Robots industriels, cobots, systèmes autonomes, dispositifs médicaux ou équipements mécatroniques : la connexion croissante des machines transforme profondément leur exposition aux risques. Lorsqu’un système numérique peut provoquer une action physique, cybersécurité et sécurité des personnes deviennent étroitement liées.

Objectif

Un robot moderne n’est plus seulement une machine exécutant une succession de mouvements programmés.

Il peut intégrer :

• capteurs ;
• actionneurs ;
• contrôleurs ;
• logiciels embarqués ;
• systèmes de vision ;
• interfaces homme-machine ;
• communications sans fil ;
• services cloud ;
• intelligence artificielle ;
• outils de maintenance à distance.

Ces technologies permettent de développer des systèmes plus autonomes, flexibles et performants.

Mais elles augmentent également le nombre de composants susceptibles d’être exposés à :

• une vulnérabilité ;
• une mauvaise configuration ;
• une compromission ;
• une erreur ;
• une défaillance.

Dans un système purement informatique, une cyberattaque peut entraîner une perte de données ou une interruption de service.

Dans un système robotique, elle peut également provoquer une conséquence dans le monde physique.

C’est cette particularité qui fait de la cybersécurité robotique un enjeu majeur.

1. Le robot devient un système cyber-physique

Un système robotique associe généralement deux univers.

Le monde numérique

Il comprend :

• logiciels ;
• algorithmes ;
• communications ;
• données ;
• interfaces ;
• systèmes informatiques.

Le monde physique

Il comprend :

• moteurs ;
• bras ;
• roues ;
• outils ;
• déplacements ;
• interactions avec l’environnement.

Une commande numérique peut donc entraîner une action physique.

Cette relation doit être prise en compte dès l’analyse des risques.

Sécuriser un robot, ce n’est pas seulement protéger ses données : c’est également maîtriser les conséquences physiques d’un incident numérique.

2. Pourquoi la connectivité augmente-t-elle l’exposition ?

Les systèmes robotiques modernes communiquent avec de nombreux équipements.

Un robot peut être connecté :

• à un réseau industriel ;
• à une station de supervision ;
• à un ordinateur de maintenance ;
• à d’autres robots ;
• à une plateforme cloud ;
• à une application mobile ;
• à des capteurs externes.

Chaque connexion peut apporter une fonctionnalité.

Mais chaque connexion peut également créer une nouvelle dépendance ou une nouvelle surface d’exposition.

L’enjeu consiste donc à connecter uniquement ce qui est nécessaire et à maîtriser les communications autorisées.

3. Les risques ne concernent pas uniquement la prise de contrôle

L’image d’un attaquant prenant entièrement le contrôle d’un robot est spectaculaire, mais elle ne représente qu’une partie du problème.

Une attaque ou une compromission peut également provoquer :

• indisponibilité ;
• arrêt de production ;
• modification d’une configuration ;
• perte de données ;
• perturbation des communications ;
• altération des informations utilisées par le système ;
• dysfonctionnement d’une fonction automatisée.

Une attaque n’a donc pas besoin de permettre le contrôle complet de la machine pour avoir des conséquences importantes.

4. Confidentialité, intégrité et disponibilité

L’analyse de cybersécurité peut notamment s’appuyer sur trois objectifs classiques.

Confidentialité

Les informations ne doivent être accessibles qu’aux personnes ou systèmes autorisés.

Intégrité

Les données, paramètres et commandes ne doivent pas être modifiés de manière non autorisée.

Disponibilité

Les fonctions nécessaires doivent rester accessibles lorsqu’elles sont requises.

Dans un environnement robotique, l’intégrité et la disponibilité peuvent avoir une importance particulièrement forte, car une information incorrecte ou une fonction indisponible peut modifier directement le comportement du système.

5. Cybersécurité et sûreté de fonctionnement doivent être distinguées

Deux notions sont souvent mélangées.

Cybersécurité – Security

Elle vise notamment à protéger le système contre des actions malveillantes, compromissions et accès non autorisés.

Sécurité fonctionnelle / sûreté de fonctionnement – Safety

Elle cherche notamment à prévenir ou maîtriser les conséquences dangereuses d’une défaillance pour les personnes, les équipements ou l’environnement.

Ces disciplines sont distinctes.

Mais dans un système cyber-physique, elles deviennent interdépendantes.

Une cyberattaque peut provoquer une situation dangereuse.

Inversement, certains mécanismes de sécurité fonctionnelle peuvent contribuer à limiter les conséquences d’une compromission.

6. L’exemple des robots collaboratifs

Les robots collaboratifs, ou cobots, sont conçus pour pouvoir travailler dans des environnements où l’interaction avec l’être humain est plus importante que dans certaines installations robotiques traditionnelles.

