Remettre en question l’ Firewall: si une infrastructure critique n’a pas besoin d’une voie de retour, supprimez-la

Les infrastructures critiques dépendent de la connectivité, mais chaque connexion crée une voie d’attaque potentielle. À la lumière des récentes attaques, des enseignements tirés de ma nouvelle série documentaire *Into the Breach : Breaking the Firewall *, et de l’évolution des technologies d’isolation telles que les diodes de données, nous devons repenser la conception de nos systèmes les plus critiques — et nous demander pourquoi les pouvoirs publics comme les entreprises devraient commencer par se poser une question simple : cette connexion est-elle vraiment nécessaire ?

Ce week-end, nous avons diffusé « Into the Breach : Breaking the Firewall », le premier épisode que j’ai produit au sein de Cyber King Productions, présenté par Kari Byron, de l’émission « MythBusters».

Pourquoi ai-je décidé de produire une émission consacrée à la cybersécurité ?

Depuis des années, j'essaie d'expliquer la cybersécurité des infrastructures critiques à mes clients, aux responsables gouvernementaux, aux journalistes, à mes partenaires, à mes amis et parfois même à ma propre famille.

En général, il ne faut pas longtemps avant que l'on en vienne à parler de pare-feu, d'« air gaps », de PLC, d'informatique (IT), de technologies opérationnelles (OT), de segmentation, du modèle « Zero Trust », de diodes de données, de logiciels malveillants et de vulnérabilités.

Et je m'en rends compte quand je commence à perdre des gens.

À un moment donné, je me suis rendu compte que le problème ne venait peut-être pas du public.

Peut-être que le secteur de la cybersécurité n'arrive plus du tout à se mettre en valeur.

Réfléchissez à ce à quoi ce secteur est confronté : des attaquants agissant au nom d’États, des centrales électriques, des réseaux d’approvisionnement en eau, des satellites, des usines, l’intelligence artificielle, les ordinateurs quantiques, ainsi que des attaques susceptibles d’entraîner de réelles conséquences physiques.

Et pourtant, d'une manière ou d'une autre, on continue à expliquer tout ça à l'aide d'un énième PowerPoint.

Je voulais faire quelque chose de différent.

Prenez un sujet que les gens pensent bien connaître. Mettez en place une véritable expérience autour de ce sujet. Remettez-le en question. Testez-le. Faites appel à des experts qui maîtrisent cette technologie. Rendez le tout visuel. Rendez-le divertissant. Et surtout, remettez en cause les idées reçues que le secteur de la cybersécurité répète depuis des années sans les remettre suffisamment en question.

C'est ainsi qu'est née la série « Into the Breach ». Celle-ci mêle des cyberattaques réelles, des expériences pratiques, des entretiens avec des experts et des démonstrations afin de rendre la cybersécurité concrète et compréhensible.

Pour l'épisode n° 1, j'ai voulu commencer par l'une des hypothèses les plus importantes qui soient :

« Il suffit de le placer derrière un pare-feu pour qu'il soit protégé. »

Puis, presque au moment même de la diffusion de l'épisode, les événements survenus dans le Minnesota ont accaparé l'actualité.

Les 26 et 27 juillet, une cyberattaque coordonnée a visé les systèmes technologiques opérationnels de plus de 30 réseaux d'approvisionnement en eau communaux du Minnesota. L'État du Minnesota a déclenché son dispositif d'intervention en matière de cybersécurité à l'échelle de l'État afin d'enquêter sur ces attaques et d'apporter son soutien aux collectivités touchées.

Deux jours plus tard, le FBI et l'EPA ont lancé une alerte plus générale. Depuis le 27 juillet, les services d'approvisionnement en eau et de traitement des eaux usées d'au moins sept États avaient signalé des incidents impliquant des automates programmables (PLC) connectés à Internet.

Les pirates ont accédé à distance aux appareils, modifié les adresses IP et les mots de passe, et ont privé les opérateurs de leurs capacités de surveillance et de contrôle. Le FBI a fait état de conséquences opérationnelles, notamment une perte de pression et des inondations. Il a également constaté que plusieurs victimes présentaient des configurations réseau tierces similaires, ce qui aurait pu permettre aux pirates de réitérer leur exploit.

