Comment l’automatisation rend les fabricants plus vulnérables

Les vulnérabilités en matière de cybersécurité dans l’industrie manufacturière s’aggravent en raison de la numérisation rapide

Les fabricants évoluent rapidement. Ils adoptent l’IA, l’apprentissage automatique et les plateformes cloud pour mettre en place des opérations plus rapides et plus rentables. C’est un progrès. Mais il y a un sérieux compromis qui se produit discrètement, la cybersécurité.

Les usines de production d’aujourd’hui utilisent des systèmes qui n’ont pas été conçus pour cela. Ces environnements ont été conçus il y a des années pour la performance, pas pour la connectivité. Personne ne pensait qu’ils seraient plus tard branchés sur des réseaux cloud mondiaux ou alimentés par des modèles d’IA en temps réel. Aujourd’hui, les entreprises superposent les nouvelles technologies aux infrastructures existantes. Cela fonctionne, jusqu’à ce que ce ne soit plus le cas. Lorsque des systèmes qui n’ont jamais été conçus pour être exposés en ligne sont soudainement accessibles sur les réseaux, ils deviennent des points d’entrée faciles pour les attaquants qui disposent d’une cible claire.

Il en résulte une augmentation des risques. Le rapport IBM X-Force Threat Intelligence Report for 2025 le montre clairement : pendant quatre années consécutives, l’industrie manufacturière a été la plus ciblée par les cybercriminels. Les attaquants recherchent la voie de la moindre résistance. À l’heure actuelle, ils le trouvent dans l’industrie manufacturière.

Selon l’enquête 2025 de Deloitte sur la fabrication intelligente, 57 % des dirigeants de grands fabricants américains exécutent déjà des opérations dans le cloud. Environ 29 % utilisent l’IA ou l’apprentissage automatique au niveau de l’installation ou du réseau. Il s’agit d’une véritable traction. Et c’est une bonne chose. Mais lorsque ce type d’accélération numérique dépasse l’investissement dans la cybersécurité, la question n’est pas de savoir si des revers se produiront, mais quand et combien ils coûteront.

Prenez l’exemple de Jaguar Land Rover. En août, la société a subi une cyberattaque qui a entraîné l’arrêt de la production pendant un mois. Environ 260 millions de dollars ont été consacrés aux efforts de réponse en matière de cybersécurité. Ajoutez-y 650 millions de dollars de pertes dues à l’arrêt de la production et aux perturbations connexes. C’est un avertissement pour nous tous : la numérisation sans sécurité n’est pas durable.

Nick Nolen, vice-président de la stratégie de cybersécurité chez Redpoint Cyber, l’a dit directement : le vrai risque, c’est la précipitation à moderniser sans bases sécurisées. Vous ajoutez de la connectivité à des systèmes qui n’ont jamais été conçus pour être exposés. C’est cette faille qu’exploitent les attaquants.

Todd Moore, vice-président chargé du cryptage chez Thales, a ajouté qu’historiquement, les fabricants ne pensaient même pas à la cybersécurité. Ces systèmes étaient optimisés pour la vitesse et le rendement, et non pour la protection. Ce modèle ne fonctionne plus.

L’idée est simple. Si vous optez pour le numérique, et vous devriez le faire, vous devez intégrer la cybersécurité à chaque étape. Pas comme une réflexion après coup. Pas comme un ajout. Elle doit être intégrée dès le premier jour. C’est ainsi que vous protégerez les acquis pour lesquels vous avez travaillé.

La complexité inhérente aux réseaux de fabrication modernes élargit les surfaces d’attaque potentielles.

L’industrie manufacturière a évolué rapidement. Les opérations d’aujourd’hui sont des écosystèmes de haute technologie. Vous avez des fournisseurs tiers, des machines connectées sur le terrain, des logiciels provenant de multiples fournisseurs et des données qui circulent en permanence entre les systèmes. Tout cela est nécessaire pour être compétitif. Mais chacune de ces connexions est un point d’entrée potentiel pour les cyberattaques. Plus de complexité signifie plus de risques, à moins que vous ne les gériez activement à chaque niveau.

Les cybercriminels ne s’attaquent pas seulement aux serveurs centraux. Ils s’attaquent au maillon le plus faible. Il s’agit souvent d’un appareil moins protégé, d’un outil de fournisseur obsolète ou d’un processus parallèle que personne ne surveille. Une fois qu’ils sont entrés, même par le biais d’une brèche relativement petite, ils se déplacent rapidement à travers les systèmes internes, à la recherche d’actifs de grande valeur tels que les dessins de production, les plannings et les appareils connectés au cloud. Nick Nolen, vice-président de Redpoint Cyber, l’a dit clairement : lorsque vous avez une connectivité en couches et une visibilité minimale sur qui touche quoi, c’est là que les attaquants prennent de l’élan.

