Quels sont les principaux risques liés au déploiement de routeurs industriels ?
- Admin
- 6 mars
- 15 min de lecture
Table des matières
Introduction : Pourquoi les routeurs industriels sont devenus des nœuds critiques de sécurité
Les 5 grands risques de sécurité liés au déploiement des routeurs industriels
Comment les appareils IIoT répondent aux exigences de conformité en cybersécurité
Impact clé de la norme EN 18031 sur les routeurs industriels
Capacités de sécurité à privilégier lors du choix d'un routeur industriel
Introduction : Pourquoi les routeurs industriels sont devenus des nœuds critiques de sécurité
Les routeurs industriels ne sont pas des équipements réseau de bureau ordinaires. Ils opèrent dans des environnements physiques sévères — larges plages de température, forte humidité, interférences électromagnétiques importantes — tout en supportant des fonctions métiers critiques telles que la planification de la production, la maintenance à distance et la collecte de données. En cas d'attaque, les conséquences peuvent aller d'une interruption de production à un incident de sécurité grave, voire à une fuite massive de données.
Ces dernières années, les cyberattaques contre les infrastructures industrielles ont connu une croissance exponentielle. Le rapport Dragos 2024 sur la cybersécurité industrielle indique que plus de 70 % des vecteurs d'intrusion initiaux dans les environnements OT impliquent des dispositifs d'accès à distance, parmi lesquels les routeurs industriels sont les plus fréquemment détournés.
La spécificité des routeurs industriels se manifeste selon trois dimensions :
Contradiction entre la haute disponibilité et les mises à jour de sécurité : Les lignes de production ne peuvent pas s'arrêter, ce qui limite considérablement les fenêtres de mise à jour du firmware. Beaucoup d'appareils fonctionnent longtemps avec des versions contenant des vulnérabilités connues.
Frontière de convergence OT/IT : Les routeurs industriels sont souvent connectés à la fois aux systèmes OT (SCADA, DCS) et aux systèmes IT d'entreprise (ERP), faisant d'eux des tremplins naturels pour les mouvements latéraux. Une fois un routeur compromis, l'attaquant peut s'infiltrer dans les deux directions simultanément.
Pression réglementaire croissante : Le Cyber Resilience Act (CRA) de l'UE et les réglementations déléguées de la directive RED (dont EN 18031) élèvent les exigences de sécurité des routeurs industriels au rang d'obligations légales. Les produits non conformes seront interdits de commercialisation.
C'est dans ce contexte que des fabricants tels que Wavetel IoT, spécialisés dans les équipements terminaux IoT industriels, font de la sécurité le point central de la conception de leurs produits, offrant des solutions de connectivité IoT tout-en-un alliant fiabilité et sécurité pour les secteurs de l'énergie, de la fabrication intelligente, de la sécurité et de l'environnement.
Les 5 grands risques de sécurité liés au déploiement des routeurs industriels
2.1 Risque d'accès non autorisé
De nombreux routeurs industriels sont livrés avec des comptes d'administration génériques préconfigurés (ex. : admin/admin), et les ingénieurs de terrain omettent souvent la configuration initiale de sécurité en raison de contraintes de délai. Plus grave encore, certains appareils possèdent des comptes spéciaux préinstallés par le fabricant, exposés à Internet sans être documentés publiquement.
Vecteur d'attaque typique : L'attaquant scanne via Shodan/Censys les interfaces de gestion des routeurs industriels exposées (HTTP/HTTPS/Telnet/SSH), tente de se connecter via des dictionnaires de mots de passe par défaut ou par force brute, puis, une fois root obtenu, implante une porte dérobée persistante ou accède directement aux équipements OT du réseau interne.
L'incident de 2021 à l'usine de traitement des eaux d'Oldsmar, en Floride, est souvent cité comme exemple d'alerte : un opérateur a constaté que la concentration en hydroxyde de sodium avait bondi de 100 ppm à 11 000 ppm, une valeur dangereuse, et est intervenu manuellement. Cependant, une enquête approfondie du FBI conclut à l'absence d'intrusion externe et attribue l'anomalie à une erreur interne. L'enquête a néanmoins révélé des failles de sécurité graves : logiciel d'accès à distance (TeamViewer) avec mot de passe très faible, système Windows 7 hors support, et comptes d'accès à distance partagés entre plusieurs employés — autant de vecteurs d'attaque réels.