Prenez le temps d'y réfléchir.

Il s'agit ici d'ordinateurs qui contrôlent l'eau.

Il ne s'agit pas simplement du vol d'un numéro de carte bancaire. Il ne s'agit pas non plus uniquement d'un rançongiciel qui crypte l'ordinateur portable d'un employé.

Lorsqu'un pirate parvient à perturber le fonctionnement d'une pompe, d'une vanne, d'un disjoncteur électrique, d'une canalisation, d'une chaîne de production ou de tout autre processus physique, la cybersécurité prend alors une dimension bien plus importante.

Cela devient un problème de sécurité publique.

Et le Minnesota n'est pas le premier signal d'alerte.

Le Volt Typhoon en est l'un des exemples les plus frappants.

Les agences américaines et alliées chargées de la cybersécurité ont mis en évidence que des acteurs soutenus par l'État chinois s'étaient procuré un accès persistant au sein d'organisations gérant des infrastructures critiques dans les secteurs des communications, de l'énergie, des transports, de l'eau et d'autres secteurs.

Dans un cas de compromission confirmé, les pirates auraient obtenu un accès initial en exploitant la vulnérabilité CVE-2022-42475 dans un pare-feu périmétrique FortiGate 300D non mis à jour.

Réfléchis à ce qui s'est passé là-bas.

Le dispositif installé pour protéger le périmètre est devenu le chemin permettant de le traverser.

Ce n'est pas une critique à l'encontre de Fortinet.

Toute plateforme logicielle sophistiquée peut, à terme, présenter des vulnérabilités. Les pare-feu ont besoin de correctifs. Les VPN ont besoin de correctifs. Les systèmes d'exploitation ont besoin de correctifs. Les identifiants peuvent être volés. Les configurations peuvent être erronées. Les administrateurs commettent des erreurs. Des failles « zero-day » peuvent survenir.

C'est la réalité du monde des logiciels.

L'Ukraine a illustré ces conséquences matérielles de manière encore plus spectaculaire. En décembre 2015, des pirates ont compromis trois sociétés de distribution d'électricité. Ils sont passés des systèmes informatiques aux systèmes opérationnels, ont accédé à l'environnement ICS via une infrastructure VPN, ont actionné des disjoncteurs électriques et ont provoqué des coupures de courant touchant environ 225 000 clients.

Il y a une grande différence entre le fait qu'un pirate parvienne à accéder à l'un de vos ordinateurs et qu'il parvienne à accéder à l'ordinateur qui contrôle votre réseau électrique.

Les conséquences peuvent s'étendre au-delà de l'écran.

Je tiens à être très clair là-dessus.

Nous avons besoin de pare-feu.

OPSWAT les utilise. Nos clients les utilisent. Presque tous les réseaux modernes en dépendent.

Ce que je remets en cause, c'est l'idée selon laquelle un pare-feu est synonyme d'isolement.

Pour moi, un pare-feu, c'est comme un agent de sécurité très avisé posté devant une porte. Cet agent connaît des milliers de règles. Il vérifie les identifiants. Il examine le trafic. Il décide ce qui est autorisé à entrer et à sortir.

C'est extrêmement précieux.

Mais il reste encore une porte.

Si quelqu'un s'empare des identifiants appropriés, découvre une faille, tire parti d'une erreur de configuration ou compromet la technologie de sécurité elle-même, la brèche reste ouverte.

J'ai donc commencé à me poser une autre question :

Et si personne n'avait en réalité besoin de franchir cette porte ?

Pourquoi dépenser autant d'argent pour rendre la porte plus « intelligente » si, au départ, les besoins de l'entreprise ne justifient pas l'installation d'une porte ?

C'est là que la diode de données se distingue fondamentalement.

Une diode de données ne constitue pas un meilleur pare-feu.

Cela résout un autre problème.

Au lieu de se fier uniquement à des règles logicielles pour déterminer quel trafic est autorisé, une diode de données permet d'imposer le sens de la communication au niveau matériel.

