L’essentiel en 30 secondes
- Protéger la propriété intellectuelle, c’est empêcher plans, fichiers CAO, nomenclatures et recettes de quitter l’entreprise sans contrôle.
- Les règles DLP voient mal les formats CAO, les archives et les exports ; ces échecs restent silencieux.
- Sous-traitants et frontière IT/OT sont les angles morts : on les éprouve avec des fichiers factices, puis on reteste.
Protéger la propriété intellectuelle dans l’industrie, c’est empêcher que les plans, fichiers CAO, nomenclatures et recettes de fabrication quittent l’entreprise sans contrôle, que la sortie passe par un poste d’ingénieur, un échange avec un sous-traitant ou la frontière entre l’informatique de gestion (IT) et les systèmes industriels (OT). La seule façon de savoir si vos contrôles tiennent est de les éprouver : rejouer des tentatives d’exfiltration avec des fichiers factices et vérifier ce qui est bloqué, détecté ou ignoré.
Pourquoi l’industrie est une cible à part
Dans une banque, la donnée sensible tient souvent dans une base clients. Dans l’industrie, elle est éparpillée : un assemblage CAO de plusieurs centaines de fichiers, un programme de commande numérique sur une clé USB d’atelier, une gamme de fabrication dans l’ERP, un cahier des charges envoyé au fournisseur de moules. Chaque objet a une valeur propre, et sa fuite peut coûter des années d’avance technologique.
Trois particularités compliquent la défense :
- Des formats que la DLP comprend mal. Les fichiers natifs des logiciels de CAO (pièces, assemblages, formats d’échange neutres comme STEP ou IGES) ne contiennent pas les motifs textuels sur lesquels reposent beaucoup de règles. Un moteur réglé pour détecter des numéros de carte bancaire ne voit rien dans une géométrie 3D.
- Un écosystème de partenaires ouvert par nécessité. Bureaux d’études, sous-traitants, outilleurs, laboratoires d’essais : le partage est le métier. Bloquer tout échange n’est pas une option.
- Deux mondes réseau qui se parlent mal. Les ateliers ont leurs propres équipements, leurs postes de supervision, parfois des accès de télémaintenance gérés par les fournisseurs de machines.
Le risque ne vient pas que des attaquants externes. Un ingénieur qui part chez un concurrent avec une copie de son espace de travail est un scénario classique, traité en détail dans notre article sur la menace interne et les utilisateurs de confiance.
Les fichiers CAO : le maillon que vos règles ignorent
La plupart des politiques DLP industrielles que l’on rencontre reposent sur deux mécanismes : l’extension du fichier et des étiquettes de classification. Les deux cassent facilement.
Ce qui fait échouer la détection
- Un assemblage compressé dans une archive, éventuellement chiffrée, n’est plus reconnu par son extension.
- Un export en format neutre ou en maillage (STL pour l’impression 3D, par exemple) perd souvent l’étiquette posée sur le fichier d’origine.
- Une capture d’écran ou un PDF de mise en plan transporte l’essentiel de l’information sans déclencher aucune règle fondée sur le type de fichier.
- Les fichiers extraits du PLM vers un dossier local sortent du périmètre où la classification est appliquée.
Ces échecs sont silencieux : la console reste verte, aucune alerte ne remonte. C’est exactement le mécanisme décrit dans les faux négatifs DLP. Et sans classification fiable des données techniques, la DLP n’a rien sur quoi s’appuyer, ce que développe l’article sur la dépendance de la DLP à la classification.
Ce qu’il faut viser
Plutôt que de chercher à reconnaître chaque format, combinez plusieurs signaux : empreinte des fichiers issus du PLM, marquage à la source, volume et contexte de la sortie (un ingénieur qui pousse plusieurs gigaoctets vers un stockage personnel un vendredi soir). Puis vérifiez que cette combinaison fonctionne réellement.
