Sécurisation des réseaux en air gap : protection des données dans les environnements OT isolé

Un réseau isolé physiquement (dit « en air gap ») n'a pas de connexion directe à Internet ni à d'autres réseaux non fiables. Il est largement utilisé pour protéger les systèmes de contrôle industriels, les réseaux SCADA et les infrastructures critiques pour la sécurité.

L'air gap est réel, mais pas absolu. Les pirates informatiques le contournent régulièrement au moyen de malwares propagés via USB, de compromissions de la chaîne d'approvisionnement, d'ordinateurs portables d'entrepreneurs et de connexions sans fil non documentées. Le rapport 2024 de Honeywell sur les menaces USB révèle que plus de 50 % des malwares USB sont désormais spécifiquement conçus pour se propager via les supports amovibles, contre 9 % en 2019.

À l'intérieur de l'air gap, les outils de sécurité traditionnels échouent. Les consoles gérées dans le cloud, les antivirus basés sur les signatures et la sauvegarde en ligne supposent tous une connectivité qui n'existe pas.

Pour protéger efficacement les données en air gap, il faut quatre éléments : une protection comportementale fonctionnant hors ligne, une sauvegarde et une restauration natives en air gap, un contrôle des supports amovibles et une restauration pilotée par l'opérateur pour le personnel de l'usine.

Acronis Cyber Protect for OT est spécialement conçu à cet effet. Active Protection fonctionne hors ligne. Acronis Cyber Protect Local gère la plateforme entièrement au sein du réseau OT. Universal Restore prend en charge le matériel hérité. Le fournisseur est certifié IEC 62443-4-1.

Un réseau en air gap n'a aucune connexion directe, physique ou sans fil, à l'Internet public ni à aucun réseau non fiable. Les données entrent ou sortent uniquement via des mécanismes contrôlés : supports amovibles, transferts manuels de fichiers ou passerelles unidirectionnelles. Il est largement utilisé pour protéger les systèmes de contrôle industriels et les réseaux SCADA dans les secteurs de la fabrication, de l'énergie, de la distribution d'eau, du pétrole et du gaz, ainsi que de l'industrie pharmaceutique, mais aussi les systèmes gouvernementaux classifiés et les infrastructures critiques pour la sécurité.

En matière d'OT, l'air gapping est conforme à l'architecture de référence de Purdue. Les niveaux 0 à 2 sont généralement entièrement isolés. Le niveau 3 est souvent partiellement isolé par des pare-feu et des DMZ. Les niveaux 4 et 5 sont connectés à l'informatique de l'entreprise. Dans les usines modernes, un véritable air gapping est rarement absolu. On observe généralement un spectre allant d'un air gap complet à un air gap hybride (avec des échanges programmés), en passant par une segmentation logique.

Les pirates informatiques contournent régulièrement les réseaux en air gap. Les clés USB et les supports amovibles constituent le vecteur principal. Le rapport 2024 de Honeywell sur les menaces USB a conclu que plus de 50 % des malwares USB sont désormais spécifiquement conçus pour se propager via les supports amovibles, afin de contourner les environnements en air gap dont dépendent les installations industrielles.

Parmi les campagnes documentées, on peut citer l'analyse de Zscaler ThreatLabz sur l'APT37 nord-coréen déployant des implants via USB contre des systèmes en air gap (décembre 2025), la documentation GoldenJackal d'ESET sur les cibles gouvernementales de l'UE (2022 à 2024) et le rapport de Kaspersky sur les implants de l'APT31 dans les systèmes industriels d'Europe de l'Est. Stuxnet (2010) reste le cas emblématique de la chaîne d'approvisionnement via USB.

Autres vecteurs de pénétration : les ingénieurs de service OEM et les sous-traitants qui introduisent des ordinateurs portables infectés, des mises à jour logicielles non validées et des fonctionnalités sans fil non documentées (Bluetooth, modems cellulaires, Wi-Fi dans les outils de maintenance) qui brisent l'isolement présumé, sans que personne ne mette à jour l'inventaire des ressources.

La plupart des outils de sécurité d'entreprise ont été conçus pour des environnements connectés. Au sein d'un réseau en air gap, plusieurs hypothèses courantes ne tiennent plus.

