// analyse
Qui commande réellement les machines ?
Sujets et garanties de lectureProfondeur 2 · 3 niveaux détectés
Garanties de lecture
Niveaux de preuve
Profondeur 2 : référence · 3 niveaux détectés
Sommaire et notions11 étapes · 2 notions
Analyse complète
La guerre contre les machines ordinaires · Volet 2/7
Un écran affiche la température, un contrôleur applique une consigne, un technicien peut modifier les réglages. Entre ces gestes, le pouvoir change de mains. Les manuels industriels permettent de suivre les chemins de la décision, les copies qui font autorité et les fonctions qui peuvent survivre à une coupure.
À la page 55 de son manuel de juin 2026, Danfoss décrit deux opérations inverses. Son superviseur AK-SM 800A peut récupérer les réglages présents dans les contrôleurs de terrain. Il peut aussi leur transmettre les réglages conservés dans sa propre base. Une même installation possède ainsi deux points de départ possibles pour la configuration. 1
Le choix paraît technique. Il engage pourtant une question d’exploitation : quelle copie doit devenir la référence ? Lorsqu’un matériel est remplacé, la décision de reprendre l’état du terrain ou d’appliquer une configuration préparée détermine les réglages qui gouverneront la suite. Une sauvegarde ancienne, un ajustement récent et un dossier de mise en service peuvent raconter des états différents. Il faut les départager avant de les recopier.
Cette circulation des paramètres éclaire les incidents de réfrigération signalés en octobre 2026. Le CERT-FR demande notamment de vérifier l’ensemble de la configuration, jusqu’aux plages de dégivrage. L’alerte souligne le risque lié à l’exposition d’interfaces d’administration et décrit plusieurs familles d’équipements. Elle laisse toutefois inconnue l’architecture détaillée de chaque magasin touché. 2
Pour comprendre le pouvoir accordé par ces interfaces, l’enquête peut avancer autrement : suivre les fonctions publiées par les fabricants et les confronter aux recommandations des agences de sécurité. Le présent volet reconstruit cette chaîne de décision. Les exemples Danfoss et Siemens portent sur des produits distincts ; leur rapprochement sert l’explication, sans leur attribuer une installation commune chez une victime.
La décision se fabrique près de la machine
Une sonde mesure une grandeur physique. Le contrôleur utilise cette mesure, des réglages et une logique de fonctionnement pour déterminer une action. Un actionneur traduit ensuite la commande en effet matériel : déplacer une vanne, alimenter un équipement, faire varier un entraînement. L’effet produit modifie à son tour la grandeur mesurée. Cette boucle de retour constitue l’un des éléments fondamentaux décrits par le NIST dans son guide de sécurité des technologies opérationnelles. 3
Les technologies opérationnelles, souvent désignées par le sigle OT, regroupent les systèmes numériques qui surveillent ou commandent des procédés physiques, autrement dit des activités matérielles comme produire du froid. Un automate programmable industriel peut exécuter une logique adaptée par l’intégrateur. Un régulateur spécialisé, par exemple dans le froid, organise ses fonctions autour d’un usage plus précis. Leur interface, leurs possibilités de programmation et leurs protections diffèrent. Les appeler tous « ordinateurs du magasin » effacerait les différences qui expliquent leur comportement. 3
Le manuel du Siemens S7-1200 donne un exemple concret d’exécution locale. En mode RUN, le processeur fait fonctionner le programme et traite les échanges avec les entrées et sorties. Le mode STOP conserve certaines fonctions, dont des communications, tandis que le programme utilisateur cesse de s’exécuter. Une machine capable de répondre sur le réseau peut donc avoir changé d’état de fonctionnement. 4
Au-dessus de cette régulation se trouve souvent l’interface opérateur : l’écran sur lequel une personne consulte une mesure ou intervient. La supervision rassemble une vision plus large, avec des états, des alarmes et des fonctions de commande. Le terme SCADA désigne une famille de systèmes de supervision et d’acquisition de données. Ces rôles peuvent être répartis sur plusieurs appareils ou réunis dans un même équipement. 3
Cette architecture change la manière d’interpréter une panne. Dans un exemple où toute la régulation nécessaire reste locale, un écran indisponible peut priver l’exploitant de visibilité alors que la boucle continue. Dès qu’une fonction indispensable dépend du superviseur, la conséquence devient différente. Le dessin d’un réseau ne suffit à départager ces situations qu’à condition d’y ajouter les fonctions et leurs dépendances.