Le NIST a mis en œuvre précisément ce type d'architecture dans une conception de référence destinée au secteur de l'électricité. Les données de surveillance opérationnelle sont transmises vers l'extérieur via une passerelle unidirectionnelle, et l'architecture empêche ces données de revenir par cette même connexion vers l'environnement industriel protégé.

Il s'agit là d'une propriété de sécurité fondamentalement différente.

Je pense que ce principe est suffisamment simple pour mériter un nom simple :

Pas de voie de retour inutile

Un service des eaux peut être amené à envoyer des alertes.

Une centrale électrique peut être amenée à transmettre des données de télémétrie.

Une usine peut avoir besoin d'exporter des données d'historique.

Un exploitant de pipeline peut avoir besoin d'un système de surveillance centralisé.

Un environnement de défense peut être amené à exporter des journaux.

Toutes ces informations peuvent sortir du réseau protégé.

Mais s'il n'y a aucune raison opérationnelle pour que la communication repasse par cette même frontière :

Pourquoi créer la voie de retour ?

Je sais que tous les environnements ne peuvent pas fonctionner de cette manière. Il existe des raisons légitimes justifiant la maintenance à distance, le contrôle à distance, les mises à jour logicielles, les accusés de réception et d'autres processus bidirectionnels.

Si cette connexion vous est indispensable, protégez-la sans relâche.

Les dernières recommandations du FBI destinées au secteur de l'eau invitent les exploitants à protéger les automates programmables (PLC) contre toute exposition directe à Internet, à faire transiter l'accès à distance par des passerelles sécurisées, à restreindre les droits d'accès, à valider les fichiers de configuration des PLC, à sécuriser la connectivité cellulaire et à préserver la capacité d'exploitation manuelle en cas d'incident.

Je suis tout à fait d'accord avec tout cela.

Mais je crois que nous avons inversé la valeur par défaut.

Aujourd'hui, on commence trop souvent par mettre en place la connectivité, puis on demande à l'équipe chargée de la cybersécurité de la protéger.

Pour nos systèmes les plus importants, nous devrions commencer par l'isolation et nous poser la question suivante :

Pourquoi faut-il ouvrir le chemin d'accès ?

Il y a un aspect important de ce débat qui est parfois négligé.

Une diode de données résout le problème de sens.

Cela ne résout pas automatiquement le problème du contenu.

Même si un fichier malveillant est autorisé à se déplacer dans la direction autorisée, il n'en reste pas moins malveillant.

Si une mise à jour logicielle compromise franchit la diode, elle reste compromise.

Si quelqu'un introduit un document malveillant dans un environnement isolé, le simple fait d'être isolé ne rend pas pour autant ce document inoffensif.

C'est pourquoi je pense que la prochaine génération de cette architecture devra présenter les caractéristiques suivantes :

Aller simple et propre

Utilisez la diode pour contrôler le sens.

Vérifiez ensuite ce qui est autorisé à passer.

Cela implique d'associer une communication unidirectionnelle assurée au niveau matériel à des technologies telles que l'Multiscanning, la « Data Sanitization » et la technologie Deep CDR™, le sandboxing, la prévention des fuites de données (DLP), l'inspection de contenu basée sur l'IA, la validation des fichiers et l'application des politiques.

OPSWATL'architecture actuelle d'MetaDefender intègre déjà la technologie Deep CDR™, Metascan™ Multiscanning, le sandboxing, Proactive DLP, ainsi qu'une inspection basée sur l'IA dans le cadre de workflows de fichiers contrôlés. De plus, nos produits interdomaines associent ces technologies de prévention à des architectures de transfert sécurisées. MetaDefender™ Core peut utiliser plus de 30 moteurs anti-malware en parallèle dans le cadre de ces workflows.

L'objectif ne devrait pas se limiter à :

Ces données peuvent-elles être transférées de A vers B ?

Les questions devraient être les suivantes :

Faut-il d'emblée s'engager dans cette voie ?

...ou mieux encore...

Ce contenu devrait-il être autorisé, tout court ?

C'est là toute la différence entre le simple fait de créer une barrière physique et la mise en place d'un processus sécurisé permettant de transférer des informations à travers celle-ci.

Je veux remettre en question la CISA, mais je tiens également à lui rendre hommage.

Le cap change.