Mesures préventives : Forcer la modification du mot de passe par défaut dès la première connexion ; activer une politique de verrouillage de compte (ex. : blocage 30 minutes après 5 échecs successifs) ; fermer tous les ports d'administration inutilisés ; activer l'authentification multifacteur (MFA) pour les accès de gestion à distance.
2.2 Risque de transmission de données non chiffrée
De nombreux protocoles de communication industriels (Modbus TCP, DNP3, PROFINET) n'ont pas été conçus avec le chiffrement, et les données transitent en clair. Par ailleurs, certaines interfaces Web de routeurs industriels utilisent encore HTTP au lieu de HTTPS, et les tunnels VPN peuvent recourir à des algorithmes de chiffrement obsolètes (DES, MD5).
Scénarios de risque clés : Un attaquant situé sur le même segment Ethernet industriel peut mener une attaque de type Man-in-the-Middle (MITM) pour intercepter ou falsifier des commandes PLC ; les protocoles en clair comme Telnet/FTP exposent directement les mots de passe administrateur ; des trames de contrôle non authentifiées peuvent être falsifiées pour déclencher des opérations non prévues.
Mesures préventives : Imposer HTTPS (TLS 1.2+) pour toutes les interfaces d'administration ; désactiver Telnet et n'autoriser que SSH v2 ; chiffrer les tunnels VPN avec AES-256 ; migrer SNMPv1/v2 vers SNMPv3 (avec authentification et chiffrement).
Les routeurs 5G industriels WR575 et WR574 de Wavetel IoT supportent nativement IPsec, OpenVPN, WireGuard, L2TP et GRE, ainsi que le Wi-Fi chiffré AES (WPA2/WPA3), éliminant ainsi les risques de transmission en clair sur les sites industriels.
2.3 Risque de vulnérabilités firmware et d'absence de correctifs
Le cycle de vie des routeurs industriels dépasse souvent 10 à 15 ans, alors que la durée de support sécurité des fabricants excède rarement 5 ans. De nombreux appareils fonctionnent avec des versions de firmware contenant des CVE connus, sans possibilité d'obtenir des correctifs officiels. Même lorsque des correctifs existent, les contraintes d'arrêt des installations industrielles retardent considérablement les mises à jour.
Selon l'ICS-CERT, environ 40 % des cyberattaques contre les systèmes industriels exploitent des vulnérabilités connues disposant déjà de correctifs publics mais non appliqués — les fameux « N-day vulnerabilities ».
Types de vulnérabilités courants : exécution de code à distance (RCE) via l'interface Web ou les interfaces de diagnostic ; dépassements de tampon dans des composants tiers (OpenSSL, bibliothèques HTTP) ; identifiants codés en dur issus de comptes de test non supprimés ; absence de Secure Boot permettant l'injection de firmware malveillant.
Mesures préventives : Constituer un inventaire des versions de firmware et comparer régulièrement avec les CVE connus dans la base NVD ; exiger un SBOM (Software Bill of Materials) auprès des fabricants ; planifier des fenêtres de maintenance pour déployer les correctifs. Wavetel IoT prend en charge la gestion et la mise à jour à distance du firmware via RMS, TR069 et SMS, sans interrompre les opérations essentielles.
2.4 Risque de mouvement latéral dans les réseaux OT
Dans de nombreux sites industriels, l'isolation entre les réseaux IT et OT est insuffisante : le routeur industriel gère à la fois le trafic d'entreprise et est directement connecté à des automates (PLC), des IHM et d'autres équipements de contrôle. Une fois le routeur compromis, il devient un tremplin permettant à l'attaquant de se déplacer librement dans le réseau OT.
Le modèle de Purdue définit une segmentation hiérarchique des réseaux industriels, mais dans la pratique, de nombreuses architectures ont été aplaties par la transformation cloud, supprimant la frontière critique entre les niveaux 0-2 (réseau de contrôle) et les niveaux 3-5 (réseau d'entreprise).
L'attaque Industroyer2 contre le réseau électrique ukrainien en 2022 illustre parfaitement cette menace : les attaquants ont pénétré dans le réseau OT via un routeur de frontière IT pour atteindre les relais de protection des sous-stations, provoquant des pannes massives.
