Comment SAP Cloud ERP devient le socle de votre résilience industrielle
Interview croisée avec Laurent Galvani, Expert Cybersécurité chez Fidens by TVH Consulting, pour le retour terrain et Marc Takabachet, Expert SAP Finance & Risques chez SAP France, pour l’éclairage SAP.
Deux expertises complémentaires, un même terrain d’observation : l’industrie manufacturière est aujourd’hui l’une des cibles prioritaires des cyberattaques, et les systèmes ERP sont au cœur de cette exposition.
L’industrie manufacturière en première ligne
Laurent Galvani : Le panorama annuel de l’ANSSI est formel : les cyberattaques visant le secteur industriel ont progressé de plus de 50 % en un an. Ce n’est plus un sujet de niche réservé aux grandes entreprises ou aux infrastructures critiques. C’est une réalité quotidienne pour des PME et ETI de 200, 300, 500 collaborateurs.
Ce qui a changé, c’est la nature des attaques. On ne parle plus d’intrusions spectaculaires ciblant une organisation précise. On parle de scans automatisés, alimentés par l’IA, qui parcourent en permanence les systèmes exposés comme des filets opportunistes. Ils ne cherchent pas une entreprise en particulier. Ils cherchent une porte entrouverte. Et dans beaucoup d’usines, elle existe.
La durée moyenne pour redémarrer un environnement industriel après un ransomware est de 21 jours. Vingt et un jours sans produire, sans livrer, sans facturer. Et les impacts ne sont pas que financiers, ils sont réputationnels, juridiques, opérationnels. Tout s’accumule en même temps.
Marc Takabachet : Les environnements SAP ne font pas exception. Les chiffres parlent d’eux-mêmes.
- +400 % de ransomwares ciblant des systèmes SAP depuis 2021
- 35 % des organisations peinent à appliquer les correctifs de sécurité SAP de base
- 8,52/10 niveau de risque de pénétration de données sur les instances SAP
SAP porte vos systèmes les plus critiques : finance, supply chain, production, facturation. C’est là que se trouvent les données les plus sensibles. C’est donc naturellement là que les attaquants concentrent leurs efforts.
Une crise cyber en usine, ce n’est pas une crise informatique comme les autres
Laurent Galvani : C’est un point essentiel à comprendre. Quand l’ERP tombe, ce n’est pas un serveur bureautique qui est indisponible. C’est toute la chaîne opérationnelle qui se bloque simultanément : production, bons de livraison, traçabilité, facturation. L’organisation perd sa capacité à produire, à livrer, à facturer en même temps.
L’effet domino est implacable. L’ERP est indisponible, la production s’arrête, le chiffre d’affaires diminue, les clients s’impatientent et certains partent.
La question revient souvent dans nos échanges avec les industriels : combien coûte réellement une cyberattaque pour une PME industrielle ? La réponse dépend du secteur et de la taille de l’organisation mais les ordres de grandeur sont éloquents. Pour une entreprise de 320 collaborateurs dans la mécanique de précision, le coût d’un arrêt ERP a été calculé à 180 000 euros par jour. Multiplié par 21 jours, durée moyenne de redémarrage après un ransomware, le résultat parle de lui-même.
Et c’est pour ça qu’il faut absolument se poser la question en amont : si une partie ou la totalité de notre système d’information tombe, qu’est-ce qu’on fait, et dans quelle mesure peut-on continuer à fonctionner ?
La porosité croissante entre les systèmes IT et OT aggrave encore le phénomène. Là où il existait autrefois une séparation nette entre l’informatique bureautique et l’informatique industrielle — MES, SCADA, automates —, les frontières ont progressivement disparu. Parce qu’on a besoin de données en temps réel, de visibilité globale, de connexions entre les systèmes. C’est une avancée opérationnelle réelle. Mais c’est aussi une surface d’attaque élargie. Une intrusion d’un côté peut se propager de l’autre et inversement. Et plus on expose ses systèmes via des portails web ou des connexions partenaires, plus on multiplie les points d’entrée potentiels.
