Ce podcast technique explore la résilience des systèmes opérationnels (OT) et informatiques (IT), réunissant trois experts qui partagent leur expérience sur les défis de continuité des opérations dans les environnements industriels modernes.

Marc Potvin ouvre la discussion en définissant la résilience comme la capacité à « retomber sur ses pattes » après une perturbation, qu’il s’agisse d’une panne, d’une cyberattaque ou d’une catastrophe naturelle. L’objectif principal demeure de rétablir le service le plus rapidement possible en minimisant l’impact sur les opérations. Il souligne qu’on ne peut pas prévoir tous les scénarios, mais qu’une bonne résilience permet de s’adapter efficacement à différentes situations.

Alexandre Fournier observe que le monde IT semble plus mature et moderne, avec davantage de ressources capables d’intervenir lors d’incidents. En revanche, le secteur OT fait face à des défis importants concernant les connaissances, le vieillissement des équipements et la complexité du redémarrage après une attaque. Marc confirme cette observation, notant que la maturité en cybersécurité est beaucoup plus avancée côté IT.

Un aspect crucial différencie les deux univers : l’antifragilité. Alexandre souligne que dans l’OT, les équipes doivent souvent improviser et « bricoler » avec des moyens limités, cannibalisant parfois des pièces pour réparer les équipements. Cette capacité de débrouillardise s’explique par les impératifs de production : les chaînes ne peuvent pas s’arrêter, et les coûts d’interruption sont considérables.

Marc introduit le concept critique de gestion d’actifs, distinguant les organisations qui renouvellent régulièrement leurs équipements (typiquement après sept ans) de celles qui adoptent une approche « pompier ». Certaines entreprises utilisent leurs actifs bien au-delà de leur durée de vie recommandée, parfois dix ans après que le manufacturier ait cessé son support. Ces organisations vivent avec « l’épée de Damoclès » au-dessus de leur tête, dépendant de fournisseurs d’antiquités pour maintenir des systèmes obsolètes.

Camille Felx Leduc note même avoir observé de nouveaux sites construits avec des actifs déjà désuets, car les plans datent de plusieurs années et la construction prend du temps. Cette situation crée des vulnérabilités dès le départ du cycle de vie.

Les participants soulignent une réalité difficile : dans de nombreuses organisations, la résilience n’est pas la priorité principale. La production et la génération de revenus passent avant tout. Marc explique que même dans les milieux réglementés, comme les services électriques où il a travaillé, les vice-présidents ramènent toujours la discussion aux mégawatts vendus plutôt qu’aux investissements en résilience.

Alexandre observe que sans obligations légales ou réglementaires, c’est souvent « la fête du slip », avec une mentalité du « on verra quand ça arrivera ». Seuls les secteurs pharmaceutique, médical ou électrique, soumis à des contraintes réglementaires strictes, sont obligés de prendre la cyber-résilience au sérieux.

Marc aborde l’enjeu de la connectivité accrue entre les systèmes IT et OT. Bien que cette interconnexion améliore l’agilité opérationnelle, elle augmente considérablement la surface d’attaque. Il cite l’exemple de l’attaque NotPetya de 2017, où la propagation rapide du ransomware a causé des dommages astronomiques à de nombreuses organisations connectées. Dans certains cas, les pertes dues au ransomware ont été pires qu’un incendie détruisant une usine entière.

Camille souligne l’importance de pouvoir déconnecter complètement les systèmes OT des systèmes IT en cas d’incident, et de disposer de plans B permettant de continuer les opérations manuellement avec papier et crayon.

La discussion s’intensifie autour des exercices tabletop, considérés comme essentiels pour tester la résilience. Camille apprécie particulièrement ces exercices pour observer la collaboration entre les équipes IT et OT, notant avec humour avoir vu des situations où les deux groupes travaillaient avec des plans de réponse aux incidents datant d’années différentes.

Alexandre va plus loin, expliquant qu’il a développé une approche incluant du stress volontaire dans les exercices, pouvant aller jusqu’à des situations très intenses. Il préconise également des micro-exercices de 15 minutes mensuels, complétant deux grands exercices annuels, pour maintenir les équipes en condition.

Marc insiste sur la nécessité de répéter ces exercices annuellement en raison du roulement du personnel. Les équipes changent constamment, et chaque nouvel exercice permet d’intégrer les nouveaux membres tout en maintenant les réflexes des équipes existantes.

Alexandre lance un appel urgent concernant les sauvegardes Microsoft, observant que plusieurs clients coupent leurs sauvegardes SharePoint et OneDrive pour économiser. Il met en garde contre cette pratique dangereuse, surtout dans un contexte où certains gouvernements peuvent restreindre l’accès aux services cloud.

Marc complète en soulignant l’importance de savoir où sont stockées les données, citant des cas où des secrets pharmaceutiques se retrouvent involontairement dans des juridictions problématiques. La souveraineté des données devient un enjeu critique de résilience.

Les experts s’accordent sur l’importance des exercices pratiques plutôt que de simples procédures écrites. La résilience véritable se construit par la pratique répétée, l’adaptation constante et la reconnaissance que, comme le dit Camille, « personne n’est jamais assez prêt » pour une vraie crise. L’objectif reste de développer des réflexes et une capacité d’adaptation permettant de naviguer dans l’imprévu avec calme et efficacité.