Réduire les risques OT/IT des fusions-acquisitions

L'intégration peut transformer un risque hérité en risque opérationnel

Le moment le plus risqué dans une opération de fusion-acquisition industrielle peut survenir après la conclusion de la transaction, lorsque les équipes commencent à intégrer les réseaux, les systèmes, les accès à distance et les fournisseurs. Relier ces environnements avant d’en comprendre les interdépendances peut exposer les opérations critiques à de nouvelles menaces.

Une intégration précipitée offre aux attaquants de nouvelles occasions d’exploiter ces vulnérabilités, transformant ainsi une faille de sécurité en un problème de production ou de sécurité. Une approche progressive, axée sur les risques, aide les entreprises à s’intégrer en toute sécurité tout en renforce la cyber-résilience dans les environnements informatiques, de technologie opérationnelle (OT) et de contrôle industriel.

Les fusions-acquisitions créent davantage d’opportunités pour les cyberrisques

Les entreprises du secteur de l’énergie et des ressources naturelles continuent de mener à bien des transactions majeures. KPMG note que la valeur des opérations a bondi de 38 % au second semestre 2025, pour atteindre un total de 266,1 milliards de dollars répartis sur 765 transactions. À mesure que les opérations prennent de l’ampleur, l’intégration devient plus complexe.

La cybersécurité ajoute une couche de risque supplémentaire. Le rapport de KPMG sur les problèmes de cybersécurité perturbant les fusions-acquisitions dans le secteur de l’énergie met en évidence les limites des évaluations préalables à la clôture. Les délais sont serrés et l’accès est restreint. Or, sans documentation complète, les acquéreurs ne peuvent pas évaluer pleinement le niveau de sécurité de la cible. Cela signifie qu’ils risquent de ne découvrir les vulnérabilités des infrastructures héritées et des systèmes opérationnels qu’après la clôture.

Les enjeux s’accroissent lorsqu’une intégration industrielle touche les technologies opérationnelles (OT). Ces technologies contrôlent les processus physiques. Elles s’appuient également souvent sur des systèmes hérités qui ne tolèrent pas les temps d’arrêt ni ne s’adaptent aux changements induits par les technologies de l’information (TI).

L’intégration OT/TI présente des risques spécifiques

L’intégration d’environnements industriels nécessite une approche différente de celle de la fusion de systèmes informatiques classiques. Plusieurs facteurs rendent ces scénarios particulièrement complexes :

• Systèmes hérités et visibilité incomplète : les inventaires informatiques omettent souvent d’anciens systèmes de contrôle et des équipements spécialisés. Par conséquent, les équipes risquent de ne pas cerner toutes les vulnérabilités ou dépendances avant l’intégration.
• Les nouvelles connexions élargissent la surface d’attaque : lors de l’intégration, les organisations relient les réseaux, consolident les systèmes d’identité et étendent l’accès à distance. Elles intègrent souvent de nouveaux points d’accès tiers. Cela expose les systèmes OT à de nouvelles menaces.
• La convergence entre l’informatique (IT), les technologies opérationnelles (OT) et l’IA ajoute à la complexité : les entreprises industrielles recourent de plus en plus à l’IA pour la maintenance prédictive, les ressources énergétiques distribuées, l’optimisation du réseau et la détection des anomalies. Ces applications peuvent créer de nouveaux liens entre les systèmes d’entreprise et les systèmes opérationnels. Lorsqu’un acquéreur intègre des environnements, les contrôles de sécurité et la surveillance existants peuvent ne pas offrir la visibilité nécessaire.
• L’intégration peut perturber des opérations clés : les modifications apportées aux systèmes informatiques et d’IA peuvent affecter les performances des équipements. Elles peuvent également avoir un impact sur la production et menacer la fiabilité du réseau ainsi que la sécurité des travailleurs. Or, de nombreux systèmes OT ne peuvent pas être facilement mis hors ligne pour l’application de correctifs, la réalisation de tests ou la conduite d’enquêtes.
• Des priorités divergentes compliquent l’intégration : les équipes informatiques se concentrent sur la consolidation et la rationalisation du nouvel environnement. Les opérateurs d’usine accordent la priorité à la disponibilité et à la sécurité. Les plans d’intégration doivent tenir compte de ces différences opérationnelles.

Prenons l’exemple de la société minière présentée dans« », ce témoignage client de SecureOps. Elle utilise des systèmes de localisation en temps réel, de détection de gaz et de surveillance de la qualité de l’air. Un incident de sécurité impliquant ces systèmes pourrait entraîner des temps d’arrêt ou une perte de données. Mais il pourrait également mettre en danger les travailleurs.

Toutes les intégrations ne débouchent pas nécessairement sur un incident opérationnel ou de sécurité. Mais la connexion d’environnements distincts peut transformer des faiblesses existantes en menaces plus graves. Il est donc essentiel de comprendre et de gérer les risques liés aux technologies opérationnelles (OT) tout au long de la transition.

Une approche par étapes évite que l’intégration ne devienne un point d’inflexion

Les entreprises peuvent réduire les risques liés à l’intégration en intégrant la sécurité dès la phase de planification. Une approche par étapes donne aux équipes le temps de comprendre l’environnement combiné et de protéger les systèmes critiques.

• Assurez-vous d’avoir une bonne visibilité avant de connecter les systèmes. Dressez l’inventaire des actifs OT et informatiques.

