En bref
Dans beaucoup de PME industrielles, le responsable SI est rattaché au directeur financier. Ce n’était pas une erreur : quand le SI se limitait à l’ERP et à la paie, c’était même le bon choix. Mais l’industrie 4.0 et l’IA font entrer le SI dans l’usine — et le jour où il touche au procédé, un rattachement pensé pour la gestion ne suffit plus.
Dans la plupart des audits, le périmètre s’arrête à la porte de l’atelier. On regarde l’ERP, la messagerie, les postes, le réseau bureautique — et l’on considère que les machines, « c’est la production ». Ce découpage paraît naturel. Il est pourtant la trace d’une décision ancienne que personne n’a jamais rouverte.
Ce que votre organigramme dit de votre SI
Un organigramme n’est pas de l’administratif : c’est une déclaration. Rattacher le responsable SI au directeur financier affirme quelque chose de très précis — l’informatique, c’est de la gestion. Et c’était juste. Il y a vingt ans, dans une PME industrielle, le SI c’était l’ERP, la paie, la messagerie : le DAF était même le meilleur rattachement possible, parce qu’il connaît les processus, les contrats et les coûts. Ce n’est pas une erreur d’organisation. C’est un héritage devenu faux.
Ce qui l’a rendu faux n’est pas la cybersécurité, c’est la modernisation. Le SI ne se contente plus de compter ce que l’usine produit : il participe à la production. Or le jour où il touche au procédé — celui qui gagne l’argent et qui peut blesser des gens — il cesse d’être une fonction support. L’organigramme, lui, n’a pas bougé.
La conséquence tient en une phrase : un responsable SI rattaché au DAF peut défendre un budget ; il ne peut pas faire arrêter une ligne. Le rattachement ne détermine pas un rang, il détermine quels arbitrages vous pouvez seulement apporter à la table. Un directeur financier n’a ni le mandat, ni le vocabulaire, ni la légitimité pour trancher entre « on arrête la production » et « on accepte le risque ». Ce n’est pas sa faute : ce n’est pas son métier.
Il ne s’agit donc pas du galon du responsable SI — la question n’est pas là. Il s’agit de savoir qui est dans la pièce quand on décide d’arrêter la ligne. C’est la même bascule que celle qui fait passer une informatique technique au rang de véritable direction des systèmes d’information, mais avec un enjeu supplémentaire : ici, ce qui est en jeu n’est pas un projet, c’est un procédé physique.
Deux mondes, deux logiques inverses
L’OT (Operational Technology) désigne les technologies qui pilotent et surveillent des procédés physiques : automates, supervision, capteurs, systèmes de sécurité. À la différence du SI de gestion, qui traite des données, l’OT agit sur le monde réel — et tout en découle. L’ANSSI décrit cette dualité de façon frappante :
| Critère | SI de gestion (IT) | Système industriel (OT) |
|---|---|---|
| Objectif | Traiter des données | Piloter des installations physiques |
| Priorité | Confidentialité, protection des données | Temps réel, sécurité fonctionnelle, disponibilité 24/7 |
| Intervenants | Informaticiens | Automaticiens, instrumentistes, électrotechniciens |
| Durée de vie | Environ 5 ans | Plus de 10 ans, parfois 30 ou 40 |
| Parc | Homogénéité et interopérabilité exigées | Superposition de vagues technologiques successives |
D’après ANSSI, La cybersécurité des systèmes industriels — Méthode de classification, ANSSI-PA-107 v2.0, mars 2025. Publié sous Licence Ouverte v2.0.
Lisez ce tableau comme un organigramme, et tout s’éclaire. Ce ne sont pas deux technologies, ce sont deux cultures : deux vocabulaires, deux indicateurs, deux rapports au temps. L’un est jugé sur la sécurité, l’autre sur la disponibilité. Ils ne sont pas négligents — ils sont structurellement opposés. Et celui qui pourrait les arbitrer ignore le plus souvent que le sujet existe.
L’industrie 4.0 fait entrer le SI dans l’usine
Le mouvement qui périme cet héritage n’a rien de menaçant : c’est la modernisation elle-même. Maintenance prédictive, pilotage de la performance, traçabilité, qualité, et maintenant modèles d’IA entraînés sur les données de production — tous ces usages ont un point commun. Pour exister, ils exigent que la donnée sorte de l’atelier.
C’est le renversement que peu de dirigeants ont en tête. On répète volontiers que l’IA rendrait les attaquants plus redoutables ; c’est très exagéré, car une attaque industrielle n’est pas limitée par la capacité à écrire du code mais par la connaissance intime du procédé. En revanche, ce que l’IA change est bien réel et bien plus profond : elle supprime l’isolement qui protégeait l’atelier. Chaque projet de valorisation des données est un trou dans l’air gap — creusé de l’intérieur, pour d’excellentes raisons, et par les meilleures équipes.