Méthode et périmètre
Architecture fonctionnelle générique d’après le NIST, éclairée par un exemple Siemens d’exécution locale. Ambre : demandes et actions. Turquoise : mesures et états remontés. Rose : retour de l’état physique vers le capteur. Les fonctions peuvent être regroupées ou réparties. La topologie des victimes et leurs dépendances restent inconnues. Les traits décrivent des relations fonctionnelles, sans câblage ni protocole imposé.
Voir, modifier, exploiter : des droits de nature différente
L’accès distant recouvre plusieurs métiers. L’ANSSI distingue le télédiagnostic, consacré à l’observation et à l’analyse sans modification des paramètres, de la télémaintenance, susceptible de changer les réglages ou les programmes. Elle traite séparément la télégestion, qui consiste à exploiter le système à distance. Ces distinctions permettent de demander précisément à quoi sert une connexion. 5
Un service commercialisé comme de la « surveillance » mérite ainsi une description fonctionnelle. L’opérateur peut-il seulement lire un état ? Peut-il acquitter une alarme, modifier une plage horaire, changer la valeur demandée au procédé ? Chaque capacité ajoute une relation de confiance. Une commande peut être parfaitement légitime dans le cadre d’une intervention et devenir inadaptée à un autre moment. L’identité de l’intervenant, le contenu de son droit et la situation du procédé doivent être examinés ensemble.
La documentation Siemens apporte ici une précision utile : des autorisations Web ou OPC UA peuvent permettre de modifier des données indépendamment du niveau d’accès défini pour le processeur. Le constructeur recommande aussi de vérifier les plages et la validité des valeurs dans la logique du programme. OPC UA est ici un service d’échange de données industrielles, dont les droits constituent un chemin d’accès à examiner. 6
L’enseignement dépasse cet exemple, à titre de méthode d’analyse. Une revue des accès gagne à suivre chaque service jusqu’aux opérations qu’il autorise. Lire une valeur, en écrire une autre et charger une nouvelle logique représentent des pouvoirs différents. Un compte nominatif doit donc être accompagné de limites fonctionnelles explicites. Il faut connaître les droits réellement appliqués au point où la demande est reçue.
Le chiffrement protège un autre maillon. La spécification Modbus Security prévoit par exemple TLS, une couche de protection des échanges réseau, et des certificats pour protéger et authentifier les communications. Son existence indique qu’une variante sécurisée du protocole est disponible ; son utilisation sur une liaison donnée reste à vérifier. 7
Un raisonnement simple permet d’en voir la portée. Une demande transportée fidèlement peut contenir une valeur inappropriée. La protection du canal conserve la demande telle qu’elle a été émise. L’autorisation décide si son auteur peut la présenter. La logique du procédé détermine ensuite les conditions dans lesquelles elle doit être acceptée. Ces vérifications répondent à des questions successives, jusque dans une installation entièrement isolée d’Internet.
Deux copies, une référence à choisir
Le mécanisme décrit par Danfoss donne à ce partage des pouvoirs une forme tangible : les réglages vivent dans le superviseur et sur le terrain, avec des opérations permettant de les recopier dans l’un ou l’autre sens. Après leur remontée, une modification de consigne effectuée depuis le superviseur est transmise immédiatement au contrôleur, sans nouveau transfert explicite. Les copies peuvent donc évoluer pendant l’exploitation. 1
Considérons maintenant un cas hypothétique. Une équipe ajuste une configuration après la mise en service, tandis qu’une copie conservée ailleurs reste inchangée. Plus tard, un remplacement ou une restauration impose de choisir un état de référence. Recopier la version ancienne peut effacer l’ajustement. À l’inverse, adopter sans examen l’état trouvé sur le terrain peut conserver une modification indésirable. Ce scénario découle de la coexistence de copies modifiables ; il n’est attribué à aucun des incidents de réfrigération.
