Questions d'entretien architecte infrastructure IT/OT, de l'usine à la DMZ

Sur un site industriel, l'infrastructure porte la supervision des machines, le MES, l'historian et les postes de conduite. L'architecte IT/OT la dessine : segmentation des réseaux selon le modèle Purdue et les zones de l'IEC 62443, DMZ industrielle, virtualisation des serveurs du site, accès à distance des fournisseurs, plan de reprise. Il travaille avec les automaticiens, la production et l'équipe sécurité, et rarement en terrain neuf.

Deux profils se présentent. L'architecte infrastructure venu de l'IT connaît la virtualisation, le stockage et les pare-feu, mais applique parfois des réflexes de datacenter : correctifs automatiques, scans actifs, tout centraliser au siège. L'ingénieur venu de l'automatisme connaît Profinet et le SCADA, et moins bien l'hyperviseur ou l'annuaire. Les offres récentes demandent les deux, souvent avec Fortinet ou Stormshield, un bastion type Wallix et Hyper-V ou VMware.

L'entretien s'appuie sur des situations vécues : une segmentation menée sans arrêter la production, un poste sous Windows 7 qu'on ne peut pas mettre à jour, un site qui doit tourner deux jours sans lien avec le groupe. Le PDF couvre l'entretien complet en 30 questions, avec un cas de site à raccorder.

Normes, réseaux et outils d'une infrastructure de site industriel

Modèle Purdue et ISA-95

Le découpage de référence d'une usine en niveaux, des capteurs (niveau 0) au SI de gestion (niveaux 4 et 5), avec une DMZ industrielle entre les deux. Tous les candidats le citent. Les bons savent y placer un historian, un annuaire ou une passerelle IIoT, et connaissent ses limites.

IEC 62443

La série de normes de cybersécurité des systèmes d'automatisme industriels. Pour l'architecte, les parties 3-2 (analyse de risque, zones et conduits) et 3-3 (exigences et niveaux de sécurité du système) comptent le plus. La partie 2-4 encadre les intégrateurs et le rapport technique 2-3 la gestion des correctifs.

DMZ industrielle

La zone tampon entre le réseau du site et le SI du groupe. Elle héberge les relais de mises à jour, les serveurs d'échange avec l'ERP, les répliques d'historian et le point d'entrée des accès distants. Aucun flux ne devrait la traverser de bout en bout.

Profinet, Modbus TCP, EtherNet/IP

Les protocoles de terrain entre automates et périphériques. Profinet temps réel circule au niveau 2 et ne se route pas, Modbus TCP n'a aucune authentification. Ces propriétés dictent la façon de découper le réseau et de filtrer les flux.

OPC UA

Le standard d'échange entre machines, SCADA et MES. Il sait authentifier et chiffrer, à condition de gérer des certificats sur des centaines d'équipements, ce qui relève de l'architecture.

Virtualisation de site (Hyper-V, VMware vSphere, hyperconvergence)

Les serveurs SCADA, MES et historian tournent souvent en VM sur un petit cluster local. Le choix dépend des matrices de compatibilité des éditeurs industriels, des licences et des clés USB, et de ce que l'équipe du site sait exploiter.

Pare-feu industriels et bastion (Fortinet, Stormshield, Wallix)

Les pare-feu filtrent les conduits entre zones, souvent avec une inspection des protocoles industriels. Le bastion trace et limite les accès des fournisseurs et des administrateurs, session par session.

Sondes de détection OT (Claroty, Nozomi Networks)

Des sondes passives branchées sur des ports miroirs. Elles découvrent les équipements, alimentent l'inventaire et signalent les comportements anormaux. L'architecte prévoit leur emplacement et la remontée vers le SOC.

Le poste existe chez les industriels qui modernisent leurs sites, chez les intégrateurs d'automatisme et dans les ESN qui ont une offre OT. Selon l'organisation, l'architecte IT/OT rattache ses sites au SI du groupe, prépare une mise en conformité de cybersécurité ou standardise l'infrastructure de plusieurs usines. Le travail se fait souvent sur site et au rythme des arrêts de production, qui sont les seules fenêtres pour les gros changements. Les certifications ISA/IEC 62443 ou GICSP attestent les connaissances de sécurité industrielle. L'expérience d'un réseau d'usine en exploitation se vérifie en entretien.

