Cybersécurité dans le traitement de l’eau : évaluation de cybersécurité des STEP et renforcement de leurs résilience OT

Contexte et enjeux de la cybersécurité dans le traitement de l’eau

Les stations d’épuration (STEP) représentent un maillon essentiel dans la chaîne de gestion de l’eau potable et du traitement des eaux usées. Leur mission dépasse le simple aspect technique : elles garantissent la santé publique, préservent l’environnement et assurent la continuité d’un service vital pour les collectivités.

Une compromission de ces installations peut avoir des conséquences majeures : pollution environnementale, contamination microbiologique, interruption de service, voire mise en danger directe des populations.

À ces risques opérationnels s’ajoute une pression réglementaire croissante :

• La directive NIS2, qui élargit le champ des obligations de cybersécurité aux opérateurs d’infrastructures critiques, impose désormais une gouvernance renforcée, une gestion proactive des risques et la réalisation régulière d’audits.
• La norme IEC 62443, référence internationale pour la sécurité des systèmes industriels, fournit un cadre méthodologique précis pour protéger les environnements OT : systèmes SCADA, automates programmables, équipements de terrain et réseaux de contrôle.

Dans les environnements IT, la confidentialité des données est généralement la priorité absolue. En revanche, dans les environnements OT (Operational Technology), ce sont la disponibilité et l’intégrité des processus industriels qui priment. Un arrêt non planifié ou une falsification de données de capteurs peut provoquer des perturbations immédiates, aux conséquences potentiellement irréversibles pour l’environnement comme pour les citoyens.

C’est dans ce contexte exigeant qu’une collectivité de Savoie a fait appel à DATIVE pour réaliser une évaluation approfondie de la cybersécurité de ses infrastructures de traitement des eaux usées, avec pour objectif d’identifier les vulnérabilités, de mesurer le niveau de maturité OT et de renforcer la résilience de ses installations critiques.

Notre méthodologie d’évaluation : approche 360° basée sur le NIST

Chez DATIVE, nous avons conçu une méthodologie éprouvée, adaptée aux environnements industriels les plus critiques. Elle s’appuie sur trois piliers de référence : le NIST Cybersecurity Framework, les recommandations de l’ANSSI pour la cybersécurité des systèmes industriels et la norme internationale IEC 62443.

Cette approche nous permet de structurer nos évaluations autour des 5 fonctions clés de la cybersécurité :

• Identifier : nous recensons l’ensemble des actifs OT, cartographions l’architecture réseau et évaluons la criticité des processus. Nous remettons à nos clients une cartographie et un inventaire complets des équipements OT. Ces documents sont des livrables immédiatement exploitables, aussi bien pour l’expert en cybersécurité que pour l’opérateur en charge du process, premier maillon de la sécurité industrielle.
• Protéger : nous analysons le niveau de protection existant et proposons des mesures concrètes de durcissement, de cloisonnement et de sécurisation des systèmes critiques.
• Détecter : nous vérifions la capacité de l’organisation à identifier rapidement une activité anormale, en évaluant la supervision des journaux et la détection d’incidents en temps réel.
• Répondre : nous examinons les procédures de gestion d’incidents et recommandons des modes opératoires clairs afin de limiter l’impact d’un événement cyber.
• Restaurer : nous évaluons la résilience de l’infrastructure et la capacité des équipes à redémarrer les activités après un incident, en garantissant un retour rapide à un état nominal.

Notre démarche est résolument opérationnelle. Nous privilégions une immersion terrain : nous allons dans les locaux techniques, les salles SCADA et sur les réseaux industriels pour travailler directement avec les équipes d’exploitation. Cette proximité nous permet de formuler des constats concrets, loin des approches purement théoriques.

Nos quatre axes d’évaluation de la cybersécurité OT

Nous avons structuré notre audit autour de quatre thématiques complémentaires, permettant d’obtenir une vision 360° de la posture de cybersécurité de la station d’épuration :

Analyse de l’infrastructure industrielle

Nous analysons en profondeur l’état des systèmes et équipements OT : configuration des postes opérateurs et IHM, durcissement des environnements Windows et Linux industriels, gestion des accès de télémaintenance, usage des comptes et mots de passe, ainsi que le niveau de mise à jour et d’obsolescence des équipements.

