L'impératif d'intégrer les systèmes hérités

Les réseaux industriels modernes se caractérisent par leur besoin de données en temps réel, leur connectivité aux plateformes cloud et le respect de normes strictes de cybersécurité. Cependant, la plupart des organisations exploitent encore un nombre important de systèmes existants – équipements, logiciels et systèmes de contrôle plus anciens qui remplissent des fonctions critiques mais n'ont pas été conçus pour le monde hyperconnecté. Il est rarement possible d'abandonner ces systèmes en raison des investissements en capital qu'ils représentent et du rôle essentiel qu'ils jouent dans la production.

L'intégration réussie permet de générer une valeur substantielle. Elle permet aux anciens contrôleurs logiques programmables (CLP), aux systèmes de contrôle de supervision et d'acquisition de données (SCADA) et à d'autres actifs de technologie opérationnelle (OT) de transmettre les données aux plateformes analytiques modernes, aux systèmes de planification des ressources de l'entreprise (PGI) et aux environnements informatiques de pointe.

Comprendre la nature des systèmes hérités dans les contextes industriels

Un système hérité n'est pas simplement «ancien». Il continue de servir un but essentiel pour l'entreprise, mais il repose sur une technologie qui ne peut plus être soutenue par son fournisseur original.

  • Matériel et logiciel propriétaires:[ PLC plus âgés, RTU (Unités terminaux éloignées) et DCS (Systèmes de contrôle distribué) qui utilisent des protocoles de communication spécifiques au fournisseur.
  • Connectivité limitée:[ Interfaces série (RS-232, RS-485), boucles analogiques 4-20 mA, ou technologies de bus de terrain précoces plutôt que réseaux Ethernet ou IP standard.
  • Modèles de sécurité dépassés: Systèmes qui manquent de capacités d'authentification, de chiffrement ou même de base, les rendant très vulnérables dans un environnement moderne convergent IT/OT.
  • Délépendance sur les systèmes d'exploitation obsolètes: Par exemple, Windows NT, Windows 2000, ou les systèmes d'exploitation en temps réel intégrés qui ne sont plus corrigés.

Malgré ces limites, les systèmes existants ont souvent une grande fiabilité pour les tâches spécifiques qu'ils accomplissent. Les remplacer pourrait impliquer une restructuration, une requalification et une recertification réglementaire. Comprendre cette tension entre fiabilité et modernisation est la première étape vers une stratégie d'intégration pragmatique.

Étapes fondamentales avant de connecter n'importe quoi

Effectuer un inventaire complet et une évaluation des risques

Avant de commencer une intégration technique, il est essentiel de cartographier chaque système existant dans l'environnement cible. Cet inventaire devrait documenter le fabricant, le modèle, la version du firmware, le protocole de communication, l'emplacement physique, la connectivité réseau (le cas échéant) et la criticité du processus qu'il contrôle. Parallèlement à l'inventaire, une évaluation des risques identifie les vulnérabilités spécifiques à chaque système. Par exemple, un PLC existant contrôlant un processus critique pour la sécurité et connecté uniquement via un port série présente différents risques et options d'intégration qu'un serveur existant exécutant une application personnalisée avec une API propriétaire.

Définir des objectifs clairs et des critères de réussite

L'intégration pour son propre bien est une recette pour le fluage de la portée et l'échec. Au lieu de définir quel problème l'intégration est la résolution. L'objectif est-il d'amener les données de capteurs des anciens appareils de terrain dans un tableau de bord SCADA moderne? Permettre à un système ERP d'envoyer des commandes de production à un ancien contrôleur de lots? Permettre la surveillance à distance d'un actif hérité pour la maintenance prédictive? Chaque objectif dictera le modèle d'intégration approprié, les choix de protocole et les exigences de sécurité.

Pratiques exemplaires techniques pour une intégration sûre et fiable

Déployer des passerelles sécurisées et résilientes

La passerelle sécurisée sert de borne de traduction, de tampon et de sécurité. La passerelle se situe entre l'environnement hérité et le réseau moderne, la conversion du protocole de traitement (par exemple, la lecture de Modbus RTU d'un côté et la publication de l'AU OPC de l'autre), le tamponnage des données pour gérer les interruptions du réseau et les mesures de sécurité, comme l'inspection approfondie des paquets et les listes de contrôle d'accès. Les passerelles matérielles conçues pour les environnements industriels sont privilégiées, car elles sont durcies contre la température, les vibrations et le bruit électrique. La passerelle elle-même doit être maintenue à jour avec des correctifs de sécurité et la gestion de la configuration.

