Lorsque la sécurité entrave la production
Une chose que je reçois régulièrement Industrie et logistique Le problème des clients est que la sécurité entrave le travail qu'elle est censée protéger.
Une solution de contrôle peut avoir tout le sens dans l’équipe informatique, mais sera beaucoup plus difficile à gérer sur le terrain. Une connexion se bloque. Un appareil cesse de communiquer. Les données ne parviennent pas à la personne qui en a besoin. Un ingénieur ne peut pas obtenir l’accès dont il a besoin. Une demande courante est rejetée car elle semble trop risquée.
C’est alors que la tension devient évidente. Operations considère la sécurité comme un obstacle à la réalisation de ses objectifs. L’IT considère que les demandes d’exceptions de la part d’Operations pourraient accroître la vulnérabilité de l’entreprise.
Et lorsque ni l’une ni l’autre partie ne peut prendre cette décision, le problème est renvoyé vers les dirigeants supérieurs.
D’après mes conversations avec des organisations du secteur manufacturier et de la logistique, c’est généralement un signe d’un problème plus important. Cela signifie que les décisions en matière de sécurité informatique ne sont pas prises avec suffisamment de compréhension de la manière dont les opérations de production et de stockage fonctionnent réellement. Fermer toutes les portes peut sembler être la solution la plus sûre, mais cela peut également empêcher l’entreprise de fonctionner comme elle devrait.
Pourquoi la sécurité et la production s’orientent dans des directions différentes
Les usines de fabrication et les opérations logistiques sont des environnements complexes et interconnectés. Les équipements de production, les systèmes de gestion des entrepôts, les scanners, les systèmes de maintenance, les tableaux de bord, les intégrations avec les clients, les applications métier et les services tiers doivent tous fonctionner en synergie. Et ils doivent souvent fonctionner en permanence.
La menace cybernétique existe aussi. L’indice d’intelligence des menaces X-Force de 2026 d’IBM On a constaté que la fabrication représentait 27,7% des incidents observés, ce qui en fait la branche d’activité la plus visée pour la cinquième année consécutive.
Mais un contrôle qui paraît logique dans une perspective informatique d'entreprise peut avoir un effet très différent sur le terrain.
Par exemple, bloquer une connexion à distance pourrait réduire le risque cybernétique, mais empêcher un technicien de maintenance d’accéder aux données de diagnostic nécessaires au redémarrage d’une ligne de production. Dans un entrepôt, une politique de dispositifs strictement contrôlée pourrait empêcher les scanners de se reconnecter au système de gestion du stock après une mise à jour logicielle, ralentissant ainsi l’exécution des commandes pendant que l’équipe attend l’approbation de l’IT.
L'IT a la responsabilité de réduire l'exposition, de respecter les exigences de conformité et d'éviter les incidents. Les opérations doivent maintenir la production en cours tout en gérant la production, la qualité, la sécurité et la continuité.
Le problème survient lorsque chaque partie évalue le risque selon sa propre perspective, avec peu de communication structurée entre les départements et aucun processus commun permettant de comparer l’exposition aux cyberattaques avec leurs impacts opérationnels.
Pourquoi les dirigeants supérieurs peuvent finalement prendre la décision
Lorsque les ressources informatiques et les opérations sont situées dans des parties distinctes de l’organisation, leur premier décideur commun peut être un dirigeant senior. Cela peut s’avérer pertinent pour un investissement majeur ou un risque commercial significatif, mais cela n’a guère de sens pour les questions quotidiennes concernant l’accès, la connectivité, l’architecture ou le risque opérationnel.
Lorsque les différends se déplacent vers le haut de la chaîne de commandement, la direction supérieure est confrontée à un choix : accepter davantage de risques informatiques ou accepter les conséquences opérationnelles. Aucun des deux choix n’est particulièrement favorable. Ils entraînent tous deux une prise de décision plus lente et une plus grande incertitude quant à l’identité du responsable du risque. L’objectif devrait être de résoudre la plupart de ces problèmes bien avant qu’ils ne parviennent jusqu’à la direction supérieure.