Cette étape permet d’identifier les vulnérabilités structurelles qui fragilisent directement la continuité des environnements de production.

Cartographie du réseau industriel

Nous réalisons une cartographie complète des flux entre zones et conduits, et vérifions la pertinence de la segmentation OT/IT. Nous examinons les règles de pare-feu, la gestion des protocoles industriels, la supervision réseau et la détection d’incidents.Nous testons également la résilience face aux menaces : tentatives de scan, exploitation de vulnérabilités ou utilisation de services non sécurisés. L’objectif est de mesurer le niveau réel de cloisonnement et de contrôle des échanges OT.

Evaluation du risque lié au facteur humain

Nous évaluons la maturité organisationnelle et la place donnée à la cybersécurité dans le quotidien des équipes : sensibilisation des opérateurs et sous-traitants, gestion des arrivées et départs, séparation claire des usages personnels et professionnels, existence d’une charte informatique ou d’un RSSI identifié.

Nous analysons aussi la capacité de l’organisation à intégrer la cybersécurité dès la phase projet : cahiers des charges, audits prestataires, tests réguliers. Ce volet est déterminant, car les comportements humains constituent encore l’un des premiers vecteurs de compromission dans l’industrie.

Evaluation de la sécurité des accès aux équipements physiques

Nous vérifions la protection des accès aux systèmes critiques : armoires et baies informatiques, commutateurs, serveurs SCADA, postes opérateurs. Nous évaluons la présence (ou l’absence) de dispositifs de contrôle d’accès, d’antivols, de politiques de bureau propre ou encore d’obturation des ports USB.

Souvent sous-estimée, cette dimension physique reste pourtant un maillon essentiel de la sécurité OT, car un accès direct aux équipements peut neutraliser en quelques secondes les protections logicielles les plus avancées.

Nos principaux constats terrain réalisés lors de notre intervention pour cette collectivité

L’évaluation que nous avons conduite pour cette collectivité a mis en lumière plusieurs vulnérabilités récurrentes dans les environnements de traitement de l’eau. Ces constats reflètent des fragilités typiques que nous observons régulièrement dans les systèmes industriels OT.

Failles physiques entrainant un risque d’intrusion

Certaines STEP n’étaient pas équipées de dispositifs de contrôle d’accès suffisants. Des automates pouvaient être atteints directement, sans badge ni vidéoprotection, exposant l’environnement à des manipulations malveillantes ou accidentelles, impossibles à tracer.

Réseau industriel vulnérable

Le réseau OT présentait un cloisonnement insuffisant entre les environnements IT et OT, le SI de gestion de la communauté de commune était interconnecté en direct avec le SI industriel avec un accès direct à Internet. Nous avons relevé des VLAN mal configurés et des flux non filtrés, ce qui exposait directement les automates et serveurs SCADA aux menaces issues du réseau bureautique.

Postes de supervision non durcis

Plusieurs postes opérateurs fonctionnaient encore sous Windows XP et Windows 7, systèmes non maintenus par leurs éditeurs. Nous avons constaté l’utilisation quotidienne de comptes administrateurs, ainsi que des mots de passe faibles ou partagés. Ces pratiques constituent autant de portes d’entrée privilégiées pour un attaquant.

Équipements OT obsolètes et services non sécurisés

Certains automates permettant de traitement de l’eau et équipements réseaux utilisaient des services non chiffrés (FTP, HTTP) ou conservaient des identifiants par défaut. Ces failles augmentent considérablement la probabilité d’exploitation, aussi bien par un attaquant interne que par une menace externe.

Sauvegardes et supports amovibles mal gérés

Des clés USB personnelles circulaient dans l’environnement de supervision, exposant directement les systèmes à un risque d’introduction de malwares. Par ailleurs, les sauvegardes n’étaient ni centralisées ni régulièrement éprouvées, ce qui augmentait fortement l’impact potentiel d’une intrusion, notamment en rallongeant considérablement les délais de reprise en cas d’incident.