Six compétences attendues d'un architecte IT/OT

• Segmentation réseau, zones et conduits
• Infrastructure de site et virtualisation
• Disponibilité et autonomie d'un site
• Sécurité industrielle et accès distants
• Correctifs, obsolescence et supervision
• Flux entre le SI de gestion et l'usine

Cinq questions d'entretien et les réponses attendues

Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.

1. Question 1 · confirmé

   Une usine a un seul réseau à plat : bureautique, SCADA et automates dans le même VLAN. Par où commencez-vous la segmentation sans arrêter la production ?

   Une bonne réponsePar l'inventaire des équipements et des flux réels, relevé en écoute passive sur un port miroir pendant plusieurs semaines, sans scan actif. Viennent ensuite le découpage en zones selon la fonction et la criticité (l'analyse de risque de l'IEC 62443-3-2), puis des pare-feu posés d'abord en mode journalisation pour vérifier la matrice de flux. Le blocage se fait cellule par cellule, pendant un arrêt planifié, avec l'automaticien du site à côté.

   Signal d'alerte« Je crée des VLAN et je bloque tout ce qui n'est pas autorisé dès lundi. » Un scan Nmap lancé sur le réseau des automates, ou un VLAN présenté comme une barrière de sécurité à lui seul.

2. Question 2 · confirmé

   Le SCADA, l'historian et le MES d'un site tournent sur six vieux serveurs physiques. On vous demande de les virtualiser. Que vérifiez-vous avant de proposer une architecture ?

   Une bonne réponseLes matrices de compatibilité des éditeurs (versions d'hyperviseur supportées, conditions de support), les licences liées au matériel, les clés USB et les cartes de communication de bus de terrain qui ne se virtualisent pas. Puis le dimensionnement, au moins deux hôtes ou un petit cluster hyperconvergé avec témoin, la séparation des zones sur l'hyperviseur, la sauvegarde et ce que l'équipe du site sait exploiter. Les VM restent sur le site, pas au datacenter du groupe.

   Signal d'alerte« Je fais du P2V et je mets tout sur le cluster de l'IT. » Une architecture qui dépend du lien WAN, ou qui oublie le support de l'éditeur.

3. Question 3 · confirmé

   Le cahier des charges impose que le site produise deux jours sans aucun accès au datacenter du groupe. Quels services gardez-vous sur place, et comment le prouvez-vous ?

   Une bonne réponseTout ce dont la production a besoin : annuaire, DNS et heure locaux pour la zone OT, SCADA, MES et historian sur place, impression des étiquettes et des ordres de fabrication, serveurs de licences qui ne dépendent pas d'un serveur central ou qui tolèrent une période de grâce. Les échanges avec l'ERP s'accumulent dans une file et repartent au retour du lien. Une procédure de mode dégradé est écrite, puis prouvée par un essai avec le lien coupé, mené avec la production pendant un arrêt ou une période calme.

   Signal d'alerte« Tout est au siège, on attend. » Une réponse qui oublie l'authentification des opérateurs ou les licences.

4. Question 4 · confirmé

   Un fournisseur de machines doit pouvoir intervenir à distance sur ses automates. Comment organisez-vous cet accès ?

   Une bonne réponsePas de routeur 4G posé dans l'armoire ni de logiciel de prise en main installé sur un poste de conduite. L'accès passe par la DMZ industrielle : VPN ou portail, authentification multifacteur, bastion (Wallix ou équivalent) avec comptes nominatifs et sessions enregistrées. L'ouverture se fait à la demande, validée par le site, pour une durée limitée et vers la seule machine concernée.

   Signal d'alerte« On lui laisse le VPN ouvert en permanence. » Un compte partagé par toute l'équipe du fournisseur.

5. Question 5 · confirmé

   Les postes de conduite tournent sous Windows 7 et l'éditeur du SCADA ne certifie aucune version plus récente. Que proposez-vous ?

   Une bonne réponsePas de mise à jour forcée. Le candidat isole les postes dans une zone dédiée, sans Internet ni messagerie, bloque les ports USB, applique une liste blanche d'applications, garde des images de sauvegarde et surveille le réseau. En parallèle, il construit la trajectoire : montée de version du SCADA négociée avec l'éditeur, budget, planification sur un arrêt. Virtualiser l'OS peut aider à sortir d'un matériel en fin de vie.

   Signal d'alerte« On passe tout en Windows 11 ce week-end. » Ou « c'est isolé, on laisse comme ça ».

Architecte IT/OT, les questions fréquentes

Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.