Un nouveau guide de 2026 sur l'isolation des infrastructures critiques indique que les opérateurs doivent être en mesure d'isoler les systèmes OT essentiels des autres réseaux ; il présente l'isolation physique comme la forme de protection la plus efficace et reconnaît expressément que les diodes de données et les solutions inter-domaines offrent un niveau de sécurité supérieur à celui des architectures de passerelles réseau standard lorsqu'elles sont correctement mises en œuvre.

C'est un progrès important.

My Le défi auquel est confrontée la CISA est le suivant :

Ne considérons pas l'isolement comme une simple mesure à mettre en place en cas de crise. Intégrons-le dès le départ dans la conception de nos infrastructures essentielles.

Avant de vous demander comment sécuriser l'accès à distance, demandez-vous si cet accès est réellement nécessaire.

Si la réponse est oui, sécurisez-le.

Si la réponse est « non » :

Supprimez le chemin d'accès.

Cette réflexion dépasse les frontières des États-Unis. Le cadre européen NIS2 établit désormais un cadre commun en matière de cybersécurité dans 18 secteurs critiques, notamment l'énergie, les transports, la santé, l'eau potable, les eaux usées, les infrastructures numériques, l'industrie manufacturière, l'administration publique et le secteur spatial.

Partout dans le monde, les gouvernements renforcent leurs exigences en matière d'évaluation des risques, d'authentification, de signalement des incidents, d'application des correctifs, de surveillance, de détection et de reprise après sinistre.

Tout cela a son importance.

Mais je pense que les autorités de régulation devraient poser davantage de questions :

Pourquoi ce lien existe-t-il ?

Comment sécurisez-vous la connexion ?

Cette connexion est-elle vraiment nécessaire ?

Ces questions devraient être posées partout où des infrastructures critiques sont en service.

Cela dit, je pense que ce sont les États-Unis qui devraient faire le premier pas.

Je demande qu'un décret présidentiel américain soit adopté, fondé sur un principe simple :

Pas de voie de retour inutile.

En ce qui concerne nos infrastructures les plus critiques, cela se résume à cinq concepts :

1. Aucun contrôleur critique ne doit être directement exposé à Internet.
2. Si les données doivent uniquement sortir, établissez une connexion unidirectionnelle et assurez-vous que les données sont propres. Utilisez une communication unidirectionnelle imposée par le matériel, associée à la sécurité du contenu, à l'analyse multiple, à l'assainissement des données et à la technologie Deep CDR™, afin que les informations traversant la frontière soient inspectées et assainies.
3. Le contrôle à distance doit rester une exception. S'il s'avère vraiment nécessaire, il convient de le sécuriser, d'en limiter l'accès, de le surveiller, de l'auditer et de veiller à ce que les opérateurs puissent revenir en mode normal en toute sécurité.
4. Aider les petits services publics à se moderniser. On ne peut pas attendre d’un petit réseau d’approvisionnement en eau qu’il se défende seul contre des cybercriminels sophistiqués en disposant des mêmes ressources qu’un service public national.
5. Ce sont les exigences de sécurité qui doivent être définies, et non le fournisseur. Les pouvoirs publics devraient définir l'objectif à atteindre et laisser le secteur privé se faire concurrence pour proposer la meilleure solution.

Le principe est simple :

Si le trafic n'a pas besoin de revenir, supprimez le chemin de retour. Et tout ce qui franchit la limite doit être « propre ».

Les États-Unis peuvent montrer la voie, mais j'encourage les gouvernements du monde entier à adopter le même principe.

Il y a une autre raison pour laquelle je pense que nous devrions agir avant la prochaine crise.

Le 22 juin 2026, la Maison Blanche a publié le décret présidentiel n° 14412, intitulé « Protéger la nation contre les attaques cryptographiques avancées ». Ce décret reconnaît la menace future que représentent les ordinateurs quantiques à grande échelle pour les systèmes de cryptographie couramment utilisés, accélère la transition du gouvernement fédéral vers une cryptographie post-quantique approuvée par le NIST et charge les agences d'aider les exploitants d'infrastructures critiques à se préparer à leur propre migration.

J'aime bien ce raisonnement.

