Quelle est la différence entre IT et OT ? Explication pour les propriétaires et gestionnaires de bâtiments

L'IT et l'OT en une phrase

L'IT concerne les données. L'OT concerne ce qui chauffe, refroidit, bouge, s'ouvre et se ferme.

Par IT, nous entendons tout ce qu'une organisation utilise pour stocker, traiter et envoyer des données : ordinateurs portables, serveurs, réseau de bureau, Wi-Fi, e-mail et cloud. Si l'IT tombe en panne, les gens ne peuvent plus travailler.

Par OT, nous entendons la technologie qui mesure et pilote le monde physique. Dans un bâtiment, ce sont le climat, l'éclairage, les ascenseurs, les portiques d'accès et les bornes de recharge. Dans une usine ou un centre de distribution, il y a aussi les lignes de production, les pompes, les chambres froides et les systèmes de tri. Si l'OT tombe en panne, il fait froid, les portes ne s'ouvrent plus ou un ascenseur s'arrête.

La différence entre IT et OT en un tableau

La différence la plus importante se trouve à la troisième ligne. En IT, le plus grand risque est une fuite de données. En OT, le plus grand risque est qu'une installation s'arrête ou fonctionne mal. C'est pourquoi on ne peut pas simplement sécuriser l'OT comme l'IT. On peut redémarrer un ordinateur pour une mise à jour. Pas toujours une installation frigorifique ou un ascenseur.

Quelle OT trouve-t-on dans un bâtiment ?

Presque chaque bureau, commerce ou bâtiment d'entreprise contient plus d'OT que son propriétaire ne le pense. Les systèmes les plus courants :

• La gestion technique du bâtiment (GTB, aussi appelée BMS). C'est le système central qui pilote le chauffage, le refroidissement, la ventilation et souvent l'éclairage.
• L'éclairage et la protection solaire, qui réagissent automatiquement à l'heure, à la lumière ou à la présence.
• Les ascenseurs et escaliers mécaniques.
• Le contrôle d'accès : lecteurs de badges, serrures connectées, barrières et portiques d'accès.
• Les caméras et l'enregistreur qui conserve les images.
• Le système de détection incendie et d'évacuation.
• L'énergie : compteurs intelligents, bornes de recharge, onduleurs des panneaux solaires et batteries.
• Dans la logistique et l'industrie : chambres froides, systèmes de tri, portes de quai et lignes de production.

On entend aussi souvent le terme IoT, l'internet des objets. Ce sont des appareils intelligents qui envoient des données via un réseau. Une grande partie de l'OT des bâtiments relève aujourd'hui aussi de l'IoT. Pour savoir si ces appareils sont sûrs, lisez Le bâtiment intelligent est-il sûr ?

Pourquoi l'IT et l'OT se rapprochent

Autrefois, l'OT était un monde à part. L'installation de climatisation avait ses propres câbles et sa propre armoire dans le local technique. Rien n'était relié à internet.

Cela a changé. L'installateur veut résoudre les pannes à distance. Le propriétaire veut suivre la consommation d'énergie dans un tableau de bord. Le locataire veut régler la température ou réserver une salle de réunion avec une application. L'OT est donc de plus en plus souvent reliée au réseau, et souvent au même réseau que les ordinateurs. C'est ce qu'on appelle la convergence IT/OT : les deux mondes se rapprochent.

Les avantages sont réels. Un bâtiment qui se régule bien consomme moins d'énergie. Les pannes sont repérées et réparées plus vite. Aux Pays-Bas, l'automatisation est même obligatoire dans les grands bâtiments tertiaires dont l'installation de chauffage ou de refroidissement dépasse 290 kW. À partir de 2030, elle le sera aussi dès 70 kW. Davantage de bâtiments auront donc de l'OT reliée au réseau.

Pourquoi c'est un risque

Pendant des années, l'OT a été conçue pour un monde fermé. Maintenant qu'elle est reliée au réseau, plusieurs points faibles apparaissent :

• Des protocoles anciens. Beaucoup d'appareils OT parlent un langage sans chiffrement et sans mot de passe. Toute personne présente sur le réseau peut écouter ou envoyer des commandes.
• Peu de mises à jour. Une installation ne doit pas s'arrêter, et le fournisseur doit souvent intervenir. Des logiciels obsolètes tournent donc parfois pendant des années.
• L'accès à distance. Les installateurs et les fournisseurs se connectent depuis l'extérieur. Chaque connexion qu'ils utilisent est aussi une porte d'entrée possible pour d'autres.
• Une gestion morcelée. Le partenaire IT gère les ordinateurs, l'installateur la climatisation et les services généraux les portiques d'accès. Personne n'a la vue d'ensemble.

