Cartographie OT, la première étape pour sécuriser vos environnements industriels

On ne peut pas protéger ce qu’on ne connaît pas. C’est le point de départ de toute démarche de sécurisation OT sérieuse. Avant de protéger ou de surveiller, il faut savoir exactement ce qui tourne sur le réseau industriel : quels équipements, quels flux, quelles vulnérabilités. Cette première étape, la cartographie OT et l’inventaire, est aussi celle que la plupart des organisations ont le plus de mal à réaliser. Voici pourquoi elle est critique, et comment l’aborder concrètement.

À retenir

• La sécurisation d’un environnement OT suit une séquence précise qui commence par l’inventaire des actifs et des flux.
• En environnement industriel, deux automates identiques peuvent avoir des niveaux de criticité radicalement différents. L’évaluation ne peut pas se baser uniquement sur le type d’asset et doit intégrer le contexte opérationnel.
• Les flux réseau observés passivement sont la base la plus fiable pour comprendre qui communique avec qui : le déclaratif seul ne suffit pas.
• La cartographie doit parler à la fois aux équipes IT et aux équipes OT : les mêmes données, présentées sous des angles différents selon les métiers.
• Les configurations de protection peuvent être générées directement depuis la matrice des flux observés, sans étape manuelle intermédiaire.

Rappel : une démarche de sécurisation en cinq étapes

Face à la montée des menaces sur les environnements OT, les réglementations et les retours terrain convergent vers la même séquence :

• inventorier les actifs et les flux,
• réduire la surface d’attaque en supprimant ce qui est inutile,
• identifier les systèmes vitaux et les isoler physiquement,
• mettre l’infrastructure sous surveillance continue,
• sécuriser les sauvegardes avec une isolation physique.

Tout commence par la première étape. Sans inventaire fiable, les quatre suivantes reposent sur du vide.

Pourquoi la cartographie OT est plus complexe qu’il n’y paraît

En IT, cartographier un réseau est un exercice maîtrisé. Les outils existent, les équipes savent faire. En OT, c’est une autre histoire. Les environnements industriels ont évolué par couches successives, souvent sans documentation à jour. Des équipements legacy sans agent, des protocoles propriétaires, des topologies réseau complexes héritées d’architectures conçues pour la disponibilité avant tout : l’inventaire ne s’improvise pas.

Premier enjeu : reconstituer le pedigree complet de chaque asset. Un même équipement peut disposer de plusieurs adresses IP, de configurations réseau imbriquées, de versions logicielles et firmware qui ne correspondent plus à aucune documentation existante. Sans cette précision, toute évaluation de criticité ou de vulnérabilité reste approximative.

Deuxième enjeu : évaluer la criticité de chaque équipement. En IT, c’est souvent intuitif : un Active Directory est critique, point. En OT, deux automates de même marque et de même modèle peuvent appartenir à des périmètres métiers très différents. L’un pilote un processus vital pour la production, l’autre gère une fonction périphérique sans impact immédiat. Cette évaluation ne peut pas être généralisée : elle se fait équipement par équipement, en dialogue avec les équipes opérationnelles.

Le défi des angles de lecture
En IT, on parle souvent entre experts : réseau, cybersécurité, administration systèmes. En OT, les interlocuteurs sont différents : responsables de production, techniciens process, opérateurs terrain. Une cartographie efficace doit produire des représentations utilisables par ces deux mondes, à partir des mêmes données sous-jacentes.

– Les équipes IT ont besoin d’une vue réseau précise : subnets, flux, protocoles, vulnérabilités.

– Les équipes OT ont besoin d’une vue métier : par ligne de production, par fonction, par impact potentiel sur le process.

– Les deux doivent pouvoir travailler ensemble à partir d’une représentation commune.

Troisième enjeu : la fiabilité de la source. Un inventaire basé sur du déclaratif, c’est un inventaire qui reflète ce que les équipes croient connaître, pas ce qui existe réellement sur le réseau. Les flux non documentés, les connexions oubliées, les équipements ajoutés sans procédure formelle : ils n’apparaissent dans aucun fichier Excel, mais ils sont bien présents sur le réseau. Seule une analyse passive des flux réels permet de les faire remonter.

Comment Seclab Xplore adresse ces enjeux

Seclab Xplore est la brique de visibilité de la plateforme Xcore. Elle s’appuie sur des sondes passives déployées sur le réseau industriel pour observer les flux sans jamais les perturber. Pas d’agent à installer sur les équipements, pas d’impact sur la disponibilité des process : c’est une contrainte non négociable en environnement OT. À partir de ces flux observés, Xplore reconstruit une cartographie complète et multi-niveaux de l’infrastructure.

Les données collectées permettent de reconstituer le pedigree de chaque asset : nom, versions logicielles et firmware, configuration réseau, zonage, avec qui il communique, via quelles applications, dans quel sens et à quelle fréquence. Y compris pour les équipements disposant de plusieurs adresses IP ou de configurations complexes.

