En milieu industriel, la hiérarchie habituelle de la sécurité s'inverse : la disponibilité et la sûreté des personnes passent avant la confidentialité. Un contrôle d'accès qui empêche un opérateur d'agir sur une installation en situation dégradée n'est pas une mesure de sécurité, c'est un risque industriel. Cette inversion explique pourquoi les dispositifs d'authentification conçus pour la bureautique échouent presque systématiquement en atelier.
Ce qu'il faut réellement protéger
- Les systèmes de conduite et de supervision : automates, superviseurs, historiques de procédé. Une modification de consigne peut avoir des conséquences physiques.
- Les accès de télémaintenance ouverts aux équipementiers et intégrateurs, souvent permanents et rarement revus.
- La propriété industrielle : plans, recettes de fabrication, paramètres de procédé, résultats d'essais. Leur durée de confidentialité se compte en décennies.
- La chaîne logistique numérique : commandes, ordres de fabrication, échanges avec les fournisseurs.
- Les comptes à privilèges sur le réseau bureautique, qui restent la porte d'entrée la plus fréquente vers les environnements industriels.
Les contraintes qui font échouer les dispositifs génériques
L'environnement physique impose ses règles. Gants, casques, bruit, poussière, zones où les équipements électroniques personnels sont restreints. Un facteur d'authentification qui suppose de manipuler un téléphone personnel n'est pas déployable partout.
Les postes sont partagés et l'équipe tourne. Trois équipes par jour, intérimaires, remplacements. Le besoin est une identification individuelle rapide, sans quoi un compte de service unique s'imposera de fait.
Les cycles de vie sont très longs. Un automate déployé aujourd'hui fonctionnera peut-être encore dans vingt ans, avec une pile logicielle figée. Les mises à jour sont contraintes par les fenêtres d'arrêt de production, parfois annuelles.
Le réseau n'est pas toujours disponible. Zones blanches, réseaux isolés, sites distants. Un mécanisme dépendant de la réception d'un message externe est structurellement fragile — et l'OTP par SMS est de toute façon classé « restricted » par le NIST.
Les intervenants extérieurs sont nombreux : intégrateurs, équipementiers, sous-traitants de maintenance. Leurs accès constituent une part importante de la surface d'attaque.
L'arrêt de production a un coût immédiat, ce qui crée une pression permanente en faveur du contournement des contrôles jugés lents.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| NIS2 — directive (UE) 2022/2555 | entités essentielles et importantes, dont de nombreux industriels | mesures de gestion des risques citant l'authentification multifacteur ou continue, sécurité de la chaîne d'approvisionnement |
| Cyber Resilience Act — règlement (UE) 2024/2847 | produits comportant des éléments numériques | sécurité dès la conception, interdiction des mots de passe par défaut ; obligations principales à horizon fin 2027 |
| ISO/IEC 27001 | démarche volontaire | contrôle d'accès et gestion des identités |
| RGPD | données des salariés et des intervenants | proportionnalité des dispositifs, encadrement strict de la biométrie |
Le Cyber Resilience Act mérite une lecture attentive côté industriel, car il agit dans les deux sens : il crée des obligations pour l'industriel fabricant de produits connectés, et il fournit un levier contractuel pour l'industriel acheteur d'équipements.
Les parcours sensibles à traiter en priorité
- Ouverture de session sur poste d'atelier partagé. L'objectif est une identification individuelle en quelques secondes, compatible avec des mains occupées.
- Télémaintenance par un tiers. À déclencher à la demande, pour une durée limitée, avec un accès nominatif et une traçabilité exploitable. Un tunnel permanent est un risque permanent.
- Modification de paramètres de conduite ou de consignes de sécurité, où la preuve doit porter sur l'action et non sur la session.
- Accès aux comptes à privilèges des systèmes de supervision et d'administration.
- Validation des ordres de paiement fournisseurs, cible classique de la fraude au changement de coordonnées bancaires dans les directions achats.
- Procédure d'accès en situation d'urgence, qui doit exister, être tracée et faire l'objet d'une revue systématique a posteriori.
Sur les actions à conséquence physique, la question n'est pas seulement l'identité de l'opérateur, mais la certitude qu'un humain agit en conscience — et non un automate détourné ou une personne manipulée à distance. Le 4ᵉ facteur cognitif apporte cette preuve d'intention, avec un enrôlement hors ligne qui n'impose ni annuaire central, ni matériel supplémentaire à porter en zone.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage en industrie · réutilisation d'identifiants · interception en temps réel (AiTM) · deepfake vocal · fatigue MFA · détournement de session
Conformité : NIS2 en industrie et OIV · Cyber Resilience Act
FAQ
Peut-on appliquer une MFA sur des systèmes industriels anciens ?
Rarement de façon native. La voie praticable consiste à authentifier fortement l'accès au chemin — passerelle, poste d'ingénierie, bastion d'administration — plutôt que l'automate lui-même, dont la pile logicielle est figée.
Comment gérer les accès des équipementiers ?
Par des accès nominatifs, ouverts à la demande, limités dans le temps et journalisés. La règle la plus efficace est de supprimer les tunnels permanents, quitte à formaliser une procédure d'ouverture rapide.
Que faire des zones où le téléphone est interdit ?
Choisir un facteur qui ne dépend pas d'un appareil personnel. C'est un critère d'éligibilité à poser dès l'appel d'offres, avant toute considération de fonctionnalités.
NIS2 impose-t-il un dispositif technique précis ?
Non. Le texte cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques, sans imposer de produit. L'attendu est une démarche proportionnée et documentée.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · MFA résistante au phishing · choisir une solution d'authentification