La question « avons-nous une sauvegarde ? » devient alors trop courte pour organiser la reprise. Une copie utile possède une origine, une date, un périmètre et une relation connue avec le matériel auquel elle est destinée. Sa validation doit permettre de comprendre les changements intervenus depuis l’état précédent. Les principes internationaux de cybersécurité OT soulignent précisément la difficulté de faire confiance aux sauvegardes lorsque l’environnement a été compromis. 8
Une configuration validée se rapproche, dans ce raisonnement, d’un document d’exploitation approuvé. La validation porte sur les réglages et sur leur adéquation au procédé. L’intégrité du fichier répond à une question plus étroite : la copie est-elle restée identique ? Un fichier parfaitement conservé peut décrire une version devenue inadaptée. Cette distinction justifie de conserver l’historique des décisions, plutôt qu’une seule succession de fichiers portant des dates.
Le sujet possède aussi une dimension contractuelle. L’exploitant doit pouvoir identifier qui détient la configuration utilisable, qui peut en expliquer les écarts et qui est habilité à la remettre en service. Une entreprise peut être propriétaire de ses équipements tout en dépendant d’un tiers pour comprendre la dernière version de leur fonctionnement. C’est une dépendance à établir dans les documents de livraison et de maintenance, avant de pouvoir en apprécier le coût.
Méthode et périmètre
Terminologie du manuel Danfoss AK-SM 800A, SW 5.1.x, révision BC337629891709en-001101, daté de juin 2026, section 5.13, page imprimée 55. Upload : contrôleurs de terrain vers la base du superviseur. Download : base vers contrôleurs. Le manuel précise aussi qu’une consigne modifiée depuis le superviseur est transmise immédiatement au terrain. A et B sont deux opérations explicites alternatives. La divergence est une hypothèse d’analyse ; aucune configuration ni restauration de victime n’est reconstituée. La validation des sauvegardes relève du guide ASD / ACSC cité.
Une coupure n’a de sens qu’avec son périmètre
Face à une intrusion, « déconnecter » décrit un geste incomplet. Il manque l’objet coupé et les fonctions qui empruntent cette liaison. Le NCSC britannique recommande de préparer un plan d’isolement tenant compte des dépendances, de la continuité et des possibilités de fonctionnement autonome. Selon l’architecture, l’isolement peut porter sur certains chemins ou services plutôt que sur l’ensemble d’un site. 9
La coupure d’une liaison extérieure constitue un premier cas. Dans l’architecture autonome représentée ici, le contrôleur conserve son alimentation, ses capteurs, ses actionneurs et la logique nécessaire. La régulation locale peut alors continuer, tandis que les fonctions passant par cette liaison deviennent indisponibles. Ce résultat est une conséquence des hypothèses du dessin. Toute dépendance supplémentaire, par exemple un échange requis avec un autre équipement, exige de reprendre l’analyse.
La perte du superviseur constitue un deuxième cas. Elle peut retirer les tableaux de bord ou la gestion centralisée des alarmes. Ses autres conséquences dépendent du travail que cet équipement accomplit réellement. Le point important consiste à distinguer l’observation du procédé et les services nécessaires à son fonctionnement. Une console peut remplir les deux rôles, ce qui rend les apparences trompeuses.
Le passage de l’automate en mode STOP apporte un troisième cas, documenté dans le manuel S7-1200 V20. Les sorties concernées peuvent conserver leur dernière valeur ou recevoir une valeur de remplacement, selon leur configuration. Certains modules distribués proposent d’autres réactions. Ce comportement diffère encore de celui d’une remise sous tension. 10
Il serait donc imprudent de déduire l’état physique de l’installation à partir du seul mot STOP. La valeur conservée par une sortie doit être interprétée avec le câblage, l’actionneur et les protections du procédé. Une commande maintenue et une commande de remplacement ont chacune des conséquences spécifiques. Le bon état de repli résulte d’une étude du système, puis d’une validation menée dans des conditions maîtrisées. 3
Le CERT-FR ajoute une contrainte très concrète dans son alerte sur le froid : avant de supprimer les transmissions vers le frigoriste, il demande de vérifier les conditions contractuelles d’assurance. 2 La question d’exploitation est complémentaire : qui recevra encore l’alarme, et qui pourra intervenir ? Une liaison assure parfois plusieurs services dont les besoins de continuité diffèrent. Les inventorier permet de préparer une coupure sélective et un relais humain adapté.