Mesures préventives : Segmenter le réseau OT selon le modèle Zone & Conduit de l'IEC 62443 ; configurer des listes de contrôle d'accès (ACL) strictes sur les routeurs industriels pour interdire la communication directe entre sous-réseaux OT et réseau d'entreprise ; déployer des pare-feux industriels avec inspection approfondie des paquets (DPI) pour le trafic inter-zones. Les routeurs Wavetel IoT supportent l'isolation VLAN et un pare-feu intégré, avec compatibilité native des protocoles Modbus et MQTT.
2.5 Risque de non-conformité réglementaire (dont EN 18031)
À partir de 2024, les réglementations déléguées de la directive européenne sur les équipements radio (RED) intègrent des exigences de cybersécurité obligatoires, dont la norme technique principale est EN 18031. Cela signifie que tout routeur industriel connecté vendu sur le marché européen doit respecter les exigences fonctionnelles de sécurité de l'EN 18031 à partir du 1er août 2025, sous peine d'interdiction de mise sur le marché.
Les normes IEC 62443 et NIST SP 800-82 imposent également des exigences claires aux routeurs industriels.
Principales conséquences d'une non-conformité : retrait de la certification CE, impossibilité d'accéder au marché européen ; amendes pouvant atteindre 2,5 % du chiffre d'affaires mondial annuel en vertu du CRA ; responsabilité juridique accrue en cas d'incident de sécurité ; atteinte à la réputation de l'entreprise affectant la confiance des clients et le renouvellement des contrats.
Comment les appareils IIoT répondent aux exigences de conformité en cybersécurité
Répondre aux exigences de conformité en cybersécurité industrielle ne se fait pas du jour au lendemain : cela nécessite un système de sécurité couvrant toute la chaîne, de la conception du produit au déploiement, à l'exploitation et à la fin de vie.
3.1 Architecture de sécurité dès la conception (Secure by Design)
Le principe Secure by Design exige que les fonctions de sécurité soient intégrées dès la phase de conception, et non ajoutées après coup. Cela est pleinement aligné avec la philosophie fondamentale de l'EN 18031 — la norme exige que les fabricants garantissent la cybersécurité au niveau architectural.
Exigences clés de conception : principe de surface d'attaque minimale (désactivation par défaut de tous les ports et services non nécessaires : Telnet, FTP, SNMPv1/v2) ; Secure Boot (vérification de l'intégrité du firmware par signature numérique) ; Hardware Root of Trust (stockage des clés via TPM ou élément sécurisé) ; capacité de segmentation réseau conforme à l'IEC 62443-3-3 avec pare-feu intégré pour l'isolation OT/IT.
Les produits Wavetel IoT intègrent des capacités de communication multiprotocole, de calcul en périphérie et de sécurité de niveau militaire, avec une conception matérielle large température (-30°C à 70°C) et des mécanismes logiciels de pare-feu, VPN et chiffrement.
3.2 Contrôle d'accès basé sur les rôles (RBAC)
Le contrôle d'accès est la première ligne de défense des routeurs industriels. L'EN 18031 exige explicitement des mécanismes de contrôle d'accès multi-utilisateurs et multi-niveaux pour prévenir les accès non autorisés et les abus de privilèges.
Quatre rôles typiques recommandés : super-administrateur avec droits complets (très limité en nombre) ; administrateur réseau pour la configuration du routage/pare-feu/VPN ; auditeur de sécurité avec accès lecture seule aux journaux ; utilisateur en lecture seule pour les ingénieurs de terrain.
Points d'implémentation : forcer la modification du mot de passe par défaut dès la première connexion (exigence EN 18031) ; configurer une politique de complexité des mots de passe et un mécanisme de verrouillage des comptes ; activer l'authentification multifacteur (MFA) pour les accès à distance ; intégrer avec LDAP/RADIUS d'entreprise pour une gestion unifiée des identités. Les routeurs Wavetel IoT supportent le contrôle d'accès Wi-Fi par liste blanche/noire et une configuration granulaire des droits via Web GUI et SSH.
3.3 Mécanismes de gestion à distance chiffrée
La gestion à distance est l'un des vecteurs d'attaque les plus fréquents. Tout le trafic d'administration doit être protégé par un chiffrement fort ; les protocoles en clair doivent être totalement désactivés.
Exigences spécifiques : HTTPS obligatoire (TLS 1.2+) pour l'interface Web, HTTP désactivé ; SSH v2 uniquement pour la CLI, Telnet désactivé ; VPN d'accès à distance via IPsec IKEv2 ou OpenVPN (AES-256, SHA-256) ; SNMPv3 (avec authentification et chiffrement), SNMPv1/v2 désactivés ; support des certificats X.509 pour la gestion des certificats d'appareils.