Agissez avant que la crise ne survienne.

C'est ça, la prévention.

Je pense que cette même philosophie devrait s'appliquer à l'architecture des infrastructures critiques.

Il existe également un lien intéressant entre les diodes de données et l'ère quantique.

Pour être clair, une diode de données ne rend pas la cryptographie actuelle résistante à l'informatique quantique. C'est la cryptographie post-quantique qui résout ce problème mathématique.

Mais les clés de chiffrement se trouvent toujours quelque part.

Ils sont produits quelque part. Stockés quelque part. Utilisés quelque part.

Les modules de sécurité matériels (HSM), les systèmes de gestion des clés, les infrastructures d'informatique quantique et les futurs réseaux quantiques continueront de faire appel à du matériel, des logiciels, des opérateurs et des connexions réseau.

Ils présenteront toujours des surfaces d'attaque.

Imaginez un environnement cryptographique hautement sensible qui doit transmettre vers l'extérieur des données de télémétrie, des informations d'audit, des événements de sécurité ou des résultats de calcul validés, mais pour lequel il n'y a aucune raison qu'un réseau d'entreprise classique initie une communication en retour vers les systèmes protégeant ces clés.

Je pense qu’il s’agit là d’une application future importante de l’isolation assurée par le matériel. Il s’agit d’une inférence architecturale, et non d’un substitut à la cryptographie post-quantique. Les architectures unidirectionnelles du NIST montrent comment des chemins à sens unique peuvent réduire l’accessibilité du réseau, tandis que la nouvelle politique fédérale en matière de quantique souligne à quel point la protection des futurs systèmes cryptographiques devient cruciale.

My Le principe est simple :

La cryptographie post-quantique protège les fondements mathématiques.

Hardware- L'isolation forcée permet de sécuriser l'accès aux machines en protégeant les calculs mathématiques.

Pour nos environnements les plus sensibles, je pense que nous aurons besoin des deux.

Je devrais préciser ce qui va de soi.

OPSWAT vend des diodes de données.

Mais ce n'est pas parce que le Minnesota a été attaqué le mois dernier que nous avons soudainement découvert cette architecture, et ce n'est pas parce que j'ai décidé de produire une émission sur la cybersécurité que nous nous sommes lancés sur ce marché.

Nous avons fait ce pari il y a des années.

Depuis des années, OPSWAT intègre nos technologies auprès de fournisseurs de diodes opérant dans des secteurs sensibles tels que les services publics, la défense, l’énergie et l’industrie. Plus je passais de temps auprès de ces clients, plus je me convainquais que si notre mission était véritablement de protéger les infrastructures critiques mondiales, nous devions détenir nous-mêmes une plus grande partie de cette technologie.

Nous avons pris une initiative qui n'allait pas de soi pour une entreprise traditionnellement connue pour ses logiciels.

Nous avons racheté deux entreprises spécialisées dans la quincaillerie.

En 2021, OPSWAT a racheté les actifs de Bayshore Networks, intégrant ainsi à l'entreprise des compétences en matière de sécurité industrielle, de technologies opérationnelles (OT), de systèmes de contrôle-commande (ICS) et de transfert sécurisé de données.

En 2024, nous avons racheté Fend, ce qui nous a permis d'étendre nos capacités en matière de diodes de données et de disposer d'une nouvelle architecture particulièrement bien adaptée aux infrastructures distribuées et décentralisées, telles que les réseaux d'approvisionnement en eau.

Et le rachat de ces entreprises n'était qu'un début.

Nous avons triplé les ressources consacrées à la R&D dans ce domaine.

Nous avons également pris une autre décision.

Si nous devons fabriquer du matériel dont dépendent les gouvernements et les opérateurs d'infrastructures critiques, je veux savoir d'où provient ce matériel, qui l'a assemblé, quels composants il contient, comment il a été testé et comment nous en contrôlons la qualité.

Nous avons donc rapproché considérablement la production de chez nous.

En novembre 2025, OPSWAT a inauguré un site de production à Tampa, en Floride, ce qui lui a permis d'internaliser la fabrication de son matériel et de renforcer son contrôle sur la qualité, la conformité, le développement des produits et l'intégrité de la chaîne d'approvisionnement.