Méthode et périmètre
Les trois cas explicatifs supposent une alimentation maintenue. A et B supposent en plus une boucle locale autonome : capteurs, actionneurs, logique et liaisons indispensables restent disponibles. Toute autre dépendance peut modifier le résultat. C illustre un passage RUN vers STOP du S7-1200 V20 : les sorties décrites peuvent conserver leur valeur ou prendre une valeur de remplacement selon la configuration, avec des variantes selon les modules. La remise sous tension est un cas distinct. Aucun état sûr universel, délai de continuité ou essai sur une installation n’est déduit.
La protection physique suit sa propre logique
Le NIST décrit les systèmes instrumentés de sécurité, ou SIS, comme des assemblages de capteurs, de logique et d’éléments finaux destinés à conduire un procédé vers un état sûr. Leur relation avec le contrôle courant varie selon les architectures. Ils interviennent notamment dans des installations industrielles où les conséquences d’une dérive exigent des protections spécifiques. Leur présence dans un magasin de froid particulier reste à documenter. 3
La distinction est essentielle pour interpréter le mot « sûr ». Une protection peut viser les personnes, l’intégrité d’une machine ou un risque particulier. Son action peut interrompre un service dont dépend un autre actif. À titre d’exemple raisonné, une mise à l’arrêt destinée à protéger un équipement frigorifique peut laisser ouverte la question de la conservation des marchandises. La bonne décision technique doit donc être rapprochée des conséquences d’exploitation, sans présumer que tous les objectifs coïncident.
Dans le schéma proposé, une limite de procédé forme une vérification distincte de l’authentification et des permissions. Une fonction de protection séparée peut ajouter une barrière. Son efficacité dépend toutefois de sa conception et de ses dépendances réelles. Deux boîtiers dessinés séparément peuvent partager une alimentation, un capteur ou une possibilité d’administration. L’examen de ces dépendances communes, de l’architecture et des vérifications applicables permet d’établir l’indépendance réelle des protections. 3 8
Cette exigence conduit à une question précise pour le propriétaire : quelle fonction doit continuer à imposer une limite lorsque le chemin de commande ordinaire devient défaillant ? La réponse suppose une connaissance du procédé. Les recommandations génériques de cybersécurité peuvent organiser les accès et la traçabilité ; la détermination des valeurs admissibles et des états de repli appartient à l’ingénierie du système concerné.
Méthode et périmètre
Identité et session, permissions et validation des valeurs sont des vérifications fonctionnelles, sans nombre de boîtiers imposé. La branche de protection du procédé existe uniquement si la conception la prévoit. Établir sa séparation effective demande d’examiner les dépendances communes. Aucun système instrumenté de sécurité n’est présumé chez les victimes. Les journaux rapprochent accès, changements et mesures ; leur couverture et leur intégrité restent à établir.
Reconstituer une décision demande plusieurs traces
Un historique de mesures décrit une partie du comportement observé. Pour comprendre pourquoi ce comportement a changé, il faut pouvoir le rapprocher des opérations de configuration et des accès. Le NCSC recommande une journalisation conçue pour être exploitable, avec une attention particulière aux périodes de maintenance et au retour à la surveillance normale après intervention. 11
L’enquête peut alors séparer plusieurs questions. Un journal d’authentification renseigne l’usage d’un compte. Une trace de modification renseigne l’objet modifié et, selon sa richesse, la valeur précédente et la valeur nouvelle. Un relevé du procédé renseigne un effet mesuré. Leur rapprochement permet de tester une explication. Chacune conserve ses limites : un compte utilisé ne suffit pas à identifier la personne physique, et deux événements proches dans le temps exigent encore un mécanisme pour établir leur relation.
