Alors que les réseaux des technologies opérationnelles (TO) des entreprises industrielles sont voués à s’intégrer à leur réseau TI, la segmentation de réseau apparaît comme une méthode incontournable pour conserver les caractéristiques et les précautions de sécurité spécifiques aux TO.
La segmentation de réseau n’est pas un nouveau concept. Elle est utilisée depuis longtemps en réseautique pour diviser un même réseau physique en sous-réseaux. Puisqu’il s’agit au départ d’un seul réseau physique, cette division se fait sur une base logique, par une approche de réseau défini par le logiciel (software-defined networking ou SDN).
En divisant ainsi son réseau, l’entreprise le rend plus efficient et performant : le trafic qui circule dans un sous-réseau est principalement consacré à la communication entre les appareils qui y sont reliés. Il n’y a donc pas de ralentissement dû à du trafic sans rapport avec les besoins des usagers branchés sur le sous-réseau.
Mais c’est sur le plan de la sécurité que la segmentation génère les bénéfices les plus évidents. Chaque sous-réseau correspond à des activités qui ont besoin de fonctions spécifiques, auxquelles seuls des groupes d’employés désignés doivent pouvoir accéder. Les équipes des ventes, du service à la clientèle, de la comptabilité, des ressources humaines, par exemple, peuvent ainsi utiliser les serveurs et les données dont ils ont besoin pour leur travail, mais seulement ces serveurs et ces données. Il est ainsi plus facile d’assurer la confidentialité des données et de prévenir des fuites ou des accès non autorisés.
En cas d’intrusion ou de panne, le dommage est limité au sous-réseau qui en est victime. La segmentation est donc une façon simple de contenir les attaques et les incidents.
Ces bénéfices répondent parfaitement aux besoins des opérations dans un contexte industriel.
Par rapport aux réseaux TI, les réseaux TO connectent des appareils qui présentent des particularités distinctes :
Ces caractéristiques font du réseau TO un sous-réseau « à part ». Il faut trouver une façon de respecter cette spécificité, tout en visant une intégration avec le réseau TI.
La segmentation de réseau est la façon la plus simple de répondre simultanément à ces deux impératifs.
Une segmentation de réseau TO se fait habituellement en couches superposées.
De façon schématique et simplifiée, une segmentation typique de réseau TO pourrait comprendre quatre couches superposées, numérotées de 0 à 3, au sein d’une zone industrielle :
Située sous la zone d’entreprise qui couvre tous les sites de l’entreprise, les activités de soutien de l’organisation (finances, RH, marketing, etc.) et les échanges avec Internet, la zone industrielle est habituellement propre à un site de production physique, comme une usine. Cette zone industrielle couvre la gestion des activités dans l’ensemble du site ainsi que les réseaux des différentes zones de production du site :
Pour permettre à l’entreprise de contrôler le processus fonctionnel, tous les réseaux doivent communiquer entre eux en temps réel et selon des règles d’accès strictes.
À titre d’exemple, on pourrait détailler ainsi chaque niveau dans la zone industrielle :
Niveau 0 : Plancher physique
Niveau 1 : Contrôle de processus
Niveau 2 : Surveillance (gestion de la production)
Niveau 3 : Opérations et contrôle
Chaque niveau/couche a ses propres règles d’accès, mais les couches les plus basses ont habituellement des règles plus nombreuses et/ou plus restrictives. Les sous-réseaux des couches les plus basses sont aussi réservés à des utilisateurs moins nombreux.
D’une couche à l’autre, les sous-réseaux sont séparés par des pare-feu.
Ce type de segmentation permet, à haut niveau, de filtrer le trafic, les données et les applicatifs selon les types de fonctions et de besoins des usagers.
Si nécessaire, chaque niveau peut être lui-même subdivisé en sous-réseaux homogènes. Ainsi, un processus concentré sur la fabrication de pièces pourrait avoir son propre sous-réseau, et un autre processus, concentré sur l’assemblage des pièces, pourrait avoir le sien. Les deux seraient alors séparés par segmentation, mais resteraient placés sous la « supervision » commune du niveau supérieur.
La segmentation par logiciel permet donc d’adapter le réseau physique aux besoins précis induits par les processus de production.
Une bonne segmentation constitue un élément fondamental pour assurer l’efficacité, la résilience et la sécurité d’un réseau intégré TI-TO.
Vous souhaitez faire évoluer votre réseau d’entreprise pour qu’il soit plus efficace, sécuritaire et résilient ? Les experts de NOVIPRO peuvent vous aider. Nous analyserons la configuration actuelle de votre réseau et vous proposerons des améliorations pour vous faire entrer dans l’ère de l’industrie 4.0. Contactez-nous pour nous faire part de vos enjeux.
Lire l'article suivant du dossier : Pourquoi une plateforme de gestion des composantes rend un réseau TO plus sécuritaire.