Le réseau OT doit-il être séparé du réseau bureautique ?

Oui. La plupart des attaques qui arrêtent la production commencent dans le réseau bureautique, par un e-mail, un mot de passe volé ou l'accès d'un prestataire, et un réseau à plat les laisse atteindre directement les automates. Séparer ne veut pas forcément dire isoler physiquement. La conception habituelle place un pare-feu entre bureau et production, avec une petite zone démilitarisée (DMZ) entre les deux pour les systèmes dont les deux côtés ont besoin, comme une copie de l'historian, un serveur de correctifs ou la passerelle d'accès distant, et sans connexion directe d'un PC de bureau vers un automate. Commencez par lister les flux dont la production a réellement besoin, n'autorisez qu'eux et journalisez ce qui est refusé. Vérifiez ensuite que la séparation tient en pratique, car les exceptions s'accumulent. À partir de l'offre Pro, NetSenX émet une alerte lorsque du trafic franchit les niveaux du réseau de l'usine, par exemple d'un poste de bureau directement vers un automate, depuis un port SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer. ou TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur..

← Les 50 questions sur OT et IoTTous les thèmes