Cuestionario: Cybersécurité Industrielle et Gouvernance — 24 preguntas

1. Quel changement de logique décrit le mieux le passage de l’IT vers l’OT ?

A. Passer d’une logique de maintenance matérielle à une logique purement financière

B. Passer d’une gestion de l’information à une conduite de processus physiques

C. Passer d’une supervision industrielle à une simple messagerie interne

D. Passer d’un réseau interne à un réseau entièrement déconnecté

Answer: (B)

Explicación

Le passage IT vers OT consiste à quitter une logique centrée sur la donnée pour piloter et surveiller des processus physiques. C’est ce basculement qui impose de nouvelles contraintes industrielles et temps réel.

2. Pourquoi les réflexes issus de l’IT doivent-ils être reconsidérés en environnement OT ?

A. Parce que l’OT permet facilement des mises à jour fréquentes sans contrainte

B. Parce que l’OT impose des protocoles spécifiques, du temps réel et des cycles de vie plus longs

C. Parce que l’OT fonctionne avec les mêmes priorités que l’IT sur la confidentialité

D. Parce que l’OT repose surtout sur des usages bureautiques et collaboratifs

Answer: (B)

Explicación

En OT, les contraintes de production, de temps réel et de long cycle de vie rendent les pratiques IT directement transposables inadaptées. Les autres propositions contredisent ces spécificités.

3. Quelle est la finalité principale des systèmes IT ?

A. Contrôler des actionneurs en temps réel

B. Gérer, stocker et transmettre l’information

C. Mesurer des grandeurs physiques de procédé

D. Déclencher des arrêts d’urgence de sécurité

Answer: (B)

Explicación

L’IT est centrée sur l’information, qu’elle traite, stocke et échange. Le contrôle de processus physiques relève au contraire de l’OT.

4. Quel ordre de priorité caractérise généralement la triade CIA en OT ?

A. Confidentialité, intégrité, disponibilité

B. Disponibilité, intégrité, confidentialité

C. Intégrité, confidentialité, disponibilité

D. Confidentialité, disponibilité, intégrité

Answer: (B)

Explicación

En OT, la disponibilité passe en premier, suivie de l’intégrité, puis de la confidentialité. Cela reflète la nécessité de maintenir le processus physique en fonctionnement.

5. Pourquoi le concept d’air-gap est-il souvent trompeur en OT ?

A. Parce que les systèmes OT n’utilisent jamais de réseau

B. Parce que la convergence IT/OT supprime toute vulnérabilité

C. Parce que l’isolement physique interdit toute maintenance locale

D. Parce que les accès distants, clés USB et modems peuvent contourner l’isolement

Answer: (D)

Explicación

L’air-gap supposé être une barrière devient illusoire dès qu’existent des moyens d’accès comme l’USB, le VPN ou la 4G. La convergence IT/OT multiplie alors les chemins d’attaque.

6. Quel effet la convergence IT/OT a-t-elle sur la sécurité des environnements industriels ?

A. Elle rend inutile toute segmentation réseau

B. Elle augmente les chemins d’attaque pouvant atteindre les automates

C. Elle supprime les vulnérabilités des systèmes legacy

D. Elle empêche toute propagation depuis l’IT vers l’OT

Answer: (B)

Explicación

La convergence relie davantage les réseaux informatiques et opérationnels, ce qui ouvre plus de voies vers les équipements de contrôle. L’idée inverse est un contresens fréquent.

7. Quel est le rôle principal d’un PLC ?

A. Superviser globalement plusieurs sites industriels

B. Chiffrer les communications entre postes bureautiques

C. Exécuter des logiques de commande pour piloter le procédé

D. Fournir une interface graphique à l’opérateur

Answer: (C)

Explicación

Le PLC est l’automate qui exécute la logique de contrôle et commande les actionneurs. L’IHM sert à l’opérateur et le SCADA à la supervision globale.

8. Quelle affirmation décrit le mieux une IHM ?

A. Un contrôleur qui exécute directement la logique de sécurité

B. Un protocole de transport industriel sans authentification

C. Un système de stockage des historiques de production

D. Une interface qui affiche l’état du procédé et permet d’agir dessus

Answer: (D)

Explicación

L’IHM sert à visualiser l’état du procédé et à permettre des actions de commande. Elle ne remplace ni l’automate ni le système de supervision.