Marc Takabachet : Pour illustrer l’ampleur que peut prendre une telle crise, l’exemple de Jaguar Land Rover en 2025 est parlant et il est public. L’entreprise a subi une cyberattaque majeure qui lui a coûté au bas mot 2 milliards de livres sterling. Cinq à six semaines d’arrêt opérationnel. Et ce ne sont pas seulement les systèmes internes qui ont été touchés : environ 10 000 prestataires connectés au système de Jaguar Land Rover ont été impactés dans la foulée.
C’est ça, la réalité d’une crise cyber dans l’industrie. Ce n’est pas seulement votre organisation qui est paralysée, c’est tout votre écosystème. Fournisseurs, sous-traitants, partenaires logistiques : tous ceux qui sont connectés à vos systèmes deviennent potentiellement vulnérables ou victimes collatérales.
REX : comment une PME industrielle a construit sa résilience en un mois
Laurent Galvani : Je vais vous partager un cas concret que nous avons mené récemment, une entreprise de mécanique de précision en région lyonnaise, 320 collaborateurs, 5 personnes à l’IT. Polyvalentes, pas spécialistes cyber. Un déploiement SAP Cloud ERP en cours.
Ils avaient eux-mêmes calculé leur exposition : 180 000 euros de perte par jour si leur ERP s’arrêtait. Ce chiffre leur appartenait, c’est eux qui l’avaient modélisé à partir de leur réalité opérationnelle. Et leur point de départ était simple et précis : « Si notre ERP tombe un lundi matin, on doit être capables de relancer la production avant midi. »
Nous avons travaillé en quatre étapes sur un mois.
Étape 1 — Le Business Impact Analysis (BIA)
En deux heures d’atelier avec une partie de l’organisation, nous avons identifié leur top 5 des processus vitaux : production, logistique, achats urgents (avec des besoins en J+1), expéditions, facturation. Puis les dépendances minimales côté SI : SAP Cloud ERP, le serveur de fichiers, l’Active Directory. Deux heures. Cinq processus. Trois systèmes. C’est tout ce dont on avait besoin pour commencer à construire.
Étape 2 — Un PCA simple, calibré pour 5 personnes
Pas un document de 80 pages. Trois fiches réflexes opérationnelles : comment remonter SAP, que faire si les fichiers sont inaccessibles, comment continuer à produire en mode dégradé. L’objectif n’était pas la perfection. C’était que cinq personnes non spécialistes sachent exactement quoi faire dans les premières minutes d’une crise.
Étape 3 — La valise de crise
Utilisable en 5 minutes, sans accès au SI. Elle contient : un annuaire papier (responsables SSI, métiers clés, prestataires, assureur cyber, autorités compétentes), des fiches réflexes pour les 5 et 30 premières minutes, des procédures dégradées pour continuer à travailler sans ERP, du matériel hors réseau (ordinateurs et téléphones de secours, clés USB chiffrées avec les procédures en accès offline), des canaux de communication alternatifs identifiés, des modèles de messages prêts à envoyer aux clients et partenaires et une cartographie d’urgence des dépendances lisible en 30 secondes.
Condition sine qua non : la valise est imprimée, disponible physiquement sur chaque site. Si le SI est intégralement compromis, elle doit fonctionner sans lui.
Le déploiement SAP Cloud ERP en cours a été un atout réel sur ce projet. Nous avons pu nous appuyer sur les fonctionnalités natives de continuité d’activité et de gestion des identités et des accès de SAP pour renforcer le dispositif : un travail conjoint entre les équipes Fidenssur la partie cyber et les équipes TVH Consulting sur la partie SAP.
Étape 4 — Le test en conditions quasi-réelles
En une heure, un scénario spécifique joué avec les équipes. L’objectif n’était pas de vérifier si SAP redémarre techniquement. C’était de tester le process organisationnel : qui prévient les clients ? Qui prend les décisions à chaque instant ? Qui communique en interne et en externe ? Les réflexes sont-ils là ? Les collaborateurs identifiés connaissent-ils leurs rôles et responsabilités ?