Cette proximité nécessite une attention particulière.

Une modification non autorisée :

• d’un paramètre ;
• d’une configuration ;
• d’une trajectoire ;
• d’une fonction ;

peut potentiellement avoir des conséquences physiques.

La cybersécurité doit donc être pensée en complément des dispositifs de sécurité de la machine.

7. Les robots mobiles autonomes introduisent d’autres dépendances

Un robot mobile peut s’appuyer sur :

• localisation ;
• cartographie ;
• capteurs ;
• communication réseau ;
• système de navigation ;
• supervision.

La fiabilité de son comportement dépend donc de plusieurs chaînes technologiques.

Une perturbation peut affecter :

• sa capacité à se localiser ;
• sa navigation ;
• sa communication ;
• sa disponibilité.

La résilience doit donc être envisagée au niveau du système complet, et pas seulement de l’ordinateur embarqué.

8. Les données des capteurs doivent être considérées comme critiques

Un système autonome prend ses décisions à partir des informations qu’il reçoit.

Il peut s’agir de :

• caméra ;
• lidar ;
• capteur de distance ;
• position ;
• vitesse ;
• température ;
• pression.

Si ces informations sont incorrectes, indisponibles ou altérées, les décisions du système peuvent également devenir incorrectes.

La protection des données ne concerne donc pas uniquement leur confidentialité.

Dans certains systèmes robotiques :

l’intégrité d’une donnée peut être plus critique que son caractère secret.

9. Identifier les fonctions réellement critiques

Toutes les fonctions d’un robot n’ont pas la même importance.

Il faut distinguer :

• fonctions essentielles ;
• fonctions secondaires ;
• fonctions de confort ;
• fonctions de maintenance ;
• fonctions liées à la sécurité.

Cette cartographie permet de concentrer les mesures de protection sur ce qui pourrait provoquer les conséquences les plus graves.

L’objectif n’est pas de protéger tous les composants de manière identique.

Il est de protéger davantage ce qui est réellement critique.

10. Appliquer le principe du moindre privilège

Un composant ne devrait disposer que des droits nécessaires à son fonctionnement.

De la même manière, un utilisateur chargé de consulter l’état d’une machine n’a pas nécessairement besoin de pouvoir modifier sa configuration.

La gestion des droits doit donc distinguer notamment :

• consultation ;
• exploitation ;
• maintenance ;
• administration.

Cette approche permet de limiter les conséquences d’un compte ou d’un équipement compromis.

11. Authentifier les utilisateurs et les équipements

Dans un environnement connecté, il ne suffit pas toujours de vérifier l’identité d’une personne.

Les équipements eux-mêmes peuvent avoir besoin de s’authentifier entre eux.

Le système doit pouvoir déterminer :

qui communique ;

avec quel équipement ;

pour réaliser quelle action.

Les mécanismes retenus doivent être adaptés au niveau de risque, aux contraintes du système et à son architecture.

12. Protéger les communications

Les communications entre composants doivent être protégées selon les besoins identifiés.

Il peut notamment être nécessaire de garantir :

• confidentialité ;
• intégrité ;
• authenticité.

Mais il faut éviter une approche consistant simplement à « ajouter du chiffrement partout ».

Les choix doivent tenir compte :

• des performances ;
• de la latence ;
• des capacités des équipements ;
• des contraintes industrielles ;
• des besoins de sécurité.

La cybersécurité doit être compatible avec le fonctionnement réel du système.

13. Segmenter les architectures

Un robot ou une cellule robotisée ne devrait pas nécessairement pouvoir communiquer librement avec l’ensemble du système d’information de l’entreprise.

La segmentation permet de séparer différents environnements.

Elle peut notamment contribuer à limiter :

• les déplacements d’un attaquant ;
• la propagation d’un incident ;
• les communications inutiles.

Cette approche est particulièrement importante lorsqu’un environnement industriel est connecté au système informatique de l’organisation.

14. Maîtriser les accès de maintenance

La maintenance constitue un point particulièrement sensible.

Elle peut nécessiter :

• accès distant ;
• ordinateur portable ;
• compte privilégié ;
• logiciel spécifique ;
• intervention d’un prestataire.

Ces accès doivent être maîtrisés.

L’organisation doit notamment savoir :

• qui intervient ;
• quand ;
• sur quel équipement ;
• avec quels droits ;
• pendant combien de temps.

Un accès de maintenance permanent et insuffisamment contrôlé peut devenir une faiblesse importante.

15. Les mises à jour doivent être sécurisées

Les robots peuvent rester en exploitation pendant de nombreuses années.

Durant cette période, des vulnérabilités peuvent être découvertes dans :

• le système d’exploitation ;
• les bibliothèques ;
• le firmware ;
• les applications ;
• certains composants tiers.