Pour les organisations couvertes par NIS2, Il existe une autre raison pour laquelle ces questions prennent de l’ampleur. Article 20 il affirme que les organes de gestion doivent approuver les mesures de gestion des risques en matière de cybersécurité et superviser leur mise en œuvre. Cela rend les dirigeants responsables, mais cela ne doit pas signifier que chaque décision quotidienne tombe sur leur bureau. En Belgique, le Centre pour la cybersécurité de Belgique Cadre CyberFundamentals ou CyFun, peut également fournir aux organisations un point de départ pratique pour décider des mesures qu'ils doivent prendre.
Instaurer une couche décisionnelle pratique
Les organisations du secteur manufacturier et de la logistique n’ont pas besoin d’un autre grand comité. Elles ont besoin d’un forum pratique où les bonnes personnes peuvent évaluer les risques informatiques et opérationnels ensemble et prendre une décision. Cela pourrait inclure la sécurité informatique, les opérations de l’usine ou du entrepôt, l’ingénierie ou les systèmes critiques, la maintenance, la qualité et la conformité, selon le problème.
La chose essentielle est que ces personnes comprennent les deux côtés du problème et possèdent suffisamment d’autorité pour prendre une décision.
La conversation doit s'éloigner de : “ Pouvons-nous autoriser cela ? ” À : “ Qu’est-ce que nous essayons d’atteindre, quel est le risque et quelle est la manière la plus sûre de le faire ? ”
C’est une conversation beaucoup plus utile.
Six façons de faire en sorte que la sécurité informatique soit efficace pour l’usine et le entrepôt
Commencez par ce dont la plante a besoin pour atteindre ses objectifs
Avant de discuter de la gestion, il faut comprendre les résultats obtenus. Un ingénieur a-t-il besoin d’un accès à distance ? Un nouveau dispositif doit-il être connecté ? Les données de production doivent-elles être disponibles ailleurs ? Une ligne doit-elle rester en fonctionnement ?
En partant de là, la conversation change. Vous cherchez une manière sûre d’atteindre l’objectif, plutôt que de décider simplement si vous approuvez ou rejetez une demande.
Considérer les risques opérationnels et les cyberrisques ensemble
Le risque cybernétique n’est qu’une partie de l’équation. Il faut également prendre en compte les temps d’arrêt, la perte de production, les retards de maintenance, la sécurité et la qualité. Le rapport de référence de Honeywell sur la cybersécurité OT pour septembre 2026 Les résultats ont montré que les répondants ont signalé une moyenne de 16,2 heures de temps d'arrêt en raison de leurs incidents de cybersécurité les plus graves.
Mais le même principe s’applique dans l’autre sens. Un contrôle de sécurité qui crée un risque opérationnel significatif doit être examiné avec la même attention. Au niveau de la production, il n’y a guère de place pour l’ambiguïté : le scanner se connecte, les données de maintenance arrivent et la ligne continue de fonctionner, ou le processus ralentit. Honeywell a constaté que 21% des répondants touchés par les incidents estimaient que les coûts de temps d’arrêt dépassaient $100 000 par heure, dont 4% qui les situaient au-dessus de $500 000 par heure.. La question n’est pas simplement “ Est-ce sécurisé ? ” Mais “ Est-ce le niveau de risque approprié pour l’entreprise ? ”
Soyez clair quant à qui peut prendre la décision
Non toutes les décisions en matière de sécurité doivent nécessiter l’approbation de hauts responsables. Il faut être clair quant à ce qui peut être décidé au niveau opérationnel, fonctionnel ou exécutif. Si une exception est accompagnée de garanties et s’inscrit dans un seuil de risque établi, les personnes les plus proches du problème doivent pouvoir prendre la décision. Il est également utile d’adopter à l’avance des approches standard, telles qu’une méthode permettant de gérer l’accès à distance des fournisseurs ou l’intégration d’un nouvel appareil. De cette manière, les équipes n’ont pas à reprendre chaque fois le même débat. Évitez d’aller jusqu’au bout des procédures lorsque les décisions concernent des enjeux plus vastes pour l’entreprise, la réglementation ou la sécurité.