Ce type d’exposition n’est pas hypothétique. Il se produit davantage aujourd’hui, car l’industrie manufacturière est devenue l’un des secteurs les plus connectés au monde. Et les attaquants le savent. C’est pourquoi, selon le 2025 IBM X-Force Threat Intelligence Report, l’industrie manufacturière a été la principale cible des cybercriminels pendant quatre années consécutives. Le rapport 2025 Manufacturing Report de Black Kite confirme la même tendance.

Les équipes dirigeantes doivent comprendre comment les données et les systèmes interagissent au niveau de la production, de la chaîne d’approvisionnement et des unités commerciales. Il ne s’agit plus seulement de sécurité informatique, mais aussi de technologie opérationnelle, de relations avec les fournisseurs et de systèmes de décision en temps réel qui sont de plus en plus interconnectés. Vous ne pouvez pas ignorer la structure elle-même. Si l’architecture n’est pas conçue pour une intégration sécurisée, même des investissements importants dans des outils de cybersécurité ne combleront pas toutes les lacunes.

L’enquête 2025 Smart Manufacturing de Deloitte montre que près de 60 % des fabricants américains ont recours au cloud. Cela signifie que des informations sensibles sont échangées en permanence, au sein de l’entreprise et avec des tiers. Chaque point d’échange augmente la surface d’attaque. En l’absence de protocoles clairs, de gouvernance et de défense au niveau du réseau, vous travaillez essentiellement avec des angles morts dans vos opérations de base.

Il ne s’agit pas de ralentir. Il s’agit de passer à l’échelle avec des cadres qui donnent la priorité à la sécurité autant qu’au temps de fonctionnement et à la rentabilité. Les dirigeants doivent se poser la question non seulement de savoir si le système peut évoluer, mais aussi s’il est sécurisé à cette échelle, car le paysage des menaces s’élargit aussi rapidement que la technologie.

Une gouvernance et une surveillance inadéquates de la sécurité sur l’IA et les outils cloud amplifient les cyber-risques.

Les fabricants intègrent rapidement l’IA et les plateformes cloud, mais la supervision ne suit pas. Une grande partie de cette technologie est utilisée de manière informelle, souvent sans coordination avec les équipes informatiques ou de sécurité. C’est un problème. Lorsque des outils d’IA traitent des fichiers de conception ou des données de production sensibles, et que personne ne sait où vont ces données ni combien de temps elles sont stockées, vous ne faites pas qu’innover, vous exposez.

Ferhat Dikbiyik, directeur de la recherche et de l’intelligence chez Black Kite, l’a clairement souligné. De nombreux fabricants ne savent même pas quels fournisseurs ont accès aux systèmes critiques, ni comment ces outils sont connectés à leur technologie opérationnelle. Il en résulte une zone grise qui s’étend, où le traitement des données, les autorisations et la responsabilité ne sont pas clairs ou n’existent pas du tout. Du point de vue de la cybersécurité, cette situation n’est pas gérable.

Plus l’environnement cloud est grand, plus il devient difficile de surveiller où les services d’IA sont appliqués. Les employés des chaînes d’approvisionnement et des unités de production peuvent télécharger des fichiers ou exécuter des modèles génératifs sans signaler l’activité. Les entreprises ne savent donc pas ce qui est transmis à des systèmes tiers ni où aboutissent leurs données propriétaires. Comme l’a dit Nick Nolen de Redpoint Cyber, avant de télécharger quoi que ce soit, les entreprises doivent se poser les questions suivantes : Où vont ces données ? Qui peut y accéder ? Sont-elles utilisées pour former des modèles externes ?

Il s’agit là de questions fondamentales. Mais trop peu d’entreprises ont mis en place des politiques applicables pour y répondre. Souvent, il n’existe pas de processus d’examen formel ou de règles sur la manière dont les fichiers sensibles, tels que les modèles de CAO ou les plans de processus, doivent être partagés avec les outils du cloud. Cela signifie que les entreprises confient des informations critiques à des systèmes qu’elles ne contrôlent pas entièrement et qui sont gérés par des fournisseurs qu’elles n’examinent pas toujours en profondeur.

Les dirigeants doivent prendre cette question au sérieux. Sans une gouvernance interne solide, il devient impossible d’imposer des limites à l’utilisation des données. C’est sur cela que comptent les attaquants. Les pipelines d’IA non sécurisés et les flux de travail non documentés des fournisseurs offrent des points d’entrée à faible effort dans des environnements de grande valeur. Obtenir de la visibilité ici n’est pas facultatif, c’est une infrastructure critique, tout aussi importante que les logiciels ou les actifs physiques qui alimentent la production.