Les routeurs Wavetel IoT supportent nativement IPsec, L2TP, OpenVPN, GRE et WireGuard, ainsi que plusieurs canaux de gestion sécurisée : Web GUI, SSH, SNMP, TR069, SMS et RMS.
3.4 Surveillance continue et audit des journaux
La détection des incidents de sécurité repose sur une visibilité complète. L'EN 18031 et l'IEC 62443 exigent que les équipements industriels soient capables de générer des journaux et de signaler des événements de sécurité pour la surveillance centralisée par un SOC (Security Operations Center).
Capacités requises : journalisation complète (connexions, modifications de configuration, erreurs système, anomalies réseau) ; intégrité des journaux (signature ou envoi à un serveur Syslog/SIEM externe) ; alertes en temps réel pour les événements à risque élevé (force brute, trafic anormal, modification de configuration) ; intégration SIEM via Syslog (RFC 5424), SNMP Trap et REST API ; visibilité du trafic via NetFlow/IPFIX ou DPI intégré.
Le système de gestion à distance RMS de Wavetel IoT prend en charge la surveillance centralisée et les alertes sur l'état des routeurs, et s'intègre aux plateformes de gestion réseau existantes via SNMP et TR069.
3.5 Gestion de la sécurité tout au long du cycle de vie
La sécurité des appareils doit être maintenue tout au long de leur durée d'utilisation. L'EN 18031 accorde une attention particulière aux mécanismes de mise à jour sécurisée et à la gestion de fin de vie des appareils. Les fabricants doivent fournir : un mécanisme de mise à jour de firmware sécurisé (avec vérification par signature numérique et protection contre le retour arrière) ; une politique de divulgation des vulnérabilités (VDP) ; un SBOM ; une notification de migration au moins 12 mois avant la fin de service ; et une capacité de réinitialisation d'usine effaçant complètement les données sensibles avant la mise hors service.
Impact clé de la norme EN 18031 sur les routeurs industriels
L'EN 18031 (ETSI EN 18031) est la norme harmonisée soutenant les exigences de cybersécurité de l'article 3.3 de la directive européenne sur les équipements radio (RED), couvrant les exigences de sécurité de base pour les équipements radio connectés à Internet (dont les routeurs industriels). Elle se divise en trois parties, dont EN 18031-1 (appareils d'accès Internet généralistes) et EN 18031-3 (appareils traitant des données personnelles) sont les plus directement pertinentes.
Six exigences fondamentales :
Contrôle d'accès (§6.1) : Aucun mot de passe universel par défaut autorisé ; modification obligatoire des identifiants à la première utilisation.
Sécurité des données (§6.2) : Chiffrement des données en transit ; TLS obligatoire sur les interfaces d'administration.
Mises à jour de sécurité (§6.3) : Les appareils doivent supporter des mécanismes de mise à jour signés et notifier les utilisateurs des mises à jour disponibles.
Principe de fonctionnalité minimale (§6.4) : Services non nécessaires désactivés par défaut ; paramètres de sécurité configurables par l'utilisateur.
Gestion des paramètres de sécurité (§6.5) : Stockage chiffré des clés ; prise en charge de la réinitialisation d'usine sécurisée.
Gestion des vulnérabilités (§6.6) : Mise en place d'un processus de divulgation coordonnée des vulnérabilités (CVD Policy) avec un canal de signalement clair pour les chercheurs en sécurité.
Calendrier de conformité :
Janvier 2022 : publication du règlement délégué EU 2022/30
Août 2024 : publication officielle de la norme EN 18031
1er août 2025 : EN 18031 devient un prérequis obligatoire à la certification CE pour les routeurs industriels et produits connectés
2026 : le Cyber Resilience Act (CRA) renforce les exigences, couvrant l'ensemble du cycle de vie du produit et rendant la fourniture d'un SBOM obligatoire pour les fabricants
Relation avec les autres cadres : EN 18031 constitue la base réglementaire obligatoire pour le marché européen ; IEC 62443-4-2 fournit une classification de capacités plus fine (SL1 à SL4) pour une mise en œuvre technique approfondie ; NIST SP 800-82 est davantage axé sur la pratique pour le marché nord-américain ; ISO/IEC 27001 est un cadre de gestion global ; le CRA est l'extension de l'EN 18031 couvrant logiciels et cycle de vie complet.
