Shadow OT
Recognize itLe reconnaîtreReconocerlo

You do not need a factory to have OTPas besoin d’une usine pour avoir des TONo hace falta una fábrica para tener OT

Operational technology runs in offices, hospitals, warehouses, campuses and stores as well as plants and utilities. Recognizing where it lives, and how it slips outside formal visibility, is the first step.Les technologies opérationnelles fonctionnent dans les bureaux, les hôpitaux, les entrepôts, les campus et les commerces, autant que dans les usines et les services publics. Reconnaître où elles se trouvent, et comment elles échappent à la visibilité formelle, est la première étape.La tecnología operativa funciona en oficinas, hospitales, almacenes, campus y tiendas, además de en plantas y servicios públicos. Reconocer dónde está, y cómo escapa a la visibilidad formal, es el primer paso.

OT is everywhereLes TO sont partoutLa OT está en todas partes

Where to lookOù regarderDónde buscar

ManufacturingFabricationFabricación

Industrial controllers, robotics, production instrumentation and process-control equipment.Automates industriels, robotique, instrumentation de production et équipements de contrôle de procédés.Controladores industriales, robótica, instrumentación de producción y equipos de control de procesos.

Buildings and facilitiesBâtiments et installationsEdificios e instalaciones

HVAC and building automation, elevators, lighting, environmental monitoring and physical access control.CVC et automatisation du bâtiment, ascenseurs, éclairage, surveillance environnementale et contrôle d’accès physique.Climatización y automatización de edificios, ascensores, iluminación, monitoreo ambiental y control de acceso físico.

InfrastructureInfrastructuresInfraestructura

Pumps, substations, water and wastewater treatment, supervisory controls and field equipment.Pompes, postes électriques, traitement de l’eau et des eaux usées, systèmes de supervision et équipements de terrain.Bombas, subestaciones, tratamiento de agua potable y residual, sistemas de supervisión y equipos de campo.

Healthcare and institutionsSanté et établissementsSalud e instituciones

Critical environmental systems, backup power, medical gases and specialized equipment.Systèmes environnementaux critiques, alimentation de secours, gaz médicaux et équipements spécialisés.Sistemas ambientales críticos, energía de respaldo, gases medicinales y equipos especializados.

Transport and logisticsTransport et logistiqueTransporte y logística

Conveyors, sortation, cold chain, fueling, signaling and airport or port systems.Convoyeurs, tri, chaîne du froid, ravitaillement, signalisation et systèmes aéroportuaires ou portuaires.Cintas transportadoras, clasificación, cadena de frío, abastecimiento de combustible, señalización y sistemas de aeropuertos o puertos.

And many moreEt bien d’autresY muchos más

Data centers, agriculture, retail, hospitality, education and government facilities all run sector-specific operational assets.Centres de données, agriculture, commerce de détail, hôtellerie, éducation et installations publiques exploitent tous des actifs opérationnels propres à leur secteur.Centros de datos, agricultura, comercio minorista, hostelería, educación e instalaciones públicas operan activos operativos propios de su sector.

Key messageMessage cléMensaje claveAn organization does not need to operate a factory or a utility to have OT.Une organisation n’a pas besoin d’exploiter une usine ou un service public pour avoir des TO.Una organización no necesita operar una fábrica ni un servicio público para tener OT.

Cartoon sticker: a raccoon in a hard hat and safety vest, holding a flashlight and an investigation checklist, at a quarry with signs reading Not on the diagram, Rogue wireless sensor and Definitely not SCADA.
A quarry: conveyors, crushers and the controllers that run them.Une carrière : convoyeurs, concasseurs et les automates qui les commandent.Una cantera: cintas, trituradoras y los controladores que las mueven.
Cartoon sticker: a Shadow OT Hunter with a magnifying glass in a distillery, past a copper still, a mystery wireless gateway and a controller labeled Unauthorized still controller.
A distillery: fermentation, temperature and process control. Illustrations are humorous and are not a characterization of operational staff.Une distillerie : fermentation, température et contrôle de procédé. Ces illustrations sont humoristiques et ne visent pas le personnel opérationnel.Una destilería: fermentación, temperatura y control de procesos. Las ilustraciones son humorísticas y no retratan al personal operativo.
Root causesCauses profondesCausas de fondo

How Shadow OT comes into existenceComment naît le Shadow OTCómo surge el Shadow OT

Most origins are ordinary, and many are legitimate.La plupart des origines sont ordinaires, et beaucoup sont légitimes.La mayoría de los orígenes son corrientes, y muchos son legítimos.

Bought to meet an immediate needAcheté pour répondre à un besoin immédiatComprado para una necesidad inmediata

Operations, facilities or engineering purchased equipment directly to keep work moving.Les opérations, les installations ou l’ingénierie ont acheté l’équipement directement pour que le travail continue.Operaciones, instalaciones o ingeniería compraron el equipo directamente para que el trabajo siguiera.

