Où trouver des recommandations officielles de cybersécurité pour un atelier ?

L'ANSSI publie sur sa plateforme MesServicesCyber des guides consacrés aux systèmes industriels, dont « La cybersécurité des systèmes industriels - Méthode de classification » (publié le 11/04/2025) et « Approche SSI pour l'Internet des objets industriels » (publié le 30/05/2025).

Connecter ses machines pour faire de l'IA augmente-t-il le risque ?

Oui. L'ANSSI note que l'internet des objets industriels élargit la surface d'attaque et recommande d'intégrer la sécurité dès les choix d'utilisation et de déploiement.

Cybersécurité de l'usine et IA : les priorités d'une PME

Une usine ne se protège pas comme un bureau. Les automates, les postes de supervision et les machines à commande numérique pilotent des procédés qui ont une action physique directe : une attaque peut arrêter une ligne, abîmer un outil ou mettre un opérateur en danger, pas seulement chiffrer des fichiers. Les projets d'intelligence artificielle (IA), qui demandent de connecter les machines et de faire sortir des données, ajoutent des portes d'entrée. Avant le premier capteur connecté, une PME industrielle a donc intérêt à savoir ce qui est branché à quoi.

Pourquoi l'atelier est un cas à part

L'ANSSI, l'organisme public chargé de la sécurité des systèmes d'information, le résume dans la présentation de son guide sur les systèmes industriels (publié le 11/04/2025) : ces systèmes conduisent et surveillent des procédés susceptibles de présenter des risques pour les personnes, les biens ou l'environnement ; certains utilisent des technologies informatiques sans avoir été conçus pour les menaces qu'elles introduisent ; et les solutions de sécurité de l'informatique de gestion ne sont pas toujours adaptées à leur fonctionnement. Un antivirus qui redémarre un poste de supervision en pleine production n'est pas une bonne idée.

Les portes d'entrée habituelles d'une PME industrielle

Porte d'entrée	Exemple courant
Télémaintenance	Accès à distance laissé ouvert pour le constructeur d'une machine
Supports amovibles	Clé USB pour charger un programme sur une commande numérique
Réseau à plat	Bureau, atelier et wifi visiteurs sur le même réseau
Postes anciens	Poste de supervision qui ne reçoit plus de mises à jour
Objets connectés	Boîtier de collecte de données installé par un prestataire
Outils en ligne	Données de production envoyées vers un service d'IA dont on ne connaît pas le fonctionnement

L'IA, nouvelle porte d'entrée

Les projets de maintenance prédictive, de vision ou de suivi de production reposent sur ce que l'on appelle l'internet des objets industriels. Dans son guide publié le 30/05/2025, l'ANSSI reconnaît la valeur de ces usages (réduction des coûts de maintenance, amélioration des rendements), mais note qu'ils élargissent la surface d'attaque, que ces systèmes intéressent aussi bien des cybercriminels que des groupes soutenus par des États, et recommande d'adopter une approche de sécurité « dans les choix d'utilisation et de déploiement ».

Le règlement machines, applicable au 20/01/2027, va dans le même sens pour les fabricants : selon la fiche de l'INRS (Institut national de recherche et de sécurité) mise à jour le 20/10/2023, les composants de transmission de données essentiels à la conformité devront être protégés contre la « corruption accidentelle ou intentionnelle ». Voir règlement machines et IA.

L'IA, aussi outil de défense

L'Insee observe que la sécurité informatique est la première finalité de l'IA en entreprise en 2025 : elle concerne des entreprises qui emploient 39 % des salariés, contre 23 % un an plus tôt. Beaucoup d'outils de protection (détection d'anomalies sur le réseau, filtrage des courriels) intègrent déjà de l'apprentissage automatique. Ils ne dispensent pas des mesures de base.

Les premières mesures

Ces mesures sont des bonnes pratiques générales ; pour le détail, appuyez-vous sur les guides de l'ANSSI et sur un prestataire qui connaît les systèmes industriels.

Cartographier : la liste de tout ce qui est connecté dans l'atelier (automates, postes, commandes numériques, boîtiers, accès à distance) et de ce qui communique avec l'extérieur.
Cloisonner : séparer le réseau de l'atelier de celui des bureaux et du wifi, et contrôler ce qui passe entre les deux.
Maîtriser les accès à distance : un accès par fournisseur, ouvert à la demande, journalisé, fermé après l'intervention.
Sauvegarder les programmes des automates et des commandes numériques, hors ligne, et vérifier qu'on sait les restaurer.
Encadrer les supports amovibles : une station de contrôle des clés, ou un circuit défini.
Prévoir l'arrêt : que fait-on si le réseau de l'atelier tombe ? Qui décide de couper ?
Poser des règles pour l'IA : quelles données de production peuvent sortir, vers quels outils, avec quel contrat.

Les guides à connaître

Sur sa plateforme MesServicesCyber, l'ANSSI propose notamment :

« La cybersécurité des systèmes industriels - Méthode de classification » et sa suite « Mesures détaillées » ;
« Approche SSI pour l'Internet des objets industriels » (SSI : sécurité des systèmes d'information) ;
un « Référentiel d'exigences de sécurité pour les prestataires d'intégration et de maintenance de systèmes industriels », utile pour choisir ou encadrer un intégrateur ;
« La cybersécurité pour les TPE/PME en treize questions » (publié le 18/02/2021), pour le socle commun à toute l'entreprise ;
des recommandations de sécurité pour un système d'IA générative, que le site jumeau présente dans les recommandations de l'ANSSI.

Par où commencer

Faites la cartographie avec votre responsable maintenance et votre prestataire informatique, en une demi-journée dans l'atelier. Repérez les accès à distance permanents : c'est souvent la mesure la plus rapide et la plus utile. Et ne lancez pas de projet de collecte de données pour l'IA sans avoir décidé où passeront ces données.