Capacités de sécurité à privilégier lors du choix d'un routeur industriel
Lors de l'achat d'un routeur industriel, les capacités de sécurité ne doivent pas être évaluées uniquement sur la base des supports marketing du fabricant, mais vérifiées via des indicateurs techniques précis et des certifications tierces.
Authentification : Obligatoire — absence de mots de passe universels par défaut, MFA et politique de verrouillage des comptes. Bonus — authentification par certificat et support FIDO2/WebAuthn.
Chiffrement : Obligatoire — TLS 1.2+ sur les interfaces de gestion, VPN IPsec et SSHv2. Bonus — TLS 1.3 et préparation aux algorithmes post-quantiques. Les produits Wavetel IoT supportent nativement IPsec, OpenVPN et WireGuard.
Sécurité du firmware : Obligatoire — Secure Boot et mises à jour firmware à signature numérique. Bonus — support TPM et vérification d'intégrité du firmware à l'exécution.
Isolation réseau : Obligatoire — pare-feu intégré, VLAN et segmentation OT/IT. Bonus — micro-segmentation, DPI applicatif et visualisation du trafic. Les routeurs Wavetel IoT supportent une architecture d'isolation réseau multi-niveaux en coopération avec des commutateurs industriels et PoE.
Journaux et surveillance : Obligatoire — Syslog et journaux de connexion/modification de configuration. Bonus — intégration SIEM, NetFlow/IPFIX et SNMP Trap. Wavetel IoT supporte SNMP, TR069 et la gestion centralisée RMS.
Gestion des vulnérabilités : Obligatoire — bulletins de sécurité réguliers et SBOM. Bonus — intégration à la base CVE et notifications automatiques de vulnérabilités.
Certifications de conformité : Obligatoire — certification EN 18031/CE. Bonus — certification IEC 62443 et évaluation CC EAL.
Cycle de vie : Obligatoire — politique EoL claire et réinitialisation d'usine sécurisée. Bonus — engagement explicite sur la durée de garantie des mises à jour de sécurité (ex. 10 ans). Wavetel IoT propose des mises à jour firmware à distance multi-canaux (RMS/TR069/SMS) sans interruption de service.
Quatre points d'attention particuliers : exiger un SBOM du fabricant ; rechercher les CVE historiques du modèle d'appareil sur NVD (nvd.nist.gov) ; demander un rapport de test EN 18031 émis par un organisme tiers (TÜV, SGS) et non une simple auto-déclaration ; envoyer une demande de test de signalement de vulnérabilité à l'équipe sécurité du fabricant pour évaluer directement sa maturité en matière de sécurité.
FAQ – Questions fréquentes
Q1 : Quelle est la relation entre EN 18031 et IEC 62443 ? Faut-il satisfaire les deux ?
Les deux normes ont des positionnements différents mais complémentaires. L'EN 18031 est une exigence d'accès au marché européen (niveau réglementaire), axée sur les fonctions de sécurité de base de l'appareil. L'IEC 62443 est une norme de sécurité plus complète pour l'automatisation industrielle, couvrant la conception système, les processus opérationnels et la sécurité de la chaîne d'approvisionnement (niveau technique). Pour les routeurs industriels vendus dans l'UE, l'EN 18031 est obligatoire ; la certification IEC 62443 constitue un avantage concurrentiel et est souvent exigée dans les cahiers des charges industriels. Idéalement, il est recommandé de satisfaire les deux.
Q2 : Comment les PME manufacturières peuvent-elles se conformer aux exigences de sécurité des routeurs industriels à faible coût ?
Une approche par priorité est recommandée : Étape 1, remédier immédiatement aux risques élevés (modifier les mots de passe par défaut, désactiver Telnet/HTTP, activer le pare-feu) ; Étape 2, remplacer lors du prochain cycle d'achat par des produits certifiés EN 18031 ; Étape 3, utiliser les modèles de configuration sécurisée et les plateformes de gestion centralisée fournis par les fabricants pour réduire les coûts opérationnels. Le système RMS de Wavetel IoT permet le déploiement groupé de politiques de sécurité et la surveillance d'état sur des routeurs de sites distribués, réduisant considérablement la charge de conformité pour les PME.