Il faut donc prévoir dès la conception un mécanisme de mise à jour maîtrisé.

Mais une mise à jour peut elle-même provoquer :

• incompatibilité ;
• dysfonctionnement ;
• interruption.

Elle doit donc être authentifiée, contrôlée, testée et déployée selon une procédure maîtrisée.

16. Security by Design : protéger dès la conception

La cybersécurité ne doit pas être ajoutée à la fin du projet.

Elle doit être prise en compte dès :

• la définition des besoins ;
• l’architecture ;
• le développement ;
• les essais ;
• le déploiement ;
• la maintenance.

Cette approche est généralement désignée par :

Security by Design.

Elle permet notamment d’éviter de découvrir trop tard qu’une architecture repose sur des choix difficiles ou coûteux à sécuriser.

17. Penser également Safety by Design

Pour les systèmes ayant une interaction physique avec leur environnement, la cybersécurité ne suffit pas.

Il faut également intégrer :

Safety by Design.

Cela signifie envisager dès la conception :

• les défaillances ;
• les comportements inattendus ;
• les situations dangereuses ;
• les mécanismes de mise en sécurité.

Les équipes cyber et les spécialistes de la sécurité fonctionnelle doivent donc travailler ensemble.

18. Prévoir des états sûrs

Lorsqu’un incident survient, la question n’est pas seulement :

« Comment empêcher l’attaque ? »

Il faut également demander :

« Que doit faire la machine si elle ne peut plus fonctionner normalement ? »

Selon le système, plusieurs réponses peuvent être envisagées :

• arrêt sécurisé ;
• limitation de certaines fonctions ;
• mode dégradé ;
• maintien d’une fonction essentielle ;
• reprise contrôlée.

Le comportement approprié dépend du contexte.

Un arrêt brutal n’est d’ailleurs pas nécessairement l’option la plus sûre dans toutes les installations.

19. Ne pas confondre arrêt d’urgence et cybersécurité

L’arrêt d’urgence constitue un dispositif essentiel pour certaines machines.

Mais il ne remplace pas une architecture de cybersécurité.

Inversement, une protection informatique sophistiquée ne remplace pas les dispositifs physiques de sécurité nécessaires.

Les deux niveaux doivent être conçus de manière complémentaire.

20. Détecter les comportements anormaux

Une supervision adaptée peut permettre d’identifier :

• communications inhabituelles ;
• modification de configuration ;
• tentatives d’accès ;
• comportements anormaux ;
• événements techniques inattendus.

Mais la détection doit tenir compte des spécificités de l’environnement industriel.

Un robot peut produire de nombreux événements légitimes.

L’objectif est donc d’identifier les anomalies réellement significatives sans perturber inutilement l’exploitation.

21. La chaîne d’approvisionnement devient un enjeu majeur

Un système robotique dépend rarement d’un seul fabricant.

Il peut intégrer :

• processeurs ;
• capteurs ;
• systèmes d’exploitation ;
• bibliothèques logicielles ;
• logiciels propriétaires ;
• services cloud ;
• composants open source.

Une vulnérabilité présente dans un seul composant peut affecter l’ensemble.

La cybersécurité doit donc également prendre en compte la chaîne d’approvisionnement numérique et matérielle.

22. Connaître les composants utilisés

Pour maintenir un système pendant plusieurs années, il est important de connaître :

• les composants ;
• leurs versions ;
• les logiciels ;
• les dépendances.

Cette connaissance facilite :

• l’analyse des vulnérabilités ;
• les mises à jour ;
• la maintenance ;
• la réponse à incident.

Un système dont personne ne connaît précisément les composants devient beaucoup plus difficile à sécuriser.

23. La fin de vie doit être anticipée

Un robot industriel peut rester utilisé bien plus longtemps que certains composants logiciels.

Un fabricant peut arrêter :

• les mises à jour ;
• le support ;
• la fourniture de pièces ;
• la maintenance d’un logiciel.

L’organisation doit donc anticiper l’obsolescence.

La cybersécurité doit être envisagée sur l’ensemble du cycle de vie :

conception → fabrication → intégration → exploitation → maintenance → fin de vie.

24. L’intelligence artificielle ajoute de nouveaux enjeux

Certains robots utilisent désormais des systèmes d’intelligence artificielle pour :

• reconnaître des objets ;
• analyser leur environnement ;
• optimiser leurs mouvements ;
• assister certaines décisions.

Ces systèmes peuvent introduire des problématiques supplémentaires concernant :

• qualité des données ;
• robustesse ;
• erreurs de classification ;
• comportement inattendu ;
• explicabilité selon les usages.

Mais il faut éviter de réduire la cybersécurité robotique à l’IA.