Plusieurs représentations sont disponibles à partir de ces mêmes données, pour s’adapter aux différents métiers et cas d’usage :

• Vue Logique (zones et conduits) : Affiche les différentes zones réseau avec leurs équipements et les flux entre ces zones (ou entre équipements). On peut laisser Xplore découvrir le réseau de façon autonome, ou injecter les configurations existantes (firewalls, switches) comme base de référence. La solution fait ensuite la différence entre le supposé connu et le réellement observé, pour mettre immédiatement à jour des inventaires obsolètes.
• Vue Purdue : représentation en couches, selon le modèle IEC62443, des systèmes cyberphysiques OT en bas jusqu’au cloud en haut. Elle permet d’identifier immédiatement des situations anormales : accès distants entre Internet et une zone d’administration industrielle, parfois contractualisés avec les mainteneurs mais pouvant contourner les firewalls via des routeurs 4G ou d’autres accès non maîtrisés.
• Vue métier (groupes fonctionnels) : les mêmes assets sont regroupés par fonctions opérationnelles (compression, pompage, énergie…). Elle permet de créer des zones fonctionnelles liées au métier plutôt que des zones techniques liées aux équipements réseau, et de faire dialoguer IT et OT à partir d’une représentation commune.
• Vue réseau : Mixte entre la vue Purdue et une architecture réseau classique, générée automatiquement par détection des routeurs et firewalls. Elle permet d’identifier les machines double-attachées (une interface dans le domaine admin, une dans le domaine indus), cibles privilégiées pour un attaquant souhaitant pivoter.
• Vue géographique : localisation physique des équipements sur site, pour savoir où se trouvent les actifs critiques ou vulnérables et faciliter les interventions de remédiation sur le terrain.

Toutes ces cartographies sont exportables au format Draw.io pour être partagées avec les équipes internes et externes, ou exploitées dans des projets de migration et de digitalisation.

Matrice des flux 

La matrice des flux est une pièce centrale de l’analyse. Elle indique quel équipement communique avec quel autre, via quelle interface réseau, jusqu’à la couche applicative. Elle permet de valider le sens de chaque communication entre un asset et l’ensemble de ses interlocuteurs réseau, en s’appuyant sur des flux réellement observés et non sur du déclaratif.

Cette matrice peut être analysée au niveau des subnets pour obtenir des vues intra et inter-VLAN, avec la même logique qu’un firewall : maîtrise des flux et contrôle des échanges applicatifs entre les différentes zones.

Son intérêt dépasse la cartographie. C’est directement depuis cette matrice que peuvent être générées les configurations pour le boîtier Seclab Xchange : les règles de filtrage ne sont pas saisies manuellement mais construites à partir des flux réellement observés sur le réseau industriel. C’est le lien direct entre la phase de découverte et la phase d’isolation.

Inventaire et gestion des vulnérabilités

L’inventaire Xplore va au-delà du simple recensement. Il intègre une évaluation de la criticité de chaque équipement découvert, configurée au cas par cas en lien avec les équipes métier. Cette criticité est reflétée visuellement dans toutes les vues cartographiques : la couleur des assets indique leur niveau de criticité ou leur statut de vulnérabilité.

Il est possible de configurer des vues spécifiques pour faire ressortir les situations à risque : par exemple, afficher en rouge les équipements vulnérables sur lesquels des connexions RDP actives sont établies. Un cas fréquent en environnement industriel, qui aide à prioriser les actions de remédiation.

La liste des vulnérabilités détectées est intégrée à la solution et peut être partagée avec d’autres outils : SOC, VOC, plateformes de patch management. L’intérêt de les contextualiser dans Xplore est de pouvoir prioriser chaque vulnérabilité en fonction de sa criticité réelle dans l’environnement OT concerné, et non selon un score CVSS générique déconnecté du terrain.

Enfin, la solution permet de croiser les logiciels installés sur les postes de travail avec les bases de vulnérabilités connues, en passant d’une collecte passive à une collecte semi-active (en déployant des scripts ou exécutables fournis par Seclab,  signés et auditables, sans installation). Les clés USB utilisées dans les environnements industriels sont également tracées, un vecteur d’introduction de menaces fréquemment sous-estimé.

Pour découvrir Seclab Xplore, visionnez cet extrait du replay de notre webinar de Juin 2026 

Et maintenant ?

La cartographie n’est pas une fin en soi : c’est le socle qui rend toutes les étapes suivantes possibles. Sans inventaire fiable, la réduction de la surface d’attaque reste partielle, l’identification des actifs vitaux est approximative, et l’isolation ne protège que ce qu’on a pensé à protéger.

Seclab Xplore est la première brique de la plateforme Seclab Xcore. Elle pose les bases de visibilité sur lesquelles s’appuient les capacités de détection et de protection. Dans le prochain article de cette série, nous aborderons l’étape suivante : l’isolation physique des actifs vitaux avec Seclab Xchange.