L’ANSSI dit exactement cela : l’industrie 4.0 conduit les systèmes industriels à s’interconnecter avec le SI d’entreprise, voire avec Internet, augmentant la surface d’attaque de systèmes qui avaient été conçus pour fonctionner isolés. Et elle ajoute un avertissement que personne ne cite : une automatisation croissante des actions liées au procédé peut entraîner, à plus long terme, une perte de maîtrise et de gouvernance du procédé par les équipes métier elles-mêmes. Le risque de la modernisation n’est pas seulement qu’un attaquant entre. C’est que plus personne, en interne, ne sache exactement qui pilote quoi.
Voilà pourquoi le sujet n’est pas un sujet cyber. C’est un sujet de gouvernance, déclenché par un mouvement que l’entreprise veut.
Les idées reçues qui coûtent cher
Deux croyances tenaces expliquent l’essentiel du retard, et l’ANSSI les démonte l’une et l’autre.
- « Nos réseaux industriels sont isolés, donc protégés. » Dans les faits, ils sont le plus souvent connectés au réseau de gestion, parfois directement à Internet. Et même isolés, les clés USB et les consoles de maintenance restent des vecteurs majeurs de propagation. Avec le besoin croissant de remontée de données, l’agence juge à terme l’isolation étanche « utopique ».
- « Nos protocoles sont propriétaires, c’est une protection. » Ils intéressent les attaquants autant que les standards ouverts, ne sont pas plus difficiles à pirater, et peuvent n’avoir fait l’objet d’aucune analyse de sécurité. Ils embarquent d’ailleurs presque toujours des composants standards.
Une troisième mérite d’être citée, parce qu’elle vient du monde de la sûreté : la redondance ne protège pas d’une cyberattaque. Deux équipements redondés partagent souvent les mêmes composants, donc les mêmes vulnérabilités. Là où une défaillance physique frappe une machine, une attaque frappe toutes les machines identiques en même temps.
Reste la plus confortable de toutes : « nous n’avons jamais eu d’incident ». L’ANSSI observe que les modes opératoires liés à la Russie et à la Chine ciblent les intérêts français principalement à des fins d’espionnage ou de pré-positionnement, et que le sabotage des infrastructures critiques reste très prisé de ces acteurs. Pré-positionnement : entrer, et attendre. Ne rien avoir constaté ne prouve donc rien — sinon qu’on ne regarde pas.
Source : ANSSI, Panorama de la cybermenace 2025, mars 2026.
Classer avant de sécuriser : une méthode qui traduit
Il existe une méthode française, publique et récente. Le guide La cybersécurité des systèmes industriels — Méthode de classification (ANSSI-PA-107, refondu en mars 2025) répartit les systèmes industriels en quatre classes, de l’impact faible à l’impact catastrophique, et son guide compagnon Mesures détaillées (novembre 2025) associe à chaque classe un socle proportionné. Trois choix y méritent l’attention d’un dirigeant : la classe se détermine par la gravité du pire impact — humain, environnemental — et non par la probabilité d’une attaque ; les critères retenus sont d’abord la disponibilité et l’intégrité, l’inverse exact des priorités de l’IT ; et elle s’applique à des zones, pas au site en bloc. La méthode s’articule avec EBIOS RM et la norme IEC 62443 : vous n’avez rien à inventer.
Mais l’essentiel est ailleurs, et c’est ce qui la rend précieuse en PME : elle traduit. Elle ne parle ni vulnérabilités ni correctifs — elle parle impacts humains et environnementaux, c’est-à-dire la langue des études de sûreté que la production maîtrise déjà depuis trente ans. Pour une fois, l’IT et l’atelier disposent d’un vocabulaire commun. Classer avant de sécuriser n’est donc pas une étape méthodologique : c’est le seul terrain d’entente entre les deux cultures.
★ Mon retour d’expérience
Nous avons mené trois missions en environnement industriel autour de la même double question. Trois fois le même schéma : ce n’est plus une coïncidence, c’est un motif. À chaque fois, la commande initiale était technique — rapprocher le SI et l’OT, ouvrir l’atelier aux données, sécuriser ce qui s’ouvrait. Et à chaque fois, le vrai chantier était ailleurs : faire passer la fonction SI d’une direction technique, jugée sur la disponibilité et le budget, à une direction d’entreprise, présente là où l’on arbitre entre production, risque et investissement. Le premier chantier ne tient jamais sans le second. On câble une passerelle entre l’IT et l’OT en quelques semaines ; on ne décide pas qui arrête la ligne si personne n’a reçu mandat pour le faire.
