Why Your OT & ICS Cybersecurity is Failing (And How to Fix It for Free)

Why Your OT & ICS Cybersecurity is Failing (And How to Fix It for Free)

Pourquoi votre cybersécurité OT et ICS est en échec (et comment la corriger gratuitement)

par Mike Holcomb · Voir la chaîne sur PSI

Sciences appliquées & ingénierie Informatique & Cybersécurité UInformatique et technologies de l’informationURSécurité informatique
🎙 Mike Holcomb 👥 28K 📅 20 octobre 2026 ⏱ 29 min 👁 24 📄 opinion experte 🧭 2026-10-20
Disponible en : Français (actuel) English

Mots-clés

B.A.S.I.C.OT/ICSPetites utilitésSécurité industrielleIA

Résumé

Dans cette présentation enregistrée à Industrial Cyber Days (octobre 2026), Mike Holcomb, consultant en cybersécurité OT, s’adresse aux petites structures qui manquent de budget et de personnel dédié. Il constate que la plupart des environnements OT, notamment les petites utilités d’eau, n’ont aucune ressource pour la cybersécurité et que la sensibilisation est le premier défi. Il propose un cadre appelé B.A.S.I.C. en cinq piliers : sauvegarde et récupération, inventaire des actifs, architecture réseau sécurisée, planification de réponse aux incidents et gestion continue des vulnérabilités. Chaque pilier est priorisé selon son impact sur la réduction des risques et son coût. Il insiste sur la segmentation IT/OT comme contrôle fondamental et sur l’importance de la préparation aux incidents, en s’appuyant sur des exemples réels comme les attaques contre des ports et des chaînes de supermarchés. Il démontre ensuite comment l’IA peut être un levier pour ces environnements, notamment via des chatbots pour la sensibilisation, la création de posters, ou un outil nommé Fenceline qu’il a développé pour analyser les journaux de firewall Cisco. Il conclut que la protection OT ne nécessite pas de moyens importants si l’on maîtrise les fondamentaux et que l’IA permet de compenser le manque de ressources.

198 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur des informations est forte pour les petites organisations : l’auteur fournit une méthodologie structurée et hiérarchisée, avec des exemples concrets et des outils pratiques. Il argumente en s’appuyant sur des études de cas réelles (ports australiens, Jaguar Land Rover, incidents en France) pour illustrer les risques et l’importance de la préparation. Son raisonnement est logique : il part du constat des ressources limitées pour proposer des actions à faible coût et à fort impact. Il souligne également la nécessité de collaboration entre IT et OT, et démontre l’utilité de l’IA comme multiplicateur de forces. Toutefois, certaines affirmations restent anecdotiques et non sourcées, et la démonstration de l’outil Fenceline est succincte.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est modérée : l’auteur est un expert reconnu dans le domaine, mais il ne cite pas de sources académiques ou normatives précises. Il fait référence aux SANS ICS Critical Controls et à des incidents documentés, ce qui donne une crédibilité pratique. La qualité des sources est uniquement basée sur son expérience et des ressources gratuites en ligne (mikeholcomb.com, otthreatfeed.com). L’adéquation titre/contenu est bonne : le titre promet une solution gratuite et le contenu livre effectivement des conseils et outils gratuits, y compris l’IA. En revanche, l’absence de données chiffrées ou de références vérifiables limite la portée académique.

227 mots

Adéquation titre / contenu

Le titre correspond au contenu : l'auteur explique pourquoi les petites infrastructures OT échouent en cybersécurité et propose un cadre gratuit (B.A.S.I.C.) ainsi que des outils accessibles.

Qualité & fiabilité

7/10

L'exposé repose sur l'expérience professionnelle de l'auteur et des références à des incidents réels (ports australiens, Jaguar Land Rover, attaques en France). Les recommandations sont pragmatiques et alignées sur des contrôles de sécurité reconnus (SANS ICS), mais aucune source scientifique n'est citée. La fiabilité est bonne pour des conseils pratiques, mais la validation indépendante est limitée.

Chapitres

Sources citées

Sources concordantes

  • SANS ICS Critical Controls — L'auteur mentionne qu'il s'inspire de ces contrôles tout en les adaptant aux petites structures.
  • CISA Incident Response Playbook — Les recommandations sur la rueponse aux incidents sont en phase avec les pratiques standard.

Apport & nouveautés

L’apport principal est le cadre B.A.S.I.C., une hiérarchisation pragmatique de contrôles de cybersécurité pour les petites infrastructures sans budget, ainsi que la démonstration d’outils IA accessibles (Fenceline, chatbots) pour compenser le manque de ressources. La nouveauté réside dans l’accent mis sur des solutions gratuites et l’utilisation de l’IA générative comme multiplicateur de forces.

Pour aller plus loin :

  • SANS ICS Critical Controls — Référence sur les contrôles de sécurité pour les systèmes de contrôle industriel, mentionnée implicitement.
  • NIST SP 800-82 — Guide de sécurité pour les systèmes de contrôle industriels.
  • Procédure de réponse aux incidents pour OT — Guide de CISA pour la réponse aux incidents.
  • Livre blanc sur l’IA en cybersécurité OT — Analyse des usages de l’IA pour la défense des infrastructures critiques.

125 mots

Profil radar

Le profil radar présente des scores élevés en quantité d'informations et en fiabilité globale, mais légèrement plus faible en niveau technique, ce qui reflète un contenu orienté vers la pratique plutôt que la théorie. La qualité de l'information est bonne, mais la rigueur scientifique est limitée par le manque de références académiques.

Fiabilité 7/10