Ce que le test a révélé : les équipes ne savaient pas vraiment quoi faire dans les premières minutes. Pas parce qu’elles étaient incompétentes mais parce que personne n’avait jamais formalisé ni joué le scénario. C’est exactement pour ça qu’on teste avant, pas pendant.
Ce qui a changé concrètement
| Avant | Après |
| Pas de plan formalisé | Redémarrage en mode dégradé en moins de 3 heures |
| Durée d’arrêt inconnue | Perte financière maîtrisée sur accident majeur |
| Pas de critère de déclenchement | Cellule de crise activée en moins de 30 minutes |
| Processus vitaux non identifiés | Top 5 formalisé, documenté et testé |
| Équipes IT subissant la crise | Équipes IT confiantes, avec un plan à suivre |
Et au-delà des chiffres : la capacité à rassurer les clients, les assureurs, les partenaires. Montrer qu’en cas de situation défavorable, l’organisation sait quoi faire et ne perdra pas de temps à improviser.
« La problématique de base, c’était : si ça casse, je vais être sûr qu’on repart. L’exercice a obligé à prioriser, formaliser et tester. Aujourd’hui, la première heure de crise, c’est maîtrisée. »
Fragilités terrain, réponses SAP : deux regards croisés
Laurent Galvani : Dans nos missions chez Fidens by TVH Consulting, quatre fragilités reviennent de manière quasi-systématique, quelle que soit la taille de l’organisation.
1. Les habilitations empilées au fil des années
Des rôles SAP accordés sans revue systématique. Des utilisateurs qui voient plus qu’ils ne devraient. Des conflits fonctionnels qui passent inaperçus, un acheteur qui peut aussi valider une facture, par exemple. Dans une crise, ces droits mal calibrés brouillent les arbitrages au moment précis où on a besoin de clarté.
Marc Takabachet : C’est le premier pilier que SAP Cloud ERP adresse : une vraie gouvernance des accès : qui fait quoi, à quel moment, avec quels droits. On s’assure que les rôles sont bien gérés, qu’il n’y a pas de conflits fonctionnels, que la ségrégation des tâches est respectée. Et surtout, que les habilitations sont à jour et auditables à tout moment. C’est la base et c’est souvent là que tout commence.
2. Des sauvegardes qui n’ont jamais été testées
Laurent Galvani : Les mécanismes de sauvegarde existent, SAP Cloud propose d’ailleurs des solutions robustes sur ce point. Mais personne ne s’est assuré qu’elles fonctionneraient le jour J. Une sauvegarde qu’on n’a jamais testée, c’est une sauvegarde dont on ne sait pas si elle marche.
Marc Takabachet : C’est précisément ce que la détection des anomalies et les capacités de reprise natives de SAP Cloud ERP adressent. Des milliers, voire des millions de logs analysés en continu. Une visibilité exploitable pour le RSSI. Et quand chaque heure compte, ne pas perdre de temps à chercher ce qui s’est passé fait toute la différence.
3. Un PCA sur le papier jamais joué
Laurent Galvani : Le Plan de Continuité d’Activité a souvent été rédigé pour satisfaire une demande d’assureur. Mais il n’a jamais été testé. Les rôles et responsabilités ne sont pas connus. Et face à une vraie crise, on croit être préparé mais on ne l’est pas.
Marc Takabachet : SAP Cloud ALM répond directement à ce sujet : visibilité centralisée sur l’état de conformité du patrimoine SAP, gestion de la configuration technique, alignement avec les exigences normatives : RGPD, NIS2, réglementations sectorielles. C’est la couche qui permet de ne pas improviser.
4. Une cellule de crise inexistante ou non outillée
Laurent Galvani : Qui compose la cellule de crise ? Est-elle connue de ses membres ? A-t-on des canaux de communication de secours si la messagerie est compromise ? Ces questions semblent basiques. Dans la réalité d’une crise, elles font toute la différence entre une organisation qui maîtrise et une organisation qui subit.