Installed and maintained by a vendorInstallé et entretenu par un fournisseurInstalado y mantenido por un proveedor

Vendor-installed or contractor-maintained systems sit outside corporate asset records.Des systèmes installés par un fournisseur ou entretenus par un sous-traitant restent hors des registres d’actifs de l’entreprise.Sistemas instalados por un proveedor o mantenidos por un contratista quedan fuera de los registros de activos de la empresa.

InheritedHéritéHeredado

Acquisitions, plant expansions, facility transitions and legacy projects bring assets nobody fully documented.Acquisitions, agrandissements, transferts d’installations et anciens projets apportent des actifs que personne n’a entièrement documentés.Adquisiciones, ampliaciones de planta, traspasos de instalaciones y proyectos antiguos aportan activos que nadie documentó por completo.

Temporary became permanentLe temporaire est devenu permanentLo temporal se volvió permanente

Emergency repairs, temporary connections and pilot projects stayed in service.Réparations d’urgence, connexions temporaires et projets pilotes sont restés en service.Reparaciones de emergencia, conexiones temporales y proyectos piloto siguieron en servicio.

Changed locallyModifié localementCambiado localmente

Engineering changes or local support arrangements never reached central documentation.Des modifications d’ingénierie ou des ententes de soutien locales n’ont jamais atteint la documentation centrale.Cambios de ingeniería o acuerdos de soporte locales nunca llegaron a la documentación central.

The process did not fitLe processus n’était pas adaptéEl proceso no encajaba

Standards, procurement approval and change control were absent, too slow or mismatched to operational reality.Normes, approbation des achats et gestion des changements étaient absentes, trop lentes ou mal adaptées à la réalité opérationnelle.Las normas, la aprobación de compras y el control de cambios no existían, eran demasiado lentos o no se ajustaban a la realidad operativa.

Key messageMessage cléMensaje claveShadow OT frequently reveals a gap between the way work gets done and the way an organization governs technology.Le Shadow OT révèle souvent un écart entre la façon dont le travail se fait et la façon dont l’organisation gouverne ses technologies.El Shadow OT revela a menudo una brecha entre cómo se hace el trabajo y cómo la organización gobierna la tecnología.

Warning signsSignes avant-coureursSeñales de alerta

Clues that something is outside the pictureDes indices que quelque chose échappe au portraitIndicios de que algo queda fuera del panorama

None of these proves a problem. Each is a good reason to ask a friendly question.Aucun de ces indices ne prouve un problème. Chacun est une bonne raison de poser une question bienveillante.Ninguno de estos indicios demuestra un problema. Cada uno es un buen motivo para hacer una pregunta amable.

  • No one can say who owns a controller, panel or appliance that clearly matters.Personne ne peut dire à qui appartient un automate, un tableau ou un appareil manifestement important.Nadie sabe decir quién es responsable de un controlador, un tablero o un equipo que claramente importa.
  • Vendor invoices or service visits refer to equipment that is not in any inventory.Des factures ou des visites de fournisseurs mentionnent des équipements absents de tout inventaire.Facturas o visitas de proveedores mencionan equipos que no figuran en ningún inventario.
  • Remote-support tools, cellular modems or wireless links exist that IT and security have never seen.Il existe des outils de soutien à distance, des modems cellulaires ou des liaisons sans fil que l’informatique et la sécurité n’ont jamais vus.Existen herramientas de soporte remoto, módems celulares o enlaces inalámbricos que TI y seguridad nunca han visto.
  • Network diagrams show “unknown” devices, or none of the facilities systems at all.Les schémas réseau montrent des appareils « inconnus », ou aucun des systèmes des installations.Los diagramas de red muestran dispositivos “desconocidos”, o ninguno de los sistemas de las instalaciones.
  • Spare parts are bought for systems that do not appear in asset records.On achète des pièces de rechange pour des systèmes qui ne figurent pas dans les registres d’actifs.Se compran repuestos para sistemas que no aparecen en los registros de activos.
  • Continuity and incident response plans leave out the building, plant or field systems the business depends on.Les plans de continuité et de réponse aux incidents omettent les systèmes du bâtiment, de l’usine ou du terrain dont l’entreprise dépend.Los planes de continuidad y respuesta a incidentes omiten los sistemas del edificio, la planta o el campo de los que depende el negocio.
  • Local folklore: “Don’t touch that box, it runs line 3.”Le folklore local : « Ne touche pas à ce boîtier, il fait tourner la ligne 3. »El folclore local: “No toques esa caja, mueve la línea 3.”
Self-assessmentAutoévaluationAutoevaluación

Could your organization have Shadow OT?Votre organisation pourrait-elle avoir du Shadow OT ?¿Podría su organización tener Shadow OT?

Six plain questions. Answer for the part of the organization you know best. Your answers are scored in your browser and are never stored or sent anywhere.Six questions simples. Répondez pour la partie de l’organisation que vous connaissez le mieux. Vos réponses sont évaluées dans votre navigateur et ne sont jamais conservées ni transmises.Seis preguntas sencillas. Responda pensando en la parte de la organización que mejor conoce. Sus respuestas se evalúan en su navegador y nunca se guardan ni se envían.