Normaliser les protocoles d'interopérabilité de l'industrie

L'utilisation de protocoles standard est la façon la plus efficace d'assurer la pérennité et la flexibilité à long terme.

  • OPC UA (Open Platform Communications Unified Architecture):[ Un protocole indépendant de la plate-forme, sécurisé et évolutif conçu pour la communication industrielle. Il prend en charge l'accès aux données, les alarmes et les données historiques, ce qui en fait un choix fort pour connecter les systèmes existants aux applications modernes.
  • MQTT (Message Queuing Telemetry Transport):[ Un léger protocole de publication-abonnement idéal pour les scénarios IoT et de bord. Il fonctionne bien lors du déplacement des données du plancher d'usine aux plates-formes cloud, mais nécessite une attention particulière à la sécurité (TLS, authentification).
  • Modbus TCP (Modbus over Ethernet):[ Largement supporté par des appareils industriels, mais intrinsèquement non sécurisé (pas d'authentification ou de chiffrement). Lorsqu'on utilise Modbus TCP avec des systèmes existants, il doit être isolé derrière une passerelle qui applique les politiques de sécurité.

La cartographie des protocoles existants à ces normes au niveau de la passerelle crée une surface de données cohérente que les applications modernes peuvent consommer sans avoir besoin de comprendre les idiosyncrasies de chaque système ancien.

Mettre en œuvre une stratégie de cybersécurité de la Défense en deepth

Les systèmes hérités sont souvent le maillon le plus faible d'une posture de sécurité industrielle. Une approche de sécurité en couches est obligatoire.

  • Segmentation réseau:[ Placez les systèmes existants et leurs passerelles dans une zone réseau OT dédiée, séparée du réseau informatique par un pare-feu ou une zone démilitarisée industrielle (DMZ). Contrôlez strictement le trafic autorisé à franchir cette frontière.
  • Mettez en place une authentification forte pour tout accès humain ou système aux appareils existants. Si possible, remplacez les mots de passe par défaut par des identifiants complexes. Pour les systèmes qui ne peuvent pas supporter l'authentification moderne, la passerelle devrait appliquer des politiques d'accès.
  • Surveiller et enregistrer:[ Activer la connexion sur les passerelles et tous les points où le trafic historique entre dans le réseau moderne. Utilisez un système de gestion d'information et d'événements de sécurité (SIEM) pour détecter les activités anormales, comme les requêtes de lecture/écriture inattendues à un PLC historique.
  • Gestion du couplage et de la vulnérabilité:[ Bien que les systèmes existants eux-mêmes ne puissent souvent pas être corrigés, les passerelles et l'infrastructure de support doivent être corrigés régulièrement.

Planifier une migration progressive et un sentier de remplacement

Le passage à l'eau potable est rarement le premier pas à faire. Il faut plutôt planifier une approche progressive qui commence par les systèmes les plus critiques ou les plus vulnérables.

  • Phase 1: Installez une passerelle pour introduire les données d'un système SCADA plus ancien dans une couche de visualisation moderne sans modifier l'héritage SCADA lui-même. Cela prouve le concept d'intégration et fournit une valeur immédiate.
  • Phase 2: Mettre en place un système de surveillance parallèle qui masque le contrôleur de l'héritage, en utilisant le même E/S mais fonctionnant sur du matériel moderne.
  • Phase 3: Une fois le système moderne validé, désactivez le contrôleur existant. Cette transition lente minimise le risque opérationnel et permet aux opérateurs d'acquérir confiance dans la nouvelle solution.

Tirer parti stratégiquement de la virtualisation et de la conteneurisation

La virtualisation peut être un outil puissant pour exécuter des logiciels anciens qui dépendent de systèmes d'exploitation obsolètes ou de configurations matérielles spécifiques. En encapsulant l'application héritée dans une machine virtuelle avec l'environnement d'exécution exact dont elle a besoin, l'organisation peut l'exécuter sur un matériel moderne et fiable tout en l'isolant d'autres systèmes. La conteneurisation (par exemple, Docker) peut également être utile pour des composants d'intégration légers et apatrides, tels que les convertisseurs de protocole ou les enregistreurs de données.

Surmonter les obstacles à l'intégration commune

Combler les formats de données et la sémantique incompatibles

Au-delà des différences de protocole, les systèmes existants utilisent souvent des modèles et des unités de données sur mesure. Un registre Modbus peut contenir une valeur de température dans une échelle personnalisée, ou un registre bit-packed peut encoder plusieurs drapeaux d'état. Pour combler cette lacune sémantique, une couche intermédiaire ou une plate-forme d'intégration est nécessaire pour cartographier, transformer et nettoyer les données. Cette cartographie devrait être documentée dans le cadre de la conception de l'intégration, ainsi que toute hypothèse sur l'échelle, la commande par octet et les types de données.

