L'importance d'un développement logiciel sécurisé pour les environnements OT

Lorsque les chaînes de production de Jaguar Land Rover se sont complètement arrêtées le 1er septembre 2025, l'impact financier a été immédiat et impressionnant : près de 67 millions de dollars perdus chaque semaine, et une estimation globale approchant les 2,8 milliards de dollars. Mais les dégâts réels ont dépassé les pertes comptables.

L'arrêt a touché l'ensemble de la chaîne logistique de JLR, soit 104 000 travailleurs. Des fournisseurs ont dû licencier du personnel, et le gouvernement britannique est intervenu avec un prêt garanti dépassant les 2 milliards de dollars.

L'attaque contre JLR faisait partie d'un modèle inquiétant : les pirates ne ciblent plus seulement des entreprises individuelles. Ils exploitent désormais la chaîne logistique pour causer un impact maximum en un minimum d'efforts. Pour s'infiltrer, les pirates peuvent cibler les outils de développement et les processus choisis par les fabricants et leurs partenaires pour les applications logicielles. Si vous n'imposez pas à vos fournisseurs de logiciels de suivre des pratiques de développement sécurisées, vous laissez votre organisation ouverte au type d'attaque que JLR a subi.

Dans les environnements OT, qu'il s'agisse de fabrication, d'énergie, de transport ou d'infrastructures critiques, le risque de cyberattaque est extrêmement élevé. Une attaque ne se contente pas de compromettre les données : elle peut paralyser l'ensemble d'un écosystème de production, avec un coût d'interruption pouvant atteindre des centaines de milliers de dollars par heure.

Pourtant, la plupart des organisations évaluent surtout leurs fournisseurs sur leur solidité financière, leurs accords de niveau de service ou la sécurité de leur infrastructure. Beaucoup passent à côté de l'origine principale des vulnérabilités : le processus de développement logiciel lui-même. Par exemple, des malwares de type Infostealer permettent d'exploiter des identifiants anciens, ouvrant un accès direct aux systèmes de chaîne logistique des fabricants.

Ce problème révèle une faiblesse fondamentale, non pas dans les défenses périmétriques, mais dans l'absence de pratiques robustes SSDLC (Secure Software Development Lifecycle) chez les fournisseurs logiciels qui alimentent aujourd'hui les opérations industrielles. Leurs systèmes ne sont pas conçus pour résister aux menaces modernes, et cela rend les environnements OT des fabricants vulnérables par ricochet.

Sans une garantie que les fournisseurs appliquent des pratiques SSDLC rigoureuses, les fabricants héritent de risques qu'aucune segmentation réseau ou isolation ne peut réellement éliminer.

L'impact pour l'entreprise est concret :

• Interruption d'activité : les interruptions se répercutent dans les chaînes logistiques en flux tendu, affectant des milliers d'employés et perturbant les livraisons.
• Pertes financières : aux pertes directes s'ajoutent les coûts d'intervention sur incident, de restauration des systèmes, les amendes réglementaires et les pénalités contractuelles.
• Non-conformité : des réglementations comme NIS2, DORA ou le Cyber Resilience Act imposent désormais explicitement des pratiques de développement sécurisé.
• Atteinte à la réputation : pour un fournisseur, être identifié comme le « maillon faible » peut durablement ruiner la confiance des clients et le disqualifier de futurs partenariats.

Mais l'enjeu dépasse largement la simple conformité. Il s'agit de garantir que les logiciels (qui pilotent vos lignes de production, gèrent vos systèmes critiques et connectent vos opérations industrielles) priorisent la sécurité dès la première ligne de code et jusqu'au déploiement final.

La famille de normes CEI 62443 concerne spécifiquement la sécurité des systèmes industriels d'automatisation et de contrôle. En particulier, la norme CEI 62443-4-1 se concentre exclusivement sur les exigences des cycles de développement sécurisé des produits, offrant le standard le plus rigoureux et le plus pertinent pour évaluer les fournisseurs de logiciels OT.

Contrairement aux cadres de sécurité généraux, la certification CEI 62443-4-1 confirme qu'un fournisseur applique :

• Une sécurité dès la conception : exigences de sécurité définies et modélisation des menaces avant le développement.
• Des pratiques de codage sécurisé : développeurs formés, revue de code obligatoire et tests automatisés.
• Une gestion des dépendances : les composants tiers sont vérifiés, suivis et maintenus conformément aux pratiques de SBOM (Software Bill of Materials).
• Des pipelines de publication sécurisés : mises à jour signées, contrôlées et distribuées via des canaux renforcés.
• Une gestion des vulnérabilités : processus de divulgation coordonnée et délais de réponse définis.

Pour les OEM, intégrateurs et clients finaux des secteurs industriels et critiques, cette certification constitue une preuve tangible et vérifiée que la sécurité n'est pas seulement promise, mais intégrée à chaque étape du développement.

Acronis a obtenu la certification CEI 62443-4-1, ainsi que les certifications ISO/CEI 27001, 27017, 27018 et CSA STAR Niveau 2, prouvant un engagement complet en faveur de pratiques de développement sécurisé pour les environnements IT et OT.

Cette certification confirme que Acronis Cyber Protect pour les environnements OT et l'ensemble du portefeuille Acronis repose sur des pratiques rigoureuses, validées par des tiers, pensées pour les environnements industriels :

• Protection des systèmes IT et OT unifiée sur une seule plate-forme.
• Sauvegarde et restauration capables de s'adapter à des opérations mondiales, sans interventions manuelles site par site.
• Contrôles de sécurité adaptés aux environnements où la disponibilité est critique et où les fenêtres de maintenance sont limitées.
• Support de conformité pour les organisations soumises aux normes NIS2, DORA, CEI 62443 et à d'autres réglementations sectorielles.

Une nouvelle infographie détaille le SSDLC et la certification Acronis. Elle s'appuie sur le parcours d'Acronis pour obtenir cette certification et fournit des recommandations pratiques pour :

• Les entreprises industrielles évaluant leurs fournisseurs OT ;
• Les OEM souhaitant démontrer leur développement sécurisé à leurs clients ;
• Les intégrateurs système qui conçoivent des solutions industrielles résilientes.