Sous-traitants : partager sans perdre le contrôle
Le sous-traitant reçoit légitimement des plans. La question n’est pas de l’empêcher, mais de savoir par quel canal, quoi exactement, et ce qui se passe si le canal officiel est contourné.
| Canal d’échange | Risque principal | Ce qu’il faut vérifier |
|---|---|---|
| Portail d’échange sécurisé ou PLM fournisseur | Droits trop larges, liens qui n’expirent pas | Périmètre réellement partagé, durée de vie des accès, journalisation |
| Messagerie avec pièce jointe | Envoi d’un assemblage complet au lieu de la seule pièce utile | Règles sortantes sur les fichiers techniques, y compris en archive |
| Service de transfert de fichiers grand public | Canal hors contrôle, contournement du portail jugé trop lent | Blocage ou détection du téléversement depuis le navigateur |
| Accès distant du sous-traitant à vos systèmes | Copie directe depuis vos serveurs | Filtrage des transferts sortants sur la session distante |
Le sujet plus général des partenaires est traité dans les fuites de données chez les tiers et sous-traitants.
La frontière IT/OT : un angle mort de la DLP
Schéma · où sortent les données techniques
Or ces réseaux contiennent de la propriété intellectuelle : programmes de commande numérique, paramètres de procédé, recettes. Et ils ont des sorties :
- les flux de remontée vers l’IT (historisation, MES, ERP), qui créent des passerelles ;
- les accès de télémaintenance des constructeurs de machines ;
- les supports amovibles utilisés pour charger des programmes sur les machines ;
- les postes « double usage » branchés tantôt côté atelier, tantôt côté bureau.
Concentrez-vous sur la zone d’échange entre les deux mondes, le contrôle des flux sortants à cette frontière et l’usage des supports amovibles. La vérification des contrôles réseau est détaillée dans l’article sur le filtrage sortant et la DLP réseau.
Scénario concret : un départ en fin de mois
Un ingénieur méthodes annonce sa démission. Pendant ses dernières semaines, il dispose toujours de ses accès au PLM et à l’atelier. Voici ce qu’un test actif doit permettre de répondre, avec des fichiers factices qui imitent un assemblage réel :
- L’extraction massive depuis le PLM vers son poste génère-t-elle une alerte, et qui la reçoit ?
- La copie de l’archive sur une clé USB personnelle est-elle bloquée ou seulement journalisée ?
- Le téléversement vers un stockage cloud personnel depuis le navigateur est-il détecté ?
- Un envoi vers une adresse personnelle, fichier renommé, passe-t-il le filtre de messagerie ?
- Le transfert depuis un poste de l’atelier, moins surveillé, est-il visible ?
Chaque réponse est un fait mesuré, pas une hypothèse tirée de la configuration. Si trois chemins sur cinq passent sans bruit, vous savez où porter l’effort.
Et chez vous ?
Un assemblage factice sortirait-il de votre bureau d’études ?
Une démo guidée de 30 minutes, sur des jeux de résultats préétablis, pour voir comment une campagne restitue ce qui sort par chaque chemin de sortie.
À vérifier pour un RSSI industriel
- Inventorier les données techniques à protéger et leurs emplacements réels (PLM, partages, postes, atelier).
- Vérifier que les règles DLP couvrent les formats CAO natifs, neutres et les archives.
- Cartographier les canaux d’échange avec chaque catégorie de sous-traitant.
- Identifier les passerelles entre IT et OT, y compris les accès de télémaintenance.
- Encadrer les supports amovibles côté atelier.
- Prévoir une procédure de surveillance renforcée lors des départs sensibles, en lien avec les RH et le juridique.
- Tester chaque contrôle avec des données factices, puis retester après chaque changement.
Le dernier point est le seul qui transforme une politique en preuve. La méthode générale est décrite dans notre page sur le test d’exfiltration de données.
FAQ
Une DLP classique protège-t-elle les fichiers CAO ?
Partiellement. Elle peut s’appuyer sur l’extension, une étiquette ou une empreinte, mais ces signaux disparaissent souvent après une compression, un export ou une capture. Seul un test permet de savoir ce qui est réellement couvert.
Peut-on tester l’exfiltration sans exposer de vrais plans ?
Oui, c’est même la règle : on utilise des fichiers factices qui reproduisent la structure et les marqueurs des fichiers réels, sans aucune valeur industrielle.
Faut-il inclure le réseau OT dans les tests ?
Incluez la frontière entre IT et OT plutôt que les équipements eux-mêmes. Les tests doivent rester sans impact sur la production et être définis avec les responsables d’atelier.
Comment traiter les sous-traitants dans la démarche ?
Testez d’abord vos propres sorties vers eux : canaux autorisés, contournements possibles, volume envoyé. Le contrôle de leur propre sécurité relève de clauses contractuelles et d’audits.