Marc Takabachet : Les organisations qui ont le mieux résisté sont celles qui avaient une gouvernance claire, des sauvegardes testées et une connaissance précise de leurs dépendances applicatives. Ce ne sont pas forcément les plus grandes, ce sont les plus préparées.
Dans SAP, une idée reçue peut coûter très cher
23 % des clients SAP sont aujourd’hui en migration active vers le cloud, une proportion en croissance permanente. Ce mouvement est une opportunité réelle de renforcer la posture de sécurité. Mais il amène aussi de nouveaux réflexes à acquérir, notamment pour les DSI et RSSI qui doivent apprendre à piloter un périmètre cloud qu’ils ne surveillaient pas directement jusqu’ici.
Marc Takabachet : Il existe une confusion très répandue que je veux dissiper : « on est en cloud, donc SAP gère tout. » C’est faux et cette confusion peut avoir des conséquences graves.
Prenons une analogie simple. Imaginez un immeuble de bureaux. La plupart des systèmes de sécurité gèrent l’extérieur : les tentatives d’intrusion, les alertes périmètriques. Mais une fois que des personnes malveillantes sont entrées dans les bureaux, il faut des systèmes dédiés à l’intérieur pour détecter ce qui se passe, limiter les dégâts, et réagir. Sans ça, ils récupèrent les données et ressortent et vous ne le savez peut-être même pas.
Dans un modèle SAP Cloud Public, SAP prend en charge une part significative de la sécurité de l’infrastructure. Mais entre 30 et 40 % du spectre reste de la responsabilité du client. La gestion des utilisateurs, les rôles et habilitations, la ségrégation des tâches, les logs et la traçabilité des modifications dans le système : tout cela reste côté client, même en cloud. Ce n’est pas intuitif mais c’est la réalité du modèle de responsabilité partagée.
Migrer vers SAP Cloud ERP, c’est se doter d’un socle de sécurité nativement plus robuste. Mais ce n’est pas une délégation totale. C’est un point de départ, pas une destination.
Migrer vers SAP Cloud ERP, c’est aussi un acte de résilience
Marc Takabachet : Beaucoup d’ERP industriels fonctionnent mais au prix d’une complexité croissante qui rend la sécurité plus difficile à piloter. SAP Cloud ERP change la nature du débat : socle plus homogène, habilitations structurées, traçabilité native, reprise d’activité accélérée. Mais 30 à 40 % de la responsabilité reste côté client, même en cloud. C’est là qu’un intégrateur qui maîtrise à la fois SAP et la cybersécurité fait toute la différence.
Laurent Galvani : Dans l’industrie, la lisibilité est une forme de sécurité. Un flux mieux structuré se surveille mieux. Une habilitation plus claire se révise plus facilement. C’est pour ça que chez TVH Consulting, nous ne traitons pas ces sujets séparément, vous parlez à un seul interlocuteur, du diagnostic à la mise en œuvre.
Trois portes d’entrée pour commencer
Quelle que soit votre situation : ERP vieillissant, déploiement SAP Cloud en cours ou questionnement sur votre exposition cyber, trois points d’entrée permettent d’avancer rapidement.
Évaluation cyber flash en environnement industriel
Un état des lieux de votre exposition sur la base d’une grille structurée, un rapport et un plan d’action priorisé. Démarrage rapide, résultats en 2 à 3 semaines.
Exercice de gestion de crise
Définition d’un scénario sur mesure, jeu de l’exercice avec vos équipes, retour d’expérience et plan d’amélioration. Comme ce que nous avons fait avec notre client lyonnais.
Audit SAP sécurité et résilience
Cartographie des risques sur votre patrimoine SAP, analyse des rôles et habilitations, identification des correctifs prioritaires, recommandations personnalisées et feuille de route vers SAP Cloud ERP.
