?

Une architecture à deux niveaux de filtrage est couramment utilisée :

Cette conception permet de définir séparément les règles :

• entre IT et DMZ ;
• entre DMZ et OT.

Selon la criticité, la taille de l'installation, les contraintes d'exploitation et l'analyse de risques, l'architecture exacte peut cependant varier.

6. Les règles firewall doivent partir des flux nécessaires

L'une des erreurs les plus fréquentes consiste à construire la DMZ puis à créer des règles très permissives pour résoudre rapidement les problèmes de communication.

Une telle règle réduit fortement la valeur de la segmentation.

Chaque flux doit être justifié.

7. Sécuriser les accès distants des fournisseurs

Les intégrateurs, constructeurs et prestataires ont parfois besoin d'accéder à des systèmes industriels pour effectuer une maintenance ou un diagnostic.

L'architecture suivante doit être évitée :

Une approche plus contrôlée consiste à imposer un passage intermédiaire.

Il est alors possible d'ajouter :

• comptes nominatifs ;
• authentification multifacteur ;
• accès limités dans le temps ;
• approbation préalable ;
• restriction des équipements accessibles ;
• journalisation ;
• enregistrement des sessions selon le besoin.

8. Contrôler les transferts de fichiers vers l'OT

Les fichiers transférés depuis le réseau IT vers l'environnement industriel peuvent inclure :

• mises à jour ;
• drivers ;
• projets PLC ;
• configurations ;
• fichiers bureautiques ;
• packages logiciels ;
• signatures antivirus.

Une architecture de transfert contrôlé peut être :

9. Comment gérer les mises à jour OT ?

Autoriser chaque serveur OT à accéder directement à Internet pour télécharger ses mises à jour augmente inutilement les communications sortantes.

Une architecture intermédiaire peut utiliser un relais de mise à jour dans la DMZ.

Les mises à jour doivent néanmoins suivre le processus OT de validation, de compatibilité, de planification et de retour arrière.

10. Envoyer les logs vers le SOC sans ouvrir tout l'OT

Une entreprise peut souhaiter centraliser les logs OT dans un SIEM ou un SOC central.

Cela ne signifie pas que le SIEM IT doit pouvoir communiquer librement avec tous les systèmes industriels.

Cette architecture permet de contrôler le sens des communications et de réduire les dépendances directes entre les deux environnements.

11. DMZ industrielle et IEC 62443

IEC 62443 ne doit pas être interprétée comme une norme imposant une architecture identique à toutes les installations.

IEC 62443-3-2 demande notamment d'identifier le système considéré, d'évaluer les risques et de le partitionner en zones et conduits.

Dans cette logique, une DMZ industrielle peut constituer une zone spécifique permettant de contrôler les conduits entre l'IT et l'OT.

Les exigences de sécurité appliquées à chaque zone et conduit doivent découler de l'analyse de risques.

12. Penser à la haute disponibilité

Dans une infrastructure industrielle, la cybersécurité ne doit pas créer un nouveau point unique de défaillance.

Selon la criticité du site, il faut donc étudier :

• haute disponibilité des firewalls ;
• redondance réseau ;
• alimentation secourue ;
• redondance des services DMZ critiques ;
• sauvegarde des configurations ;
• procédures de reprise.

13. Superviser également la DMZ

La DMZ est un point de passage stratégique. Elle doit donc être particulièrement visible pour les équipes de cybersécurité.

Il peut être utile de surveiller :

• connexions VPN ;
• authentifications ;
• sessions administratives ;
• changements de règles firewall ;
• transferts de fichiers ;
• nouveaux flux réseau ;
• tentatives de connexion refusées ;
• événements de sécurité des serveurs DMZ.

14. Pourquoi cette architecture est pertinente au Maroc ?

Les infrastructures industrielles marocaines sont de plus en plus connectées aux systèmes de gestion, aux centres de supervision, aux plateformes digitales et aux prestataires distants.