La qualité de ce rapprochement dépend aussi des horodatages, de la couverture des journaux et de leur conservation. Ces éléments doivent être documentés avant de prétendre reconstruire une séquence. Lorsqu’une même chaîne technique commande et enregistre, la confiance accordée à l’historique dépend de ce que la compromission a pu toucher. Une observation indépendante peut apporter un recoupement, à condition d’en connaître la mesure, la précision temporelle et le périmètre. Ce sont des critères d’enquête, sans affirmation sur les données effectivement disponibles chez les victimes.
Enfin, une alarme acquittée mérite une interprétation propre. L’acquittement peut renseigner la prise en compte d’un signal dans une interface ; sa signification exacte dépend du produit et de l’organisation. Pour établir qu’un problème physique a été résolu, il faut une preuve portant sur ce problème. La chaîne documentaire doit rejoindre la chaîne matérielle jusqu’au service effectivement rétabli.
Acheter une machine, conserver la maîtrise de son fonctionnement
Les guides d’achat traitent cette autonomie comme une propriété du produit. Le document international Secure by Demand, publié en janvier 2025, met notamment en avant la gestion des configurations, des journaux accessibles et la capacité du propriétaire à assurer la maintenance et les changements. 12 Ces fonctions ont un intérêt économique qui peut être examiné sans inventer un rendement de la cybersécurité.
Considérons le remplacement d’un prestataire. Si l’exploitant dispose d’une configuration documentée et utilisable, le nouvel intervenant peut partir d’un état explicable. Si la connaissance du système reste enfermée chez le fournisseur sortant, il faut retrouver cette connaissance, organiser sa transmission ou la reconstruire. Les coûts et les délais dépendent du contrat et de l’installation. L’enquête n’en déduit aucun montant ; elle identifie le travail supplémentaire qu’une dépendance peut créer.
Le plan d’isolement possède la même dimension économique. Le NCSC propose de prévoir contractuellement le passage d’un soutien distant à une intervention sur site lorsque la connexion devient indisponible. 9 La continuité engage alors une organisation : disponibilité d’une personne compétente, documentation accessible, moyen de constater l’état du procédé. Une promesse de télémaintenance permanente mérite d’être lue avec son scénario de rupture.
Pour la réception d’une installation ou la revue d’un contrat, les pièces décisives deviennent assez concrètes : un partage des droits par fonction, la référence de configuration approuvée, les dépendances indispensables et le comportement attendu lors des pertes de service. Leur validation relève des équipes autorisées, dans un environnement et selon un protocole adaptés. Débrancher ces liaisons au hasard pendant la production exposerait précisément le procédé que l’on cherche à protéger.
La maîtrise d’une machine suit plusieurs étages : la personne autorisée, le logiciel qui accepte sa demande, la configuration qui fait référence et la fonction qui impose la dernière limite. L’exploitant retrouve une maîtrise pratique lorsqu’il peut relier ces étages, expliquer leurs dépendances et démontrer ce qui restera disponible en situation dégradée. Ce travail commence avec les manuels ; il se termine avec les preuves propres à l’installation.
Périmètre de l’enquête
Cette analyse repose sur des documents publics consultés le 3 novembre 2026. Aucun réseau industriel n’a été interrogé, aucun journal de victime obtenu et aucun entretien présenté comme réalisé. Les schémas sont des reconstructions explicatives, avec des hypothèses explicites ; ils ne décrivent aucune victime particulière. Les fonctions de deux fabricants servent d’exemples distincts. Les prix, la fréquence des configurations et les temps de continuité restent hors du champ des preuves disponibles.
Le guide NIST utilisé est la révision 3 finale de septembre 2023. Une révision 4 était en consultation publique à la date de l’enquête ; son statut est précisé dans les références. 13 Les recommandations des agences sont citées dans leur périmètre, sans les transformer en obligations universelles. Les références indiquent les versions lues et les limites d’accès aux documents.
Prolonger l’enquête
- Volet 1 : les congélateurs devenus une cible, pour les faits d’octobre et novembre et le mécanisme physique du dégivrage.
- Éolien et solaire : accès cyber et responsabilités, pour les accès distants et le partage des responsabilités.
- Après la cyberattaque : l’économie de la remise en route, pour les dépendances de la reprise.