01Can you identify the OT assets that support your key physical processes and facilities?Pouvez-vous repérer les actifs TO qui soutiennent vos principaux procédés physiques et installations ?¿Puede identificar los activos de OT que sostienen sus principales procesos físicos e instalaciones?
02Does every known OT asset have a recognized business or operational owner?Chaque actif TO connu a-t-il un responsable d’affaires ou opérationnel reconnu ?¿Cada activo de OT conocido tiene un responsable de negocio u operativo reconocido?
03Are facilities, engineering and vendor-managed systems included in your authoritative inventories?Les systèmes des installations, de l’ingénierie et ceux gérés par des fournisseurs figurent-ils dans vos inventaires de référence ?¿Los sistemas de instalaciones, de ingeniería y los gestionados por proveedores están incluidos en sus inventarios de referencia?
04Can you identify which third parties can remotely support or access OT?Pouvez-vous dire quels tiers peuvent assurer un soutien à distance ou accéder aux TO ?¿Puede identificar qué terceros pueden dar soporte remoto a la OT o acceder a ella?
05Are changes, replacements and purchases routinely reflected in asset records?Les changements, remplacements et achats sont-ils systématiquement reportés dans les registres d’actifs ?¿Los cambios, reemplazos y compras se reflejan sistemáticamente en los registros de activos?
06Do your continuity and incident response plans reflect operational dependencies?Vos plans de continuité et de réponse aux incidents tiennent-ils compte des dépendances opérationnelles ?¿Sus planes de continuidad y de respuesta a incidentes reflejan las dependencias operativas?
AnsweredRéponsesRespondidas 0 / 6

Visibility establishedVisibilité établieVisibilidad establecida

You appear to have a solid foundation. The work now is keeping it current: reconcile records regularly, link procurement and engineering change to the inventory, and check that new sites and vendors are brought in.Vous semblez disposer d’une base solide. Le travail consiste maintenant à la tenir à jour : rapprocher les registres régulièrement, lier les achats et les modifications d’ingénierie à l’inventaire, et veiller à intégrer les nouveaux sites et fournisseurs.Parece que cuenta con una base sólida. Ahora se trata de mantenerla al día: conciliar los registros con regularidad, vincular las compras y los cambios de ingeniería al inventario y asegurarse de incorporar los nuevos sitios y proveedores. Measures that helpDes indicateurs utilesIndicadores útiles

Visibility uncertainVisibilité incertaineVisibilidad incierta

Some areas are clear and others are not. That is the most common result. A small, safety-aware pilot at one site, built on conversations and records, will tell you a great deal quickly.Certains domaines sont clairs, d’autres non. C’est le résultat le plus courant. Un petit projet pilote prudent sur un seul site, fondé sur des entretiens et des registres, vous en apprendra beaucoup, rapidement.Algunas áreas están claras y otras no. Es el resultado más habitual. Un pequeño piloto prudente en un solo sitio, basado en conversaciones y registros, le enseñará mucho en poco tiempo. Find it safelyLe trouver sans risqueEncontrarlo con seguridad

Significant gaps to investigateLacunes importantes à examinerBrechas importantes que investigar

There are likely operational assets the organization cannot yet see. That is a finding about governance, not about anyone’s conduct. Start by securing a business sponsor and agreeing on scope.Il existe probablement des actifs opérationnels que l’organisation ne voit pas encore. C’est un constat sur la gouvernance, pas sur la conduite de qui que ce soit. Commencez par obtenir un parrain dans l’entreprise et convenir de la portée.Probablemente haya activos operativos que la organización todavía no ve. Es una conclusión sobre la gobernanza, no sobre la conducta de nadie. Empiece por conseguir un patrocinador en el negocio y acordar el alcance. The first 90 daysLes 90 premiers joursLos primeros 90 días

The interactive version needs JavaScript. You can still use the six questions above as a discussion checklist: count Yes as 2, Partly as 1, and No or not sure as 0. A total of 10 to 12 suggests visibility is established, 5 to 9 that it is uncertain, and 0 to 4 that there are significant gaps to investigate.La version interactive nécessite JavaScript. Vous pouvez tout de même utiliser les six questions comme liste de discussion : comptez Oui pour 2, En partie pour 1, et Non ou incertain pour 0. Un total de 10 à 12 indique une visibilité établie, de 5 à 9 une visibilité incertaine, et de 0 à 4 des lacunes importantes à examiner.La versión interactiva necesita JavaScript. Aun así, puede usar las seis preguntas como lista de conversación: cuente Sí como 2, En parte como 1, y No o no estoy seguro como 0. Un total de 10 a 12 sugiere visibilidad establecida, de 5 a 9 visibilidad incierta, y de 0 a 4 brechas importantes que investigar.

A self-assessment is a conversation starter. It is not a certification, an audit opinion or evidence of wrongdoing.Une autoévaluation sert à amorcer la discussion. Ce n’est ni une certification, ni une opinion d’audit, ni une preuve de faute.Una autoevaluación sirve para iniciar la conversación. No es una certificación, ni una opinión de auditoría, ni prueba de ninguna falta.