Trouvez des alternatives pratiques
Parfois, un contrôle de sécurité optimal n’est tout simplement pas pratique dans un environnement de production. Cela ne signifie pas que la réponse doit être non. Il peut y avoir d’autres options : un accès segmenté, des autorisations limitées dans le temps, une authentification plus robuste, une surveillance supplémentaire ou une période de maintenance contrôlée. IEC 62443 offre aux équipes informatiques et techniques un moyen utile de discuter de cette question. Les systèmes présentant des besoins de sécurité similaires peuvent être regroupés en zones, avec des règles claires concernant la circulation des informations entre elles par des canaux. Cela rend l’accès segmenté plus concret. L’objectif est de réduire les risques sans interrompre le travail.
Mesurer si la sécurité contribue
Il est facile de mesurer les vulnérabilités, les incidents et les tentatives bloquées. Mais je voudrais également examiner ce que la sécurité fait à l’opération. Quel est le temps d’arrêt lié aux contrôles de sécurité ? Combien d’exceptions sont demandées ? Combien de temps mettent les approbations à se manifester ? Combien de fois les mêmes problèmes sont-ils renvoyés à une autre équipe ? Ces mesures vous indiquent quelque chose d’important : si la sécurité contribue à rendre l’usine plus résiliente ou crée-t-elle de nouvelles frictions que quelqu’un d’autre doit gérer.
Design pour une capacité limitée
La capacité est également importante. Des exigences de sécurité strictes peuvent consommer des ressources réseau, de sécurité et d’ingénierie limitées, surtout lorsque les équipes gèrent de nombreux systèmes répartis sur différents sites. Les employés peuvent finir par devoir examiner à nouveau les mêmes types de demandes ou encore passer en revue de très nombreux logs pour trouver les alertes les plus pertinentes. Des approches standard, des contrôles réutilisables et une tria judicieuse peuvent aider les équipes à concentrer leur temps là où il apporte la plus grande valeur.
L’automatisation et l’IA peuvent aider à effectuer des tâches telles que le tri des journaux ou le contrôle des modifications proposées. Mais elles sont utiles uniquement lorsque celles-ci sont bien gérées et que les données sont complètes et exactes dans le contexte approprié.
La sécurité et la productivité ne sont pas des objectifs contradictoires
D’après les conversations que j’ai eues avec des organisations du secteur manufacturier et du secteur logistique, je ne vois pas la sécurité et les opérations comme des deux côtés qui doivent se battre pour un même objectif : protéger une entreprise qui doit rester opérationnelle.
Une moindre sécurité n’est évidemment pas la solution. De même que l’instauration de contrôles toujours plus nombreux autour de la production et de la logistique sans tenir compte de la manière dont ils fonctionneront en pratique. Il s’agit de prendre des décisions ensemble de manière plus efficace. Lorsque les responsables informatiques, de sécurité et opérationnels comprennent les priorités de l’autre, disposent d’une méthode pratique pour équilibrer les risques et ont l’autorité nécessaire pour prendre des décisions au niveau approprié, moins de problèmes devront atteindre la haute direction.
Et la sécurité aura beaucoup plus de chances de faire ce qu'elle est censée faire : protéger la production plutôt que de la gêner.
Déconstruisez les silos grâce à Total Quality
L’approche Total Quality de Resillion rassemble les équipes afin de proposer une approche plus intégrée de l’assurance qualité.
Dans un projet de logistique, nous avons associé les équipes de qualité, de performance, d’exploitation et de sécurité informatique pour assurer la qualité de l’ensemble des activités. environnement des services de ferry connectés. Cela a permis à différentes parties de l’entreprise de partager une vision commune du risque et de la manière dont l’ensemble de l’activité fonctionnait, plutôt que de procéder à une évaluation de chaque secteur séparément. Nous appliquons la même approche aux organisations du secteur de la fabrication, des transports et de la logistique : nous ajoutons des capacités spécialisées et une assurance intégrée tout en conservant la maîtrise de l’entreprise par l’équipe du client.
Parlez à un expert du secteur sur la mise en œuvre de la qualité totale.