1. Les consoles gérées dans le cloud ne peuvent pas voir les terminaux qu'elles ne peuvent pas atteindre.
2. L'antivirus basé sur les signatures devient rapidement obsolète lorsque les mises à jour ne sont pas fournies au rythme habituel.
3. La sauvegarde axée sur le cloud suppose que la destination est accessible. La sauvegarde en réseau en air gap nécessite un stockage local en tant qu'option prioritaire.
4. La plupart des outils actuels ne prennent pas en charge les systèmes d'exploitation plus anciens. Les installations OT fonctionnent sous Windows XP, Server 2003 et des noyaux Linux plus anciens, car l'application certifiée par le fabricant d'équipement d'origine (OEM) exige précisément ces versions.
5. Il n'existe pas de processus de récupération pilotés par les opérateurs pour le personnel de l'usine. La sauvegarde d'entreprise générique suppose qu'un ingénieur informatique est aux commandes.

Ces contrôles sont conformes à la norme IEC 62443-3-3 (SR 7.3 : intégrité de la sauvegarde des données et SR 7.4 : récupération du système) et aux recommandations du NIST SP 800-82 Rev 3 sur les contrôles compensatoires.

1. Inventaire vérifié de tous les terminaux du réseau en air gap : API, RTU, IHM, serveurs SCADA, postes de travail d'ingénierie et historiques. L'exercice révèle souvent des connexions sans fil ou cellulaires non documentées.
2. Contrôles des supports amovibles : périphériques USB autorisés uniquement, stations de nettoyage à l'entrée des installations, ports USB désactivés lorsqu'ils ne sont pas nécessaires et journalisation des audits.
3. Protection comportementale fonctionnant hors ligne qui détecte les comportements de type ransomware, les activités de processus anormales et le chiffrement non autorisé, sans nécessiter de mises à jour de signatures dans le cloud. Acronis Active Protection est conçu pour fonctionner hors ligne.
4. Sauvegarde et restauration natives en réseau air gap, avec sauvegarde en mode image des IHM, des SCADA et des postes d'ingénierie sur un stockage local, restauration en un clic par l'opérateur, restauration sur du matériel différent et analyse de la sauvegarde avant restauration.
5. Nettoyage de chaque fichier entrant : analyse comportementale, désarmement et reconstruction du contenu, vérification du hachage par rapport aux totaux de contrôle du fournisseur.
6. Gestion des outils de protection directement sur le site, avec la console de gestion fonctionnant entièrement au sein du réseau OT. C'est exactement ce qu'offre Acronis Cyber Protect Local.

Acronis Cyber Protect for OT est la seule plateforme de la catégorie de sauvegarde et de restauration OT conçue nativement pour fonctionner dans les environnements en air gap. Elle est déployée en production chez ABB, Schneider Electric, Toyota, Tata Steel, Sasol et BDR Pharmaceuticals.

Les normes IEC 62443-3-3 SR 7.3 et SR 7.4 traitent de l'intégrité des sauvegardes et de la récupération du système. La norme IEC 62443-4-1 couvre le SSDLC des fournisseurs (Acronis est certifié). La norme NIST SP 800-82 Rev 3 fournit un langage de contrôle compensatoire pour les systèmes existants. L'article 21 de la NIS 2 impose la continuité des activités, la gestion des sauvegardes et la reprise après sinistre pour les entités essentielles et importantes. Les normes NERC CIP-007 et CIP-009 traitent de la gestion de la sécurité des systèmes et des plans de reprise pour le réseau électrique national. Les réglementations GxP portent sur l'intégrité des données dans l'industrie pharmaceutique. La sauvegarde compatible avec l'air gap est un contrôle technique central qui les prend tous en charge.

L'air gapping est un contrôle solide, mais il n'est pas infaillible. Les pirates informatiques contournent régulièrement les réseaux en air gap au moyen de malwares USB, de compromissions de la chaîne d'approvisionnement, d'ordinateurs portables d'entrepreneurs et de connexions sans fil non documentées. Considérez l'air gap comme une couche de défense, à combiner avec une protection comportementale fonctionnant hors ligne, des contrôles des supports amovibles, ainsi qu'une sauvegarde et une restauration robustes.

Oui. Active Protection fonctionne hors ligne. Acronis Cyber Protect Local assure la gestion de l'atelier entièrement au sein du réseau OT. Les destinations de stockage comprennent le disque local, le NAS, le SAN, le cloud privé ou Acronis Cloud, configurés selon la politique de l'usine.

Un réseau en air gap est l'environnement opérationnel lui-même. Une sauvegarde immuable est une copie de sauvegarde protégée contre toute modification ou suppression. Une sauvegarde hors ligne est une copie de sauvegarde physiquement déconnectée de l'environnement de production. Une architecture complète de protection des données OT combine généralement ces trois éléments.