Plan d’action de sécurisation et remédiations proposées

À partir de ces constats, nous avons construit pour la collectivité un plan d’action pragmatique et progressif, structuré sur trois horizons temporels. L’objectif : traiter rapidement les vulnérabilités critiques, tout en inscrivant la cybersécurité dans une démarche de résilience durable.

Court terme : sécuriser les fondamentaux pour ce STEP

Nous avons proposé des actions immédiates, à faible coût et à forte valeur ajoutée, pour réduire rapidement la surface d’attaque :

• Durcissement des postes de supervision : suppression des droits administrateurs, mise en place de politiques de mots de passe robustes, installation d’antivirus compatibles avec les environnements OT.
• Cloisonnement IT/OT : déploiement de pare-feux industriels avec des règles adaptées aux protocoles et usages OT.
• Gestion des accès : mise en place de comptes nominatifs et introduction de l’authentification multi-facteurs pour les connexions de télémaintenance.

Moyen terme : renforcer la résilience opérationnelle

Une fois les fondations sécurisées, nous avons défini un plan de consolidation des environnements OT :

• mentation réseau : séparation stricte des zones OT, création de VLAN par fonction et filtrage avancé des flux.
• Mises à jour firmware : correction des vulnérabilités connues sur automates et équipements réseau, ou mise en place de mesures de contournement (segmentation, restriction d’accès, scellement) pour les équipements non patchables.
• Station blanche USB : contrôle systématique des supports amovibles pour limiter le risque d’introduction de malwares.
• Migration OS : passage progressif vers des versions Windows encore supportées et sécurisées.

Long terme : vers une supervision continue du réseau OT

Pour inscrire la cybersécurité dans la durée, nous avons défini une trajectoire ambitieuse :

• Détection passive OT (IDS) : mise en place de sondes de détection adaptées aux protocoles industriels pour repérer en continu les comportements anormaux.
• Centralisation des logs : intégration d’un SIEM OT afin de disposer d’une vision unifiée et contextualisée des événements.
• Standardisation des équipements : adoption d’un référentiel technique unifié, facilitant la maintenance, les mises à jour et la sécurisation globale du parc.

Gouvernance cyber OT : ancrer la sécurité dans la durée

Enfin, au-delà des mesures techniques, nous avons insisté sur la nécessité d’une gouvernance pérenne. La cybersécurité doit être intégrée à la culture opérationnelle de cette collectivité savoyarde, via :

• La sensibilisation régulière des agents et sous-traitants,
• La formalisation de procédures claires pour l’ensemble des activités OT,
• La désignation d’un référent cyber OT, garant de la cohérence et du suivi des actions dans le temps.

Une cybersécurité déployée : des bénéfices instantanés pour la collectivité

La mise en œuvre de ce plan a produit des résultats immédiats et visibles :

• Réduction de la surface d’attaque grâce au durcissement des postes et au cloisonnement IT/OT,
• Renforcement de la continuité de service : les opérateurs ont désormais des procédures claires en cas d’incident et une meilleure visibilité sur l’état du réseau OT,
• Alignement réglementaire : la collectivité a commencé sa mise en conformité avec NIS2 et les bonnes pratiques de l’IEC 62443,
• Confiance accrue des équipes : les exploitants, souvent méfiants face aux contraintes cyber, ont rapidement constaté que les mesures mises en place n’entravaient pas la production, mais au contraire sécurisaient leurs opérations quotidiennes.

Conclusion

La cybersécurité industrielle dans les stations d’épuration n’est plus une option : elle est un impératif stratégique, au service de la continuité des services essentiels et de la conformité réglementaire.

Grâce à une évaluation approfondie et à un plan d’action pragmatique, la collectivité savoyarde a posé les bases d’une résilience OT durable. Cet exemple illustre combien l’association d’une méthodologie structurée (NIST, IEC 62443) et d’une approche terrain est indispensable pour sécuriser les environnements industriels sensibles.