Le besoin de séparation IT/OT concerne notamment des environnements tels que :

• mines et phosphates ;
• énergie ;
• postes électriques ;
• eau et assainissement ;
• cimenteries ;
• agroalimentaire ;
• automobile ;
• infrastructures de transport ;
• utilities ;
• sites industriels multisites.

Le Maroc dispose par ailleurs de la loi n° 05-20 relative à la cybersécurité, notamment pertinente pour certaines administrations, organismes et infrastructures d'importance vitale.

15. Exemple pratique pour une usine marocaine

Prenons une usine disposant de :

• un réseau IT d'entreprise ;
• un SCADA ;
• deux serveurs SCADA ;
• deux stations d'ingénierie ;
• plusieurs PLC ;
• un historian ;
• un système de sauvegarde ;
• des accès prestataires ;
• un SIEM central.

Une démarche de conception peut suivre les étapes suivantes.

Checklist d'une DMZ industrielle

Les erreurs les plus fréquentes

• créer une DMZ mais conserver des flux directs IT vers OT ;
• autoriser des règles ANY/ANY entre les zones ;
• placer un SCADA primaire dans la DMZ ;
• laisser les fournisseurs accéder directement aux PLC ;
• autoriser Internet directement depuis les serveurs OT ;
• ne pas journaliser les accès administratifs ;
• utiliser des comptes partagés ;
• ne pas tester les scénarios de panne ;
• considérer la DMZ comme un simple VLAN ;
• ne jamais revoir les règles firewall après le projet.

Conclusion

Une DMZ industrielle constitue une brique importante d'une architecture de cybersécurité OT, mais sa valeur dépend avant tout de la manière dont elle est conçue et exploitée.

L'objectif n'est pas de multiplier les firewalls, mais de réduire les relations de confiance entre les environnements IT et OT et de rendre chaque échange explicitement contrôlé.

À découvrir également

Cybersécurité OT/ICS → Pare-feux NGFW pour environnements OT → Télégestion et accès distant sécurisés → Switches Ethernet industriels → Systèmes SCADA industriels → Formations cybersécurité OT/ICS →

Questions fréquentes sur les DMZ industrielles

Qu'est-ce qu'une DMZ industrielle ?

Une DMZ industrielle est une zone réseau intermédiaire utilisée pour contrôler les échanges entre des environnements ayant des niveaux de confiance différents, typiquement les réseaux IT et OT.

Une DMZ industrielle est-elle simplement un VLAN ?

Non. Un VLAN peut participer à la segmentation, mais la DMZ doit également disposer de contrôles réseau, de règles de communication et de services intermédiaires adaptés.

Faut-il deux firewalls pour une DMZ OT ?

Une architecture avec filtrage de chaque côté de la DMZ est couramment utilisée. La conception exacte dépend cependant de l'analyse de risques, de la criticité, de la disponibilité et de l'architecture du site.

Peut-on placer un Jump Server dans la DMZ ?

Oui. Un Jump Server peut constituer un point de passage contrôlé pour les accès administratifs et distants vers certains systèmes OT.

IEC 62443 impose-t-elle une DMZ ?

IEC 62443 repose notamment sur une approche basée sur les risques, les zones et les conduits. Une DMZ peut être utilisée comme zone intermédiaire, mais l'architecture doit être déterminée selon les risques et les exigences du système.

Pourquoi déployer une DMZ industrielle au Maroc ?

Elle permet notamment aux sites industriels connectés à des réseaux d'entreprise, centres de supervision ou prestataires externes de mieux contrôler les communications entre leurs environnements IT et OT.

Références techniques

Pour approfondir le sujet, Digital Ignite recommande notamment les référentiels officiels suivants :

• NIST SP 800-82 Rev. 3 - Guide to Operational Technology Security
• IEC 62443-3-2 - Security risk assessment for system design
• CISA - Primary Mitigations to Reduce Cyber Threats to OT
• DGSSI - Loi n° 05-20 relative à la cybersécurité