Cybersécurité industrielle : le nouveau pilotage stratégique IT vs OT

En 2025 la menace cyber s’industrialise et cible les infrastructures critiques. La convergence entre l’informatique de bureau (IT) et l’informatique industrielle (OT) impose une transition. La sécurité n’est plus une affaire de techniciens, mais un levier stratégique de résilience% sous la responsabilité directe des dirigeants.

Gouvernance de la Sécurité Numérique : Vers un Impératif Stratégique et de Résilience

Résumé Exécutif

La sécurité numérique a franchi une étape décisive : elle n’est plus une simple fonction technique, mais une condition sine qua non de la pérennité, de la performance et de la souveraineté des organisations. Dans un contexte marqué par une menace hybride, industrialisée et exacerbée par des tensions géopolitiques mondiales, la gouvernance de la sécurité numérique s’impose comme un levier de résilience global.

Les principaux points saillants de cette analyse incluent :

• Changement de paradigme réglementaire : La directive européenne NIS2 (octobre 2024) élève la cybersécurité au rang d’enjeu stratégique, engageant directement la responsabilité légale des mandataires sociaux.
• Approche par vecteurs : La gouvernance se structure désormais autour de trois axes : la construction d’une Politique de Sécurité Numérique (PSN) globale, son application opérationnelle quotidienne et un pilotage fin par les métriques.
• Responsabilisation du sommet : Le risque numérique n’est plus « l’affaire des techniciens ». 95 % des entreprises considèrent désormais que la sécurité des technologies opérationnelles (OT) relève de la direction générale.
• Modèles sur-mesure : Il n’existe pas de modèle unique ; la gouvernance doit s’adapter à l’ADN de l’organisation via quatre archétypes fonctionnels (Expert, Conformité, Plateformisation ou Sécurité Intégrée).

1. Un Paysage de Menaces en Mutation Profonde

Industrialisation et Hybridation

En 2025-2026, la menace cyber se stabilise à un niveau élevé mais gagne en sophistication. On observe une industrialisation de la menace (« Cybercrime-as-a-Service ») et une hybridation des modes d’action. La frontière entre menace étatique et cybercriminelle s’efface, les attaquants partageant outils et infrastructures d’anonymisation.

Nouvelles Cibles et Vecteurs

• Chaînes d’approvisionnement : Ciblage direct des fournisseurs de confiance (Microsoft, Salesforce, AWS) pour compromettre leurs clients.
• Convergence IT/OT : L’interconnexion entre les systèmes d’information (IT) et les systèmes industriels (OT) crée de nouvelles vulnérabilités critiques.
• Intelligence Artificielle : Utilisation de l’IA pour automatiser l’hameçonnage et le vol de données via des infostealers.
• Menaces Informationnelles : Utilisation de cyber-activistes pour déstabiliser des institutions par la seule communication (ex: fausses annonces de sabotage).

2. Les Trois Vecteurs de la Gouvernance

Pour assurer la résilience, la gouvernance de la sécurité numérique s’articule autour de trois piliers stratégiques.

Vecteur 1 : Définition de la Politique de Sécurité Numérique (PSN)

La PSN dépasse la traditionnelle PSSI (systèmes d’information) pour englober la maîtrise des dépendances technologiques, géopolitiques et juridiques.

• Cible de sécurité : Définir un niveau (basique à élevé) selon l’exposition.
• Appétence au risque : Fixer formellement le seuil d’acceptation des risques.
• Assurance cyber : Transférer les risques résiduels après identification et hiérarchisation des scénarios critiques.

Vecteur 2 : Application Quotidienne et Opérationnelle

L’objectif est de transformer la politique en capacités concrètes de prévention et de réaction.

• Hygiène numérique : Acculturation globale de l’ensemble des collaborateurs.
• Coordination IT/OT : Clarifier les responsabilités entre les équipes informatiques et industrielles.
• Entraînement : Simulations régulières de crises pour tester la résilience proactive.

Vecteur 3 : Pilotage par les Métriques

Le pilotage doit adapter les indicateurs au niveau de décision :

• Niveau Stratégique : Indicateurs de synthèse sur la couverture des risques majeurs.
• Niveau Décisionnel : Évaluation du retour sur investissement et résorption de la « dette de sécurité ».
• Niveau Opérationnel : Vélocité de remédiation face aux alertes (ex: via un SOC).

3. Matrice des Responsabilités Décisionnelles

Le rapport souligne une distinction claire entre les instances de direction, tout en insistant sur leur nécessaire implication.

Instance	Rôle Principal	Responsabilités Clés
Conseil d’Administration (CA)	Orientation et Garantie	Fixer l’appétence au risque, valider la stratégie globale, arbitrer les ressources critiques.
Comité Exécutif (Comex)	Proposition et Impulsion	Aligner la vision stratégique avec les métiers, structurer la gouvernance interne, orchestrer la résilience.
DSSI / CISO	Expertise et Pilotage	Porter la responsabilité de l’OT (désormais pour 52% des entreprises), gérer la conformité et la détection.

4. Archétypes Organisationnels de Gouvernance

Quatre modèles se dégagent selon le positionnement stratégique choisi par l’organisation :

• Expert et Partenaire : Centré sur les besoins métiers et l’innovation ; approche facilitatrice pour les affaires.
• Conformité et Affaires Publiques : Priorité à la gestion des risques réglementaires et législatifs.
• Plateformisation et Gouvernance : Définition d’un cadre commun avec partage de responsabilités et expansion autonome de la sécurité.
• Sécurité Intégrée : Gestion du continuum de la menace (physique et numérique) avec une responsabilité opérationnelle globale.

5. Focus sur la Cybersécurité Industrielle (OT)

La sécurité des systèmes industriels est devenue un révélateur de la maturité organisationnelle. Elle n’est plus perçue comme un sujet technique, mais de gouvernance pure.

Enjeux de l’OT

• Visibilité : Nécessité de comprendre chaque composante du réseau pour protéger les ressources critiques.
• Segmentation : Application de normes (type ISA/IEC 62443) pour isoler les réseaux IT et OT.
• Maturité et Impact : Les entreprises aux niveaux de maturité élevés (3 et 4) subissent significativement moins d’attaques ou sont mieux préparées à les déjouer.
• Consolidation : Une tendance forte à réduire le nombre de fournisseurs (78 % des entreprises utilisent 1 à 4 fournisseurs) pour simplifier l’architecture et améliorer la réponse automatisée.

Répartition des Tâches (Synthèse IT/OT)

L’analyse des processus montre une répartition fine entre les métiers (OT), l’équipe IT et la Cyber transverse :

• Analyse de risque : Le métier identifie les événements redoutés, la cyber structure les méthodes.
• Accès distants : L’IT gère (VPN, Bastions), le métier encadre les usages, la cyber supervise les accès.
• Détection : Le métier fournit le contexte, l’IT opère la surveillance, la cyber pilote le SOC/SIEM.

6. Principes d’Action pour la Performance

Pour une gouvernance efficace, trois principes directeurs doivent guider les décideurs :

• Réalisme et Coopération : Aligner l’effort de sécurité sur les critères réels de création de valeur et décloisonner l’organisation pour responsabiliser chaque partie prenante.
• Alignement Organisationnel : Clarifier les mandats et mutualiser les compétences pour trancher rapidement les arbitrages vitaux.
• Vision Systémique : Utiliser des indicateurs concrets (ex: réduction de la dette technique) partagés dans un cadre de confiance pour entretenir la réactivité opérationnelle.

Ce document de synthèse est destiné à nourrir le dialogue avec les instances dirigeantes afin de transformer la sécurité numérique en un véritable actif stratégique.