Un exemple connu vient des États-Unis. En 2013, des attaquants sont entrés chez le distributeur Target avec les identifiants de son fournisseur de chauffage et de climatisation. De là, ils ont atteint les systèmes de caisse et volé les données de plusieurs dizaines de millions de cartes de paiement. La leçon : une entreprise qui a un accès pour les installations a aussi un chemin vers votre réseau.

Avec l'OT, les conséquences d'une attaque sont en outre physiques. Il ne s'agit pas seulement de données. Il s'agit d'un bâtiment qui ne chauffe plus, de portes qui ne s'ouvrent plus ou d'une chambre froide qui tombe en panne.

Ce que font l'IT-Label et le Security Audit

L'IT-Label évalue l'infrastructure numérique d'un bâtiment : le raccordement, le câblage, le Wi-Fi et le local technique. Il vérifie la présence de systèmes de bâtiment intelligents, comme le climat, l'accès et les caméras, mais n'évalue pas la sécurité de cette OT. L'inspecteur vérifie toutefois si la GTB est reliée au réseau IT. C'est un signal important : l'IT et l'OT sont alors connectées, et vous devez savoir comment c'est organisé.

Vous voulez savoir si les systèmes du bâtiment sont bien séparés de votre réseau de bureau ? Nous l'examinons dans le Security Audit. Un auditeur vérifie sur place si votre réseau est séparé des invités, des autres locataires et des systèmes du bâtiment, comme le contrôle d'accès et le climat. Vous recevez un rapport avec les risques et des conseils pour séparer les réseaux.

Cinq questions pour chaque propriétaire et gestionnaire

1. Quelle OT se trouve dans mon bâtiment, et en existe-t-il un inventaire ?
2. Qui gère chaque système : l'installateur, les services généraux ou le partenaire IT ?
3. La GTB est-elle reliée au réseau de bureau ou à internet ?
4. Qui peut se connecter à distance, et comment cet accès est-il sécurisé ?
5. Quand les systèmes ont-ils été mis à jour pour la dernière fois ?

Vous ne connaissez pas la réponse à certaines questions ? C'est très courant, mais c'est un risque. Commencez par l'Autodiagnostic IT-Label gratuit. En quelques minutes, vous voyez si vous connaissez bien votre bâtiment et où se situent les points d'attention.

Une série sur l'IT et l'OT

Ceci est la première partie d'une série sur l'IT et l'OT dans les bâtiments. Chaque mercredi paraît une nouvelle partie, notamment sur les systèmes de votre bâtiment, les lois sur la cybersécurité, l'obligation d'automatisation des bâtiments et la séparation des réseaux. Vous trouverez tous les termes et toutes les parties sur la page IT et OT dans les bâtiments. Vous ne voulez manquer aucune partie ? Inscrivez-vous à la newsletter.

Questions fréquentes

Que signifient IT et OT ?

IT signifie Information Technology, technologies de l'information en français. Il s'agit des données numériques, des ordinateurs et des réseaux. OT signifie Operational Technology, technologies opérationnelles en français. Il s'agit du matériel et des logiciels qui pilotent des processus physiques, comme le climat, les ascenseurs et les machines.

Quelle est la principale différence entre IT et OT ?

L'IT concerne les données, l'OT les processus physiques. Les priorités diffèrent donc aussi. En IT, l'essentiel est que les données restent confidentielles. En OT, l'essentiel est que l'installation continue de fonctionner et reste sûre pour les personnes.

La GTB relève-t-elle de l'IT ou de l'OT ?

La GTB relève de l'OT, car elle pilote le chauffage, le refroidissement, la ventilation et l'éclairage. Mais elle fonctionne sur des ordinateurs et est souvent reliée au réseau. C'est pourquoi elle touche aussi l'IT.

Qu'est-ce que la convergence IT/OT ?

C'est le rapprochement de l'IT et de l'OT. Des installations autrefois isolées sont reliées au réseau pour être gérées à distance et partager des données. Cela apporte du confort et des économies d'énergie, mais exige aussi une bonne sécurité.

L'OT est-elle la même chose que l'IoT ?

Pas tout à fait. L'IoT, l'internet des objets, regroupe tous les appareils intelligents qui envoient des données via un réseau. L'OT désigne toute la technologie qui pilote des processus physiques, même lorsqu'elle n'est pas reliée à un réseau. Dans les bâtiments modernes, les deux se recoupent de plus en plus.

L'IT-Label mesure-t-il aussi l'OT ?

En partie. L'IT-Label évalue l'infrastructure numérique d'un bâtiment et vérifie la présence de systèmes de bâtiment intelligents, mais pas la sécurité de cette OT. L'inspecteur vérifie toutefois si la GTB est reliée au réseau IT. La bonne séparation des réseaux, nous l'examinons dans le Security Audit. Vous recevez aussi des conseils.