Convergence OT/IT sécurisée : relier sans décloisonner

Le dilemme : relier sans exposer

Trois forces tirent dans des directions opposées, et toute architecture de convergence doit les satisfaire ensemble.

La réponse classique — DMZ industrielle, règles de pare-feu au cas par cas, VPN d’exception — fonctionne, mais chaque nouveau flux est un projet : une règle de plus, une exception de plus, une revue de plus. La surface d’erreur grandit avec le nombre de liaisons.

Relier n’est pas fusionner : le modèle par identité

Le mesh ne connecte pas des réseaux entre eux — il connecte des machines identifiées. C’est ce déplacement qui change la sécurité de la convergence.

• Chaque machine porte une identité cryptographique propre (clés Ed25519) : ce qui se connecte est une machine précise, pas « quelque chose depuis le sous-réseau de l’atelier ».
• Les ACL refusent par défaut : aucun flux n’existe tant qu’il n’est pas écrit — machine, groupe, service. Voir décider qui parle à quoi.
• L’autorisation se fait service par service : l’historian expose son port de collecte au serveur IT autorisé — pas sa console d’administration, pas le reste de la machine.
• Jamais un sous-réseau entier : les machines se raccordent hôte par hôte, chaque équipement joignable est déclaré. Ce qui n’est pas enrôlé n’existe pas sur le mesh.
• La révocation est immédiate : fin de contrat, poste perdu, prestataire parti — l’accès tombe d’un geste, flux directs et diffusions comprises.

Mise en œuvre, pas à pas

1. 1
   Inventoriez les flux réellement nécessairesQuelles données montent (historian vers MES, OPC UA vers tableau de bord), qui intervient sur quoi (maintenance, constructeurs) : la convergence commence sur le papier, pas dans le pare-feu.
2. 2
   Enrôlez le côté OTL’agent s’installe sur les machines qui embarquent un PC, ou sur une passerelle de l’atelier — PC industriel, box Linux, NVIDIA Jetson — qui joint les équipements déclarés, hôte par hôte.
3. 3
   Enrôlez le côté ITLes serveurs qui consomment les données — MES, historian central, supervision groupe — reçoivent le même agent et la même identité machine que côté atelier.
4. 4
   Écrivez les ACL au moindre privilègeUn flux par besoin inventorié, dans un seul sens quand c’est possible : la collecte monte, rien ne redescend sans règle explicite. Tout le reste demeure refusé.
5. 5
   Observez, puis élargissez si besoinLe journal d’audit montre qui a joint quoi ; les demandes légitimes qui échouent se voient, et chaque élargissement est une décision tracée — pas une exception oubliée.

Journal d’audit et conformité

La convergence OT/IT est aussi une exigence réglementaire : il faut pouvoir montrer qui accède aux systèmes industriels, comment, et sur quelle décision.

• Chaque accès est journalisé dans la console — voir le journal d’audit : machine, acteur, moment.
• Les rôles par membre séparent qui administre le réseau, qui écrit les politiques et qui se contente d’accéder.
• Les accès des tiers — constructeurs, intégrateurs — sont bornés par ACL et révocables individuellement, sans toucher au reste.
• Le chiffrement est uniforme : QUIC/TLS 1.3 de bout en bout, clés Ed25519, établissement de clés hybride post-quantique — y compris sur les segments relayés.

Ce que la convergence ne doit pas casser

Converger ne veut pas dire dégrader l’atelier. Deux propriétés du terrain doivent survivre à l’arrivée du réseau commun.

• Le temps réel et la découverte : multicast et broadcast traversent le mesh — mDNS, SSDP, DDS/ROS 2 continuent de fonctionner, voir le domaine de diffusion.
• Les défenses existantes : pare-feu industriel, DMZ, segmentation physique restent en place — le mesh s’y superpose sans exiger leur démontage.

Questions fréquentes