Reprendre le contrôle commence par la visibilité : comprendre qui a accès, ce qui est téléchargé et comment c’est utilisé. Les équipes de sécurité peuvent alors fixer de véritables limites, concernant la classification des données, les protocoles des fournisseurs et l’utilisation de l’IA, avant que des dommages ne soient causés. Sinon, l’adoption de la technologie prend le pas sur les capacités de sécurité, et c’est là que les risques se multiplient.

Des mesures proactives de cybersécurité, telles que le cryptage et une classification rigoureuse des données, sont essentielles.

Alors que la numérisation s’accélère, les fabricants ne peuvent pas attendre qu’un incident se produise pour renforcer la sécurité. Il est judicieux de traiter les informations comme un actif stratégique, classifié, protégé et crypté par défaut. Il ne s’agit pas seulement d’une question de conformité. Il s’agit de contrôler les risques dans un environnement axé sur les données.

Commencez par la classification. Toutes les données n’ont pas la même sensibilité. Certains documents, comme les fichiers de conception, les contrats avec les fournisseurs ou les configurations de produits, nécessitent une protection maximale. D’autres non. Mais si vous n’avez pas dressé cette carte, il est impossible d’appliquer une politique à grande échelle. La classification des données implique de savoir ce que vous possédez, ce qu’elles valent et le niveau de sécurité dont elles ont besoin.

Une fois classées, cryptez les couches sensibles, au repos, en transit, de bout en bout. Cela élimine les hypothèses de l’équation. Si des acteurs malveillants y accèdent, les données cryptées ne leur donnent pas de résultat utilisable. Todd Moore, vice-président du chiffrement chez Thales, a souligné que l’intégration du chiffrement dans votre architecture devrait commencer par un examen approfondi de l’exposition aux risques dans les environnements cloud, sur site et hybrides. De cette manière, les entreprises peuvent concentrer leurs défenses sur les actifs les plus importants.

Cela s’applique également à l’IA. Kevin Albano, responsable mondial de X-Force Threat Intelligence chez IBM, a expliqué que les entreprises devraient traiter les ensembles de données d’IA utilisés dans la fabrication, y compris les modèles prédictifs et les données d’entraînement, comme des cibles de grande valeur. Cela signifie qu’il faut sécuriser les informations personnelles identifiables (PII), gérer étroitement les clés d’accès et sauvegarder les ensembles de données propriétaires qui sont développés ou partagés au sein des écosystèmes d’IA.

Les équipes dirigeantes ne doivent pas confier cette tâche au seul service informatique. Il s’agit d’un risque opérationnel au niveau de l’entreprise. Lorsque vous ne classifiez pas ou ne cryptez pas correctement les données, il ne s’agit pas seulement d’un risque technique, mais aussi d’un risque concurrentiel. La propriété intellectuelle peut être perdue, les programmes de production divulgués ou les partenaires de la chaîne d’approvisionnement perturbés. Ce n’est pas de la théorie, c’est un fait, étayé par des incidents répétés dans l’industrie.

Les cadres dirigeants qui veulent à la fois performance et sécurité ont besoin de cadres clairs pour la protection des données, intégrés dans le processus. Le cryptage et la classification ne sont pas de simples outils ; ce sont des structures qui soutiennent la croissance sans sacrifier le contrôle ou la résilience. Attendre une réglementation ou une infraction est une attitude réactive. Les entreprises leaders n’attendent pas. Elles agissent maintenant, en créant des environnements numériques sécurisés qui évoluent avec précision.

Principaux faits marquants

• L’escalade des cyberrisques due à la numérisation rapide : Les fabricants qui évoluent rapidement vers l’IA et le cloud doivent s’attaquer aux systèmes existants qui n’ont pas été conçus pour la sécurité. Les dirigeants devraient investir dans des cadres de sécurité le plus tôt possible afin d’éviter des violations très coûteuses et des arrêts opérationnels.
• Extension de la surface d’attaque grâce à la complexité des systèmes : les réseaux de production interconnectés créent davantage de points d’entrée pour les attaques. Les dirigeants doivent évaluer les dépendances entre les fournisseurs, les machines et les systèmes internes afin de renforcer la sécurité à tous les niveaux.
• Manque de gouvernance dans l’utilisation de l’IA et des outils cloud : L’utilisation informelle de l’IA et le manque de clarté des pratiques des fournisseurs créent des zones d’ombre. La direction devrait mettre en œuvre une surveillance claire, des flux d’approbation et la responsabilité des fournisseurs pour toutes les applications d’IA et de cloud qui traitent les données de l’entreprise.
• Nécessité de stratégies proactives de protection des données : En l’absence d’une classification et d’un chiffrement cohérents des données, les actifs sensibles restent exposés. Les dirigeants devraient imposer un chiffrement de bout en bout et une classification des données basée sur les risques pour sécuriser les informations de grande valeur dans les environnements cloud et hybrides.