Un robot peut présenter des vulnérabilités importantes même s’il n’utilise aucune intelligence artificielle.

25. Tester le système complet

Un composant peut être sécurisé individuellement mais devenir vulnérable une fois intégré à l’ensemble.

Les essais doivent donc prendre en compte :

• matériel ;
• logiciel ;
• réseau ;
• interfaces ;
• utilisateurs ;
• procédures.

Les tests doivent également examiner les interactions entre cybersécurité et sécurité fonctionnelle.

L’objectif est de comprendre comment le système réagit lorsqu’un composant ne se comporte plus comme prévu.

26. Former les ingénieurs à plusieurs disciplines

La robotique moderne se trouve à la croisée de plusieurs domaines :

• mécanique ;
• électronique ;
• automatique ;
• informatique ;
• intelligence artificielle ;
• réseaux ;
• cybersécurité ;
• sécurité fonctionnelle.

Un ingénieur n’a pas nécessairement vocation à devenir spécialiste de toutes ces disciplines.

Mais il doit comprendre leurs interactions.

La cybersécurité devient progressivement une compétence transversale de l’ingénierie des systèmes connectés.

Points de vigilance

« Un robot isolé d’Internet est sécurisé »

Pas nécessairement.

Des accès locaux, opérations de maintenance, supports amovibles ou connexions indirectes peuvent subsister.

« Chiffrer les communications suffit »

Non.

La sécurité repose également sur l’architecture, les accès, les mises à jour, la segmentation et la supervision.

« L’arrêt d’urgence protège contre les cyberattaques »

Non.

Il répond à une fonction différente.

« Tous les incidents cyber provoquent une prise de contrôle du robot »

Non.

Une indisponibilité ou une modification de paramètres peut déjà avoir des conséquences importantes.

« Robotique connectée signifie forcément intelligence artificielle »

Non.

Robotique, automatisation et IA sont des notions distinctes.

Bonnes pratiques

1. Identifier les fonctions critiques avant de définir les protections.

2. Intégrer la cybersécurité dès la conception.

3. Faire travailler ensemble les équipes cyber et safety.

4. Segmenter les réseaux et limiter les communications inutiles.

5. Appliquer le principe du moindre privilège.

6. Maîtriser les accès de maintenance et les comptes privilégiés.

7. Prévoir des mécanismes de mise à jour sécurisés.

8. Superviser les comportements et événements importants.

9. Anticiper les défaillances et modes dégradés.

10. Maintenir la sécurité pendant tout le cycle de vie du système.

RETEX : une vulnérabilité numérique peut devenir un risque physique

Dans un système informatique classique, les équipes cyber peuvent principalement raisonner en termes de :

confidentialité, intégrité et disponibilité.

Dans un système robotique, une quatrième question doit être posée :

« Quelle conséquence physique peut produire cette défaillance ou cette compromission ? »

Cette interrogation modifie profondément l’analyse du risque.

Une modification de donnée apparemment minime peut affecter :

• une trajectoire ;
• une vitesse ;
• une position ;
• une décision automatisée.

La cybersécurité robotique nécessite donc une approche réellement cyber-physique.

À retenir

La cybersécurité d’un robot ne consiste pas seulement à empêcher son piratage.

Elle consiste à protéger :

les commandes ;

les communications ;

les données ;

les logiciels ;

les accès ;

les fonctions critiques ;

tout en maîtrisant les conséquences qu’un incident numérique pourrait avoir dans le monde physique.

Pour les systèmes robotiques et mécatroniques, Security by Design, Safety by Design et résilience doivent être pensées ensemble dès la conception.

Ressources et références institutionnelles

• ANSSI – Cybersécurité des systèmes industriels et recommandations de sécurité
• ENISA – Cybersécurité des systèmes connectés et industriels
• Commission européenne – Cadre européen relatif à la cybersécurité des produits comportant des éléments numériques
• Règlement européen Cyber Resilience Act – CRA
• Directive NIS2 – Cybersécurité des entités entrant dans son champ d’application
• Règlement européen relatif aux machines (UE) 2023/1230
• ISO 10218 – Sécurité des robots industriels
• IEC 62443 – Cybersécurité des systèmes d’automatisation et de contrôle industriels

Publication ADESS – Approche opérationnelle

ADESS – Association des Experts en Sécurité et Sûreté

Cette publication présente des principes généraux de cybersécurité applicables aux systèmes robotiques, mécatroniques et cyber-physiques. Elle ne constitue ni une procédure de sécurisation d’un système particulier, ni une analyse de sûreté de fonctionnement, ni une recommandation technique applicable sans étude préalable des risques et de l’environnement concerné.

NGON Vinny Juniors – ID : 13484780