Technologie opérationnelle (OT)

Ce que ça change pour une organisation

Le NIST définit la technologie opérationnelle (OT, pour operational technology) comme l’ensemble des systèmes programmables qui interagissent avec l’environnement physique, en détectant ou en provoquant des changements sur des équipements, des procédés ou des événements. L’ANSSI parle de systèmes industriels pour désigner ceux qui servent à conduire et surveiller des procédés avec une action physique directe, et qui peuvent de ce fait présenter des risques pour les personnes, les biens ou l’environnement. Les automates d’une usine en font partie, mais aussi la climatisation, les ascenseurs, les contrôleurs de froid d’un magasin ou les systèmes de contrôle d’accès d’un immeuble.

Avant même toute question technique, ces équipements posent un problème de gouvernance, puisqu’ils sont achetés, installés et maintenus par des services techniques ou des prestataires spécialisés, rarement recensés dans l’inventaire de la direction informatique, et conçus pour fonctionner pendant quinze ou vingt ans alors que leur fabricant cesse de publier des correctifs bien avant. Lorsqu’une interface d’administration est en plus accessible depuis Internet, l’équipement devient une cible directe. Le NIST et l’ANSSI recommandent de séparer les réseaux industriels des réseaux bureautiques, de n’autoriser l’accès distant qu’à travers un point d’entrée maîtrisé et de tenir un inventaire des équipements avec leur version logicielle et leur date de fin de support.

Exemple

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris le contrôle à distance des contrôleurs de froid de plusieurs centaines de supermarchés français et placé vitrines et chambres froides en dégivrage forcé. Le CERT-FR a constaté de nombreuses compromissions de contrôleurs exposés sur Internet et rappelé qu’une telle exposition est contraire aux bonnes pratiques. Aucune donnée n’a été volée, mais les pertes de marchandises se sont chiffrées en millions d’euros.

À ne pas confondre avec

• L’Internet des objets (IoT) : objets connectés grand public ou professionnels (capteurs, caméras, enceintes) qui ne commandent pas nécessairement un procédé physique critique, même si la frontière s’estompe avec l’industrie.
• Le système d’information (IT) : postes de travail, serveurs et applications de gestion, dont les cycles de mise à jour, les équipes et les outils de sécurité sont distincts de ceux de l’OT.