9. Quelle contrainte caractérise le temps réel déterministe en OT ?

A. Une tolérance élevée aux retards de transmission

B. Une absence de besoin de synchronisation

C. Une priorité donnée à la compression des données

D. Une livraison des paquets dans une fenêtre stricte et prévisible

Answer: (D)

Explicación

Le temps réel déterministe exige que les communications arrivent dans un délai précis pour que le contrôle reste valide. Un retard important peut casser la conduite du procédé.

10. Pourquoi les cycles de vie OT rendent-ils le patch management difficile ?

A. Parce que les redémarrages fréquents sont toujours acceptables en production

B. Parce que les systèmes OT sont renouvelés tous les trois ans

C. Parce que les correctifs améliorent systématiquement la certification

D. Parce que les équipements sont conçus pour durer longtemps et sont rarement remplaçables

Answer: (D)

Explicación

Les équipements OT ont souvent une durée de vie très longue et leur remplacement peut nécessiter un arrêt lourd. Cela rend les mises à jour plus risquées que dans l’IT.

11. Pourquoi un prestataire de services managés peut-il devenir une cible de choix pour une attaque OT ?

A. Parce qu’il ne gère que des postes isolés sans accès distant

B. Parce qu’il donne accès à plusieurs clients avec des droits élevés et des connexions centralisées

C. Parce qu’il remplace les équipements industriels sur site

D. Parce qu’il n’utilise jamais de tunnel sécurisé

Answer: (B)

Explicación

Un MSP concentre des accès, des privilèges et des liaisons vers de nombreux clients, ce qui en fait un point de levier très attractif. Une compromission peut ensuite se propager largement.

12. Quel risque majeur est associé à la compromission d’un hyperviseur ESXi en contexte industriel ?

A. Le chiffrement ou l’arrêt massif de machines virtuelles critiques

B. La restauration garantie des services sans interruption

C. La suppression automatique de toute vulnérabilité réseau

D. Le remplacement immédiat des automates par des capteurs

Answer: (A)

Explicación

ESXi héberge souvent des services critiques ; s’il est compromis, un attaquant peut chiffrer ou arrêter de nombreuses VM d’un coup. L’impact peut donc toucher toute l’infrastructure supportant l’OT.

13. Quelle est la différence essentielle entre Safety et Security dans un environnement industriel ?

A. La Security doit toujours primer sur tout arrêt de sécurité

B. La Safety protège les données et la Security protège les actionneurs

C. La Safety protège les personnes et la Security protège contre les attaques

D. La Safety concerne seulement les réseaux bureautiques

Answer: (C)

Explicación

La Safety vise la réduction du risque physique et la protection des personnes, tandis que la Security traite la prévention et la réponse aux attaques. En cas de conflit, la Safety prime.

14. Quel enseignement est généralement associé à l’incident Colonial Pipeline ?

A. Une attaque IT peut conduire à arrêter préventivement l’OT en cas de manque de visibilité

B. Un malware OT a directement détruit l’ensemble du site de production

C. L’isolement parfait entre IT et OT a bloqué toute réaction

D. La confidentialité a été jugée plus importante que la continuité

Answer: (A)

Explicación

L’incident illustre qu’une attaque initialement limitée à l’IT peut provoquer une coupure préventive de l’OT si la visibilité manque. Cela souligne l’importance de la segmentation et de la visibilité opérationnelle.

15. Pourquoi le patch management est-il particulièrement délicat en OT ?

A. Parce qu’un correctif peut déstabiliser un système critique qui fonctionne déjà

B. Parce que les environnements industriels n’utilisent pas de composants legacy

C. Parce que les systèmes OT acceptent facilement des arrêts fréquents

D. Parce que les correctifs ne modifient jamais la stabilité d’un procédé

Answer: (A)

Explicación

En OT, la stabilité et la continuité priment, donc appliquer un correctif peut introduire un risque de rupture de production. La logique « si ça marche, on n’y touche pas » explique cette prudence.

16. Quel est l’objectif d’un virtual patching en environnement OT ?

A. Réduire le risque sans modifier directement le système vulnérable

B. Remplacer définitivement tous les équipements obsolètes

C. Accélérer les cycles de mise à jour IT classiques

D. Supprimer la nécessité de segmentation réseau

Answer: (A)

Explicación

Le virtual patching sert de mesure compensatoire pour atténuer l’exposition quand le correctif direct est trop risqué ou impossible. Il ne remplace pas une correction native du système.