💡 Le piège : appliquer les recettes de l’IT
Déployer l’antivirus du parc bureautique sur un poste de supervision, imposer un redémarrage mensuel pour les correctifs, laisser expirer un certificat sur une chaîne de production : ces gestes, sains en IT, peuvent arrêter la production ou dégrader la sécurité des personnes. Et l’erreur n’est pas seulement technique, elle est de posture : l’IT qui débarque à l’atelier en expert technique pour dire ce qu’il faut faire se fait éjecter, avec raison. Le sujet demande le stratège — celui qui fait décider, plutôt que celui qui sait.
Par où commencer
Trois gestes, dans cet ordre. Nommer un responsable du périmètre industriel — une personne, pas un service. Cartographier les installations, systèmes et applications critiques : l’ANSSI en fait le « prérequis incontournable » de toute démarche de sécurité industrielle, et cela ne coûte rien en licences — c’est le même exercice que pour le reste du SI, décrit dans notre article sur la cartographie. Classer ensuite par zones, puis proportionner les mesures.
L’ordre n’est pas négociable, et c’est le premier geste qui bloque. Car ce qui manque n’est presque jamais la compétence : l’automaticien connaît son procédé, le responsable SI connaît son réseau. Ce qui manque, c’est un mandat — quelqu’un qui ait autorité pour arbitrer entre les deux mondes, et la légitimité pour porter le sujet là où l’on décide d’investir ou d’arrêter. Aucune méthode ne crée un mandat. C’est une décision de direction, et elle se prend en une réunion.
Ce mandat n’exige pas forcément un recrutement. Le plus souvent, il se donne à quelqu’un qui est déjà là — à condition de rattacher la fonction à quelqu’un qui peut arbitrer entre production et risque, et de lui en donner explicitement le pouvoir. Quand ni la disponibilité ni la légitimité ne sont réunies, ce qui arrive souvent en PME, un DSI de transition pose le cadre en quelques mois — nommer, cartographier, classer, installer la gouvernance — puis le transmet à celui qui le portera ensuite. C’est aussi ce jour-là que l’atelier entre enfin dans le périmètre de la maturité du SI.
Le titre importe peu. Ce qui compte, c’est que quelqu’un ait le sujet entre les mains — avant qu’une crise ne désigne d’office un responsable.
Questions fréquentes
Quelle différence entre IT et OT ?
L’IT traite des données ; l’OT pilote des installations physiques. L’IT priorise la confidentialité, l’OT la disponibilité et l’intégrité, avec des contraintes de temps réel et de sécurité des personnes. Les équipements IT vivent environ 5 ans, les équipements industriels plus de 10, parfois 30 ou 40. Ce ne sont pas deux technologies : ce sont deux cultures.
À qui rattacher le responsable du SI industriel ?
À la direction générale dès lors que le SI touche au procédé — ou à une direction industrielle qui a mandat pour arbitrer production et risque. Le rattachement au directeur financier reste pertinent tant que le SI relève de la gestion : ERP, paie, bureautique. Le critère n’est pas le rang du responsable SI, mais le fait que celui à qui il rend compte puisse trancher entre arrêter une ligne et accepter un risque.
Faut-il ouvrir le SI industriel aux données de l’entreprise ?
C’est déjà en cours, et c’est souhaitable : maintenance prédictive, pilotage de la performance, traçabilité ou modèles entraînés sur les données de production exigent tous que la donnée sorte de l’atelier. La question n’est donc pas s’il faut ouvrir, mais sous quelle gouvernance — car chaque projet de valorisation perce l’isolement qui protégeait l’OT, de l’intérieur et pour de bonnes raisons.
Comment prioriser les investissements sur un SI industriel ?
Par la gravité du pire impact — humain, environnemental — et non par la probabilité d’une attaque : un impact ne fluctue pas, une vraisemblance si. L’ANSSI en tire quatre classes (guide ANSSI-PA-107, refondu en mars 2025), auxquelles son guide « Mesures détaillées » associe un socle proportionné. La classification s’applique à des zones, pas au site en bloc : tout n’a pas à être traité au même niveau.
Par où commencer pour reprendre la main sur son SI industriel ?
Trois gestes, dans cet ordre : nommer un responsable du périmètre — une personne, pas un service ; cartographier les installations et applications critiques ; classer par zones, puis proportionner les mesures. Le geste qui bloque est le premier, car aucune méthode ne crée un mandat. Et ce mandat se donne le plus souvent à quelqu’un déjà en place, plutôt qu’à un recrutement.
Un SI industriel resté hors du périmètre ?
Arnaud Benistant
Fondateur et président d’Askee, cabinet de conseil en management des systèmes d’information en Auvergne-Rhône-Alpes. Fort de 20 ans d’expérience en SI, il a notamment été DSI de l’Entrepôt du Bricolage (Groupe SAMSE) avant d’accompagner dirigeants et directions comme DSI de transition. Sa conviction : derrière chaque projet IT, c’est presque toujours une question d’humain.