Q3 : Un routeur industriel déployé en réseau interne nécessite-t-il quand même un chiffrement ?
Oui, le chiffrement en réseau interne est tout aussi nécessaire. Un réseau interne n'est pas synonyme d'environnement sécurisé — les menaces internes, les accès à distance des fournisseurs et les mouvements latéraux APT peuvent tous déclencher des attaques MITM en réseau interne. La meilleure pratique est la suivante : même en réseau interne, le trafic d'administration doit être chiffré via HTTPS/SSH ; des tunnels chiffrés (IPsec) doivent être déployés entre les sous-réseaux OT critiques et le réseau d'entreprise ; l'accès aux équipements de contrôle comme les PLC doit passer par des hôtes bastions chiffrés.
Q4 : Comment gérer les routeurs industriels hérités qui ne peuvent pas être mis à jour rapidement ?
Il est recommandé d'adopter une stratégie de « Virtual Patching » : déployer un pare-feu industriel ou un système de prévention des intrusions (IPS) en amont de l'appareil pour bloquer via des règles le trafic exploitant des vulnérabilités connues, réduisant ainsi les risques sans modifier l'appareil lui-même. Il convient également d'établir un plan de retrait clair, de placer les appareils hérités dans des zones d'isolation réseau strictes interdisant l'accès direct au cœur du réseau OT, et de renforcer la surveillance du trafic sur ce segment.
Q5 : Quelle est l'importance du SBOM pour la sécurité des routeurs industriels ?
Le SBOM (Software Bill of Materials) est un outil essentiel pour faire face aux risques de sécurité de la chaîne d'approvisionnement. Les routeurs industriels intègrent généralement des dizaines, voire des centaines de composants open source (OpenSSL, BusyBox, noyau Linux, etc.). Toute vulnérabilité dans l'un de ces composants peut affecter la sécurité de l'appareil. Avec un SBOM, l'équipe de sécurité peut immédiatement évaluer si un appareil est concerné lors de la publication d'un nouveau CVE, sans attendre l'avis du fabricant. Le CRA de l'UE a rendu la fourniture d'un SBOM obligatoire pour les fabricants, avec une entrée en vigueur complète après 2026.
Conclusion
La sécurité des routeurs industriels n'est pas une option, mais le fondement de la transformation numérique industrielle. Avec l'entrée en vigueur successive de l'EN 18031, du CRA et d'autres réglementations, la conformité en matière de sécurité passe d'un avantage concurrentiel à un prérequis d'accès au marché.
Pour les entreprises industrielles, nous sommes actuellement dans une fenêtre critique pour établir des capacités systémiques en cybersécurité industrielle. De l'acquisition d'équipements conformes aux normes de sécurité, à l'établissement d'un contrôle d'accès de base, jusqu'à la construction d'un système de surveillance continue, chaque étape pose les fondations d'une exploitation sûre et conforme de l'usine à long terme.
Wavetel IoT est spécialisé dans les équipements terminaux IoT industriels. Sa gamme de routeurs industriels 4G/5G/5G RedCap (WR143, WR244, WR245, WR254, WR574, WR575, etc.) intègre nativement des capacités de chiffrement VPN, de pare-feu intégré, de communication industrielle multiprotocole (Modbus, MQTT) et de gestion à distance RMS, au service de secteurs à exigences strictes en matière de sécurité et de fiabilité : énergie, fabrication intelligente, sécurité, surveillance d'ascenseurs, terminaux financiers ATM, etc. Pour savoir comment construire une architecture de cybersécurité industrielle conforme à l'EN 18031 basée sur les produits Wavetel IoT, n'hésitez pas à contacter notre équipe d'ingénieurs, qui vous répondra dans les 24 heures.
Liste des actions recommandées :
Vérifier immédiatement les versions de firmware des routeurs industriels existants et les comparer aux CVE connus dans la base NVD
Modifier tous les mots de passe par défaut et désactiver les protocoles d'administration en clair (Telnet, HTTP)
Établir un inventaire des actifs de routeurs industriels (modèle, version firmware, emplacement, responsable)
Lors du prochain cycle d'achat, imposer la certification EN 18031 comme critère obligatoire et exiger un SBOM des fabricants
Planifier la refonte de la segmentation réseau OT/IT pour une isolation logique du réseau de contrôle industriel
Déployer un système de gestion centralisée des journaux pour garantir la détection et la réponse rapides aux événements de sécurité des routeurs industriels