17. Quel cadre juridique français est présenté comme très prescriptif pour certaines activités critiques ?

A. La LPM

B. Le RGPD

C. La directive CER

D. Le règlement MDR

Answer: (A)

Explicación

La LPM est le cadre français qui impose des exigences de sécurité et de notification à certaines entités sensibles. Les autres textes relèvent d’autres domaines ou d’autres échelles.

18. Quel est l’effet principal de l’application de NIS 2 en France sur le périmètre des organisations concernées ?

A. Elle remplace tous les cadres sectoriels existants

B. Elle élargit fortement le nombre d’entités soumises aux obligations

C. Elle réduit le périmètre à quelques dizaines d’acteurs

D. Elle ne concerne que les organismes de défense

Answer: (B)

Explicación

NIS 2 élargit considérablement le champ des entités concernées, bien au-delà du périmètre antérieur. Elle n’efface pas pour autant les cadres sectoriels plus précis.

19. Que signifie le principe de Lex Specialis dans l’articulation des règles de cybersécurité ?

A. Toutes les règles s’appliquent sans hiérarchie

B. La règle générale annule systématiquement les règles sectorielles

C. La règle sectorielle plus précise prime sur la règle générale

D. La règle la plus ancienne est toujours prioritaire

Answer: (C)

Explicación

Lex Specialis signifie qu’une réglementation spéciale et plus précise s’applique en priorité lorsqu’elle couvre déjà le sujet avec des exigences équivalentes ou supérieures. NIS 2 complète alors seulement les manques.

20. Pourquoi une cartographie des systèmes d’information est-elle nécessaire dans cette logique juridique ?

A. Pour éviter toute séparation entre IT et OT

B. Pour supprimer les obligations de notification

C. Pour appliquer le bon cadre réglementaire à chaque périmètre

D. Pour remplacer l’analyse de risques par une simple liste d’actifs

Answer: (C)

Explicación

La cartographie permet d’identifier les périmètres IT, OT et leurs dépendances afin de savoir quel texte s’applique. C’est essentiel pour éviter doublons et incohérences d’obligations.

21. Quelle exigence relève de NIS 2 pour les produits numériques ?

A. Intégrer la sécurité dès la conception

B. Reporter la cybersécurité uniquement au déploiement

C. Supprimer toute mise à jour après la mise en service

D. Limiter la gestion des vulnérabilités à un incident majeur

Answer: (A)

Explicación

NIS 2 impose une sécurité intégrée dès la conception, ainsi que des mises à jour et une gestion structurée des vulnérabilités. La cybersécurité n’est donc pas un ajout de dernière minute.

22. Dans quel cas la notification liée à une faille devient-elle obligatoire ?

A. Lorsque la vulnérabilité est exploitée

B. Dès qu’une version logicielle est publiée

C. Seulement si le système est hors ligne

D. Uniquement après un audit annuel

Answer: (A)

Explicación

La notification vise les cas où la faille a été exploitée, afin d’alerter et de réduire l’impact. La simple existence d’une vulnérabilité ne déclenche pas ce même niveau d’obligation.

23. Quelle action appartient à la phase d’hygiène OT dans une feuille de route de gouvernance ?

A. Remplacer immédiatement tous les automates

B. Mettre en place le MFA et contrôler strictement les supports amovibles

C. Déployer uniquement des outils de chiffrement lourd

D. Supprimer toute visibilité du réseau industriel

Answer: (B)

Explicación

L’hygiène OT vise d’abord à réduire les accès et les contaminations via des contrôles simples et systématiques, comme le MFA et la gestion des USB. C’est la première brique de la synergie IT/OT.

24. Quel est le rôle du modèle Zones et Conduits dans l’IEC 62443 ?

A. Remplacer les sondes de détection par des pare-feux bureautiques

B. Regrouper les actifs par criticité et sécuriser leurs échanges

C. Définir des règles de facturation des services IT

D. Autoriser tous les flux entre les segments industriels

Answer: (B)

Explicación

Zones et Conduits sert à structurer les actifs en groupes cohérents et à contrôler leurs communications. C’est un élément central du cadre IEC 62443 pour la cybersécurité industrielle.