Sources
Documents vérifiés le 3 novembre 2026. Les références précisent les versions consultées et le périmètre des exemples.
- AK-SM 800A : manuel utilisateur, SW 5.1.x, BC337629891709en-001101
Deux sens de copie des réglages : terrain vers base du superviseur, ou base vers contrôleurs. Après récupération, une nouvelle consigne saisie via le superviseur est immédiatement transmise au terrain.
Passages et périmètre
Section 5.13, Device Upload / Download, page imprimée 55 ; version logicielle sur la couverture. Fonctions du produit décrit. Leur utilisation et les états de configuration des magasins touchés restent inconnus. PDF officiel téléchargé ; couverture et page 55 extraites, page 55 rendue et inspectée. Le lien d’avril fourni redirige vers cette révision de juin.
- CERTFR-2026-ALE-012 : incidents visant les contrôleurs de réfrigération
Compromissions de plusieurs familles de contrôleurs, risque d’exposition des interfaces, vérification de configuration et précautions sur les conditions contractuelles d’assurance avant une coupure des remontées vers le frigoriste.
Passages et périmètre
Résumé et Solutions ; vérification des configurations dans la partie équipements non compromis ; historique des 12, 13 et 16 octobre. Bulletin collectif. Les architectures détaillées, les droits effectifs et les journaux de chaque victime restent à établir. Bulletin officiel complet et historique consultés en ligne.
- SP 800-82, révision 3 : guide de sécurité des technologies opérationnelles
Définition des technologies opérationnelles, boucles de contrôle, interfaces opérateur et systèmes de sécurité. Les fonctions et leurs dépendances déterminent le comportement du procédé.
Passages et périmètre
Chapitre 2, pages imprimées 8 à 11 ; section 2.3.7, pages 25 et 26 ; chapitre 5 pour la séparation des fonctions de sécurité. Exemples d’architecture à adapter au système. Les protections et dépendances des installations victimes restent à documenter. PDF officiel téléchargé et passages utiles extraits ; pages de référence contrôlées. Statut final confirmé sur la page NIST.
- S7-1200, V20 : exécution du programme utilisateur
Pour le S7-1200 V20, STOP maintient certaines communications et l’autodiagnostic, tandis que le programme utilisateur et la mise à jour automatique de l’image du procédé s’arrêtent. RUN exécute le programme et traite les entrées et sorties.
Passages et périmètre
Rubrique Execution of the user program, section Operating modes. Exemple de produit et de version. La disponibilité de communications ne démontre ni la régulation effective ni l’état physique sûr. Aucune présence du S7-1200 chez les victimes n’est déduite. Page officielle et métadonnées V20 consultées ; passages complets du corps lus. Le contenu reçu est en anglais malgré le code es-ES du chemin.
- La cybersécurité des systèmes industriels : mesures détaillées, ANSSI-PA-108 v2.0
Distinction entre diagnostic, maintenance et exploitation à distance ; recommandations d’accès et de journalisation graduées selon les classes de systèmes.
Passages et périmètre
Section 4.2.5.1, pages imprimées 73–74 ; recommandations R129 à R133 et définitions des trois usages. Recommandations à adapter aux contraintes et à la classe du système. La classe des magasins étudiés reste inconnue. PDF officiel téléchargé ; pages imprimées 73 et 74 extraites, rendues et inspectées.
- S7-1200, V20 : gestion des utilisateurs et contrôle d’accès (UMAC)
La notice UMAC indique que des utilisateurs Web ou OPC UA peuvent disposer de droits de modification des données et d’exécution de fonctions, quel que soit le niveau d’accès CPU. Siemens recommande de contrôler la validité et les plages des variables dans la logique du programme.
Passages et périmètre
Rubrique User Management & Access Control, avertissement Unauthorized access to a CPU. Des autorisations propres aux services sont décrites ; la notice ne constitue pas une preuve de contournement d’authentification. Aucun accès, réglage opérationnel ou comportement de victime n’est établi. Page officielle et métadonnées V20 consultées ; passages complets du corps lus. Le contenu reçu est en anglais malgré le code es-ES du chemin.