Et Tampa n'est pas le point d'aboutissement de cette stratégie.

Nous développons actuellement de nouvelles capacités régionales et de nouveaux pôles en Europe et en Asie, car les gouvernements se soucient de plus en plus non seulement des fonctionnalités des technologies de cybersécurité, mais aussi de leur lieu de fabrication et de l'identité des acteurs qui contrôlent la chaîne d'approvisionnement.

Ce n'est pas un projet parallèle.

Il s'agit d'un pari à long terme sur la direction que, selon nous, doit prendre la sécurité des infrastructures critiques.

Tout cela nous ramène à l'argument que j'ai développé dans mon livre, La cybersécurité à l’envers.

Notre secteur est désormais extrêmement efficace pour détecter les problèmes, une fois que nous avons permis à ces problèmes de se propager dans l'environnement.

La détection est absolument indispensable. Nous avons besoin de centres d'opérations de sécurité (SOC), de renseignements sur les menaces, de surveillance et de capacités de réponse aux incidents.

Mais la prévention doit passer avant tout.

Si vous pouvez supprimer un contenu malveillant avant qu'il ne s'exécute, supprimez-le.

Si vous pouvez supprimer un privilège inutile, supprimez-le.

Si vous pouvez isoler l'environnement critique, faites-le.

Et si un système critique n'a pas besoin d'un chemin réseau entrant :

Supprimez le chemin d'accès.

C'est ça, la cybersécurité axée sur la prévention.

Et cela me ramène au point de départ de cette histoire.

« Into the Breach » n'est pas simplement une énième vidéo promotionnelle d'OPSWAT .

J'ai créé Cyber King Productions car je suis convaincu que la cybersécurité nécessite une approche de communication avec le monde entier totalement différente.

Je ne veux pas réaliser de publicités pour des entreprises.

Je veux raconter des histoires sur la cybersécurité que les gens ont vraiment envie de regarder.

Prenez un sujet que tout le monde croit comprendre. Identifiez l'hypothèse qui le sous-tend. Concevez une expérience autour de cette hypothèse. Testez-la. Remettez-la en question. Peut-être la ferez-vous voler en éclats. Peut-être ferez-vous exploser quelque chose. Puis faites intervenir des experts et expliquez ce qui s'est réellement passé.

C'est ce que nous avons essayé de faire avec le premier épisode d'« Into the Breach », intitulé « Breaking the Firewall ».

Avant sa diffusion officielle, l'épisode a été diffusé à bord des vols d'United Airlines. Puis, lors de la conférence Black Hat, il s'est passé quelque chose qui m'a particulièrement réjoui : des personnes sont venues au stand d'OPSWAT après avoir regardé l'épisode pendant leur vol, et certaines ont souhaité nous parler des diodes de données.

Réfléchissez-y.

Une personne a regardé une émission sur la cybersécurité dans un avion, est arrivée à Black Hat, s'est rendue sur notre stand et souhaitait savoir comment mieux protéger un réseau critique.

C'est exactement ce que j'espérais que Cyber King puisse faire.

Avoir une idée, c'est facile. La concrétiser, ça l'est moins.

Je suis le créateur et le producteur exécutif de la série, mais j'ai eu la chance de pouvoir compter sur une équipe formidable pour le premier épisode :

• Kari Byron était présentatrice et productrice exécutive

• Berry Blanton était réalisateur et producteur

• Jason Richard était producteur et monteur

• Linda Wolkovitch en était la productrice

• Erik Weinbrecht était scénariste

• Joanna Shemesh était productrice adjointe

• Scott Sorensen était directeur de la photographie

• Shannon Wilkerson s'est chargée de la 3D et du motion design

• Christopher Gore Gammon était rédacteur en chef adjoint

• L'équipe de production comprenait également Jesus « Chuy » Valadez, Mahlik Hailu, Jan Reichle, Christina Robles, Jesus Ocejo et Roman Molla.

...et, bien sûr, Maxx, le chien robot, a joué son propre rôle.

Un grand merci tout particulier à Kari, Berry, Jason, Erik et à tous ceux qui ont contribué à faire de cette idée une réalité.