Cartographiez les processus clés et les dépendances. Identifiez les accès à distance et les liaisons avec les fournisseurs.

Recherchez les vulnérabilités. Une fois l’opération finalisée, vérifiez la pertinence des conclusions par rapport à l’environnement.

• Intégrez la résilience dans le plan d’intégration. Identifiez les systèmes critiques et définissez les priorités de reprise. Revoyez les plans de réponse aux incidents et de continuité des activités afin de couvrir l’environnement combiné. Ces étapes permettent de maintenir le fonctionnement des opérations clés. Elles contribuent également à accélérer la reprise si un incident venait à perturber l’intégration.
• Hiérarchisez les risques opérationnels et de sécuritéavec les responsables d’usine, les ingénieurs, les équipes informatiques et de sécurité. Déterminez quels systèmes peuvent être compromis. Concentrez-vous sur ceux susceptibles de perturber la production ou de menacer la sécurité des employés. Classez les mesures correctives et de protection en fonction de leur impact sur l’activité, et non uniquement en fonction de leur gravité technique.
• Limitez les risques pendant l’intégration. Maintenez la segmentation des environnements lorsque cela est nécessaire. N’étendez pas automatiquement la confiance entre l’acquéreur et la cible. Vérifiez les droits d’accès, sécurisez les connexions à distance et renforcez la surveillance.
• Coordonnez l’intégration avec les opérations. Adaptez les mises à niveau de sécurité aux fenêtres de maintenance. Alignez les mises à jour de connectivité sur les besoins des processus. Respectez les procédures de contrôle des changements. Définissez qui approuve les mises à jour et comment les équipes doivent réagir si une étape de l’intégration pose problème.
• Maintenez une surveillance au-delà de l’intégration initiale. L’intégration est un processus continu, et non une étape ponctuelle. Réévaluez régulièrement l’environnement combiné à mesure que de nouveaux risques apparaissent et que les priorités évoluent.

Comment SecureOps facilite une intégration sécurisée des fusions-acquisitions

SecureOps aide les entreprises industrielles à gérer les risques de cybersécurité tout au long du processus de fusion-acquisition, de l’évaluation et de la planification à la protection provisoire et aux améliorations à long terme.

• Identifiez les risques hérités et les lacunes d’intégration. Les évaluations cyber-sécurité sur mesure pour les fusions-acquisitions vérifient la sécurité des identités et des réseaux. Elles identifient également les vulnérabilités. De plus, elles examinent l’IA, la surveillance et les processus de sécurité. Les résultats aident les acquéreurs à comprendre comment les environnements interagissent et à repérer les risques. Cela permet d’établir une feuille de route d’intégration claire et hiérarchisée.
• Maintenez la cyber-résilience et la continuité des activités tout au long de l’intégration. Le «SecureOps Shield » d’ assure une sécurité provisoire à l’acquéreur et à la société cible. Tandis que les équipes évaluent les risques et les faiblesses hérités, le « Shield » réduit l’exposition aux menaces.
• Étendre la visibilité et la surveillance. SecureOps aide les organisations à identifier et à suivre les menaces dans des environnements complexes, y compris les systèmes OT. Une visibilité claire aide les équipes de sécurité à détecter les problèmes à mesure que les systèmes, les chemins d’accès et les dépendances évoluent.
• Apporter une expertise spécialisée en sécurité OT. Pour sécuriser correctement les environnements industriels, les organisations doivent comprendre les limites opérationnelles et les systèmes hérités. Les décisions en matière de sécurité doivent également favoriser la continuité des activités et la sécurité des travailleurs. SecureOps apporte une expertise spécifique au secteur pour aider les organisations à répondre à ces exigences.
• Renforcez la réponse aux incidents. Pendant l’intégration, les équipes ont besoin de procédures d’escalade claires et de procédures de réponse coordonnées. SecureOps assure une surveillance continue et un soutien à la réponse. Cela étend les capacités internes tout en permettant aux équipes de se concentrer sur les priorités d’intégration.
• Soutenir la maturité de la sécurité à long terme. SecureOps collabore avec les équipes internes pour traiter les risques hérités. Il adapte également la sécurité à l’environnement combiné. De plus, soncadre de cyber-résilience « » (sécurité en continu) fournit une base pour des améliorations continues.

L’exemple de la société minière illustre le fonctionnement concret de ce partenariat. SecureOps a assuré une surveillance 24 h/24, 7 j/7 et une réponse rapide aux incidents. Il s’est adapté aux besoins de sécurité de l’entreprise. Il a également étendu le centre d’opérations de sécurité (SOC) pour y inclure la surveillance des technologies opérationnelles (OT). L’entreprise bénéficie ainsi d’un partenaire qui accélère les temps de réponse et renforce la sécurité à long terme.

Protéger la valeur de la transaction en protégeant les opérations

L’intégration post-fusion-acquisition doit réunir deux organisations tout en protégeant les opérations qui créent de la valeur commerciale. Dans les environnements industriels, cela implique de comprendre les risques de sécurité hérités et leur impact potentiel sur la production et la sécurité avant de connecter les environnements.

Une approche par étapes aide les équipes à gérer ces risques tout au long de l’intégration. Grâce à une protection et à une expertise adaptées, elles peuvent maintenir le fonctionnement des opérations critiques tout en bâtissant une entreprise plus résiliente et en tirant pleinement parti de la valeur de l’opération.