- Modbus Security : protocole de sécurisation des échanges industriels
Présentation de Modbus Security : encapsulation par TLS, authentification par certificats et protection de l’intégrité des messages.
Passages et périmètre
Présentation du protocole, paragraphes sur TLS et les certificats X.509v3. La spécification décrit une possibilité technique ; sa prise en charge et son activation sur une liaison exigent une vérification locale. Annonce originale de l’organisation du protocole consultée en ligne.
- Principes de cybersécurité des technologies opérationnelles
Priorité à la sûreté physique, connaissance des dépendances essentielles et réexamen de la confiance dans les sauvegardes après une compromission.
Passages et périmètre
Principes 1 et 2, notamment les questions sur la validation des sauvegardes et les dépendances nécessaires au fonctionnement. Cadre général d’aide à la décision. Les sauvegardes et capacités de reprise des victimes restent hors des preuves disponibles. Version HTML officielle consultée. Le téléchargement direct du PDF associé a expiré.
- Connectivité OT sécurisée, principe 8 : préparer un plan d’isolement
Préparer l’isolement selon les dépendances, la continuité et les fonctions autonomes ; prévoir les engagements des tiers, dont le passage du soutien distant à une présence sur site.
Passages et périmètre
Introduction et Note contractuelle ; stratégies d’isolement du site, par service et avec communications matérielles protégées. Le champ Reviewed affiche le 18 mars 2024, avant Published ; cette incohérence n’établit aucune chronologie de révision. Les stratégies dépendent de l’architecture. Page officielle complète et métadonnées consultées en ligne.
- S7-1200, V20 : configuration des sorties au passage de RUN à STOP
Pour les sorties CPU, SB et SM décrites, une transition RUN vers STOP peut maintenir la valeur présente ou appliquer une valeur de remplacement selon la configuration. La remise sous tension relève d’un comportement distinct ; certains modules distribués offrent d’autres réactions.
Passages et périmètre
Rubrique Configuring the outputs on a RUN-to-STOP transition, corps complet. Périmètre S7-1200 V20 et sorties décrites. Aucun état sûr universel, maintien de régulation, essai en production ou réglage conseillé n’est déduit. Page officielle, métadonnées V20 et rubrique complète consultées en ligne.
- Connectivité OT sécurisée, principe 7 : journaliser et surveiller les connexions
Concevoir une journalisation exploitable, vérifier la légitimité des interventions et rétablir les alertes après les périodes de maintenance.
Passages et périmètre
Introduction, Unauthorised activity et Data flow monitoring. Le champ Reviewed affiche le 18 mars 2024. L’article utilise les recommandations affichées ; les journaux et alertes propres aux victimes restent inconnus. Page officielle complète et métadonnées consultées en ligne.
- Secure by Demand : critères de choix des produits OT
Critères d’achat : gestion des configurations, journaux inclus et autonomie du propriétaire pour assurer la maintenance et les changements.
Passages et périmètre
Résumé ; rubriques Configuration management, Logging in the baseline product et Ownership. Critères de sélection à évaluer auprès des fabricants. Leur application à un produit, un contrat ou une installation exige des preuves spécifiques. Texte HTML officiel consulté ; date du guide recoupée dans l’extrait indexé du PDF CISA. Les PDF directs ont rencontré une limite d’accès.
- SP 800-82, révision 4 : projet public initial du guide OT
Statut documentaire de la révision 4, encore en consultation publique au 3 novembre 2026. La révision 3 finale reste la base technique retenue dans cette analyse.
Passages et périmètre
En-tête du projet : Date Published et Comments Due ; note du 21 septembre 2026 sur la page de la révision 3. L’article utilise les métadonnées de publication, sans traiter le projet comme une version finale. Pages officielles des révisions 4 et 3 consultées directement en ligne.
// l’hebdo l0g
N° 14 · 1 nov.Les dossiers à retenir, leurs limites et les prochaines vérifications.
Lire la revue ↗Cet article ne constitue en aucun cas un conseil en investissement.
// historique des révisions
- publication
- révision
Les corrections substantielles suivent la politique de correction et sont consignées dans le changelog éditorial.
$ cd ..