Assurer des points de fin de vie vulnérables qui ne peuvent pas être recoupés

Lorsqu'un périphérique ancien a des vulnérabilités connues et qu'aucun correctif n'est disponible du fournisseur, la seule option est de compenser par des contrôles externes. C'est là qu'une passerelle ou un pare-feu devient essentiel.

  • Placer l'appareil legs sur son propre VLAN sans accès direct à Internet.
  • Correction virtuelle par un pare-feu de nouvelle génération (NGFW) ou un système de prévention des intrusions (IPS) qui inspecte le trafic vers l'appareil existant.
  • Limiter strictement le nombre d'adresses IP source qui sont autorisées à communiquer avec l'appareil.
  • Mettre en œuvre des passerelles de niveau application qui n'autorisent que des commandes spécifiques (par exemple, accès en lecture seule) même si le protocole permet des écrits.

Gestion des temps d'arrêt et des risques opérationnels pendant l'intégration

Les environnements industriels ne peuvent pas se permettre des temps d'arrêt imprévus. Toute activité d'intégration doit être soigneusement planifiée et exécutée avec des plans de repli.

  • Effectuer des travaux d'intégration pendant les arrêts prévus d'usine ou les fenêtres d'entretien prévues.
  • Utiliser des laboratoires de simulation ou de test pour valider l'intégration avant de toucher les systèmes de production.
  • La mise en œuvre de mécanismes manuels ou de mécanismes de sécurité en cas d'échec, de sorte que si la nouvelle couche d'intégration échoue, le système hérité continue de fonctionner indépendamment.
  • Avoir un plan de renversement clair qui peut restaurer le système à son état de pré-intégration dans la fenêtre de maintenance.

Remédier aux lacunes en matière de compétences

Les systèmes hérités exigent souvent des connaissances sur les technologies plus anciennes, comme la logique des échelles, les outils de programmation propriétaires ou la communication en série. Les plateformes modernes exigent, par contre, des compétences en réseautage, en cybersécurité et en développement de logiciels. Pour combler cette lacune, les organisations devraient investir dans la formation croisée de leur personnel en OT actuel sur les outils d'intégration et les pratiques de sécurité modernes.

Le rôle des plates-formes de données modernes dans l'intégration

Bien que les passerelles et les protocoles traitent les aspects mécaniques de la connectivité, une plate-forme de données moderne fournit une couche critique pour gérer le flux d'information. Une telle plate-forme peut agir comme un bus de données unifié qui consomme des données à partir de systèmes existants (via passerelles) et de dispositifs modernes IoT, puis expose ces données à travers des API, des tableaux de bord et des outils d'analyse. Cette couche d'abstraction découple les applications consommatrices de la complexité héritée sous-jacente. Par exemple, une plate-forme CMS ou d'intégration de données sans tête comme Directus peut servir de dépôt centralisé et passerelle API pour les données industrielles, permettant aux applications aval d'accéder aux données du système héritées par des paramètres propres, sécurisés et documentés.

Les plateformes qui prennent en charge la modélisation flexible des données, le contrôle d'accès basé sur le rôle et les capacités de webhook ou Pub/Sub sont particulièrement adaptées aux scénarios d'intégration industrielle. Elles peuvent normaliser les données provenant de sources multiples incompatibles, appliquer les règles de qualité des données et fournir des pistes d'audit qui sont de plus en plus nécessaires par les cadres réglementaires.

Conclusion

L'intégration des systèmes existants dans les réseaux industriels modernes n'est pas une tâche simple, mais elle est réalisable lorsqu'on les aborde avec rigueur et planification. Les organisations qui réussissent sont celles qui prennent le temps d'en répertorier les systèmes, de définir des objectifs clairs et d'appliquer des pratiques techniques éprouvées telles que des passerelles sécurisées, des protocoles normalisés, une sécurité stratifiée et une migration progressive. Elles reconnaissent également que l'intégration n'est pas un projet ponctuel mais une capacité permanente qui doit évoluer à la fois en fonction des besoins opérationnels et de l'évolution du paysage de la menace.

Pour plus de détails sur les normes de communication industrielle, voir le OPC Foundation pour des spécifications détaillées sur l'AU du CPVP.Pour des conseils sur les cadres de cybersécurité industrielle, le NIST Cybersecurity Framework fournit un excellent point de départ. Pour explorer comment les plateformes de données modernes comme Directus peuvent simplifier l'intégration, visite le site Web de Directus pour la documentation et les études de cas.