Depuis plus de dix ans, les entreprises optimisent leurs processus et remplacent les anciennes méthodes de travail grâce à la transformation numérique. Pour beaucoup, la digitalisation est acquise, mais ce sujet est toujours d’actualité. Les limites de la numérisation ne cessent d’être repoussées et nous assistons actuellement au début de l'importante vague de changements qu'elle va apporter à la technologie opérationnelle (OT), avec l'industrie 4.0.
Ce faisant, nous assisterons à une convergence de la technologie de l’information (IT) et de la technologie opérationnelle (OT). Nous pouvons d’ores et déjà nous attendre à l’émergence d’un choc des cultures entre les professionnels de ces deux univers. Avec l'évolution vers le tout numérique, l'IT a développé un état d'esprit qui donne la priorité à l'agilité en trouvant de nouvelles façons de protéger et d'utiliser les données. Dans le domaine de l'OT, la disponibilité, la continuité et la fiabilité sont primordiales : pour les processus physiques critiques, même de brèves périodes d'interruption peuvent avoir des conséquences coûteuses (et potentiellement dangereuses).Trouver des solutions qui répondent simultanément à l'agilité et à la fiabilité représente donc un défi de taille.
Les cybermenaces dans l'espace physique
Alors que l'industrie 4.0 amène une convergence croissante entre l’IT et l’OT, les professionnels des deux mondes devront développer de nouvelles façons de se comprendre mutuellement et d’appréhender le système dans son ensemble, s'ils veulent acquérir le meilleur des deux approches en matière d'agilité et de stabilité. L’IT et l’OT ont une chose en commun : les données. L'un des plus grands défis de demain sera évidemment lié à la sécurité de celles-ci.
Tout comme nous interagissons avec de nombreux autres systèmes, l'interconnexion des systèmes IT et OT est motivée par le désir d'interagir avec l'OT via les données. Cela permet d'apporter les avantages du logiciel à l'OT - rapidité, agilité, gestion à distance -, anticipation et cela implique donc l’ajout de nouvelles capacités de mise en réseau et de traitement des opérations des entreprises au plus proche du lieu de génération de ces données (Edge computing).
Cependant, cela signifie également que les risques associés aux logiciels seront introduits dans les contextes OT. Les avantages de cette digitalisation ont des conséquences. Tous les acteurs du secteur doivent être conscients, dès le premier jour, que cette digitalisation entraînera des risques cyber nouveaux et plus importants. Si l'on n'y prête pas attention et qu'on ne les gère pas avec soin, les cyberattaques contre les chaînes de production, les infrastructures critiques des bâtiments, les réseaux d'électricité et de transport et les installations de traitement des eaux sont inévitables.
Il existe plusieurs exemples concrets et puissants d'OT utilisés dans des cyberattaques. En 2013 déjà, une attaque très médiatisée chez le détaillant américain Target a été réalisée via un accès distant à un système de chauffage, ventilation et climatisation (CVC), Ceci suscite des inquiétudes quant à la cybersécurité de la chaîne d'approvisionnement des fournisseurs de systèmes s’appuyant sur des réseaux de données d’infrastructure OT (dans ce cas, CVC).
Cette année encore, nous avons assisté à des attaques majeures impliquant un accès à distance à plusieurs systèmes OT dans des entreprises manufacturières et des services d'eau (par exemple à Oldsmar, en Floride, aux États-Unis).
D'autres attaques visant l’IT (par exemple, les rançongiciels) ont conduit à la fermeture de pipelines et à des pénuries de carburant dans l'est des États-Unis. Depuis l'attaque Stuxnet en 2010, la première attaque majeure visant les systèmes de contrôle industriel (ICS), les attaques visant les systèmes non IT ont évolué.
Comme le montrent ces exemples, l’IT et l’OT sont déjà profondément interdépendantes l'une de l'autre, même si les professionnels travaillant dans ces domaines peinent parfois à l’admettre. Au fur et à mesure que les deux infrastructures convergent, les possibilités d'attaques de ce type augmentent. Il est donc nécessaire d'adopter une nouvelle vision de la cybersécurité, qui tienne compte des aspects physiques et virtuels, ainsi que des besoins de stabilité et d'agilité requis par les infrastructures à protéger.
People, processus, technologie : les trois piliers de la cyber-résilience
Pour un défi technologique tel que celui-ci, il est logique de se tourner dans un premier temps vers une solution exclusivement technologique. En effet, il existe d’ores et déjà des outils et des systèmes offrant les services de cybersécurité tels que les pares-feux et les solutions de surveillance pour les systèmes OT ou IT. Mais la technologie seule n'est pas suffisante. Elle fournit un ensemble d'outils qui doivent être correctement mis en œuvre et utilisés par des personnes formées dans le cadre de processus cyber.
La cybersécurité des systèmes OT ne peut pas reposer uniquement sur la technologie. Il est important que les équipes historiquement distinctes de la partie IT travaillent étroitement pour acquérir l’apprentissage nécessaire dans l'application de la technologie pour résoudre les problèmes liés à l’OT. Ainsi, la première étape de cette cyber-résilience étendue implique également les collaborateurs. Elle débute par la mise en place de formations spécifiques pour l’ensemble des effectifs afin d'instaurer un langage commun et partager les bonnes pratiques pour limiter l’impact de ces nouvelles menaces.
La deuxième étape consiste à examiner attentivement les processus et à définir les changements à apporter. Les systèmes de supervision et de contrôle sont probablement différents selon qu'il s'agit de superviser une infrastructure informatique ou de type OT - ils recueillent des données de nature différentes à des cadences différentes et suivent des plans de réponse et de reprise d’activité différents. L'expérience montre que l'action organisationnelle contre les cyberattaques doit être cohérente pour être efficace, ce qui exige une planification collective. Cela doit également s'étendre aux partenaires et aux sous-traitants : des procédures de connexion unifiées, des normes de gestion des accès et d'autres pratiques organisationnelles sont par conséquent essentielles.
Après ces deux premiers piliers, la technologie constitue le troisième pilier d’une stratégie de cyber résilience efficace. Tout au long d'une initiative de digitalisation industrielle, il est important d'auditer les interfaces des équipements connectés, en comprenant précisément détail quelles sont les connexions avec le réseau d’entreprise. Avec une description précise de la nouvelle infrastructure, il est alors possible de mettre en œuvre les autorisations d’accès et les défenses aux limites appropriées. Ces équipements doivent également être fournis par des fournisseurs qui intègrent les normes de cybersécurité spécifiques au domaine d'activité de l’entreprise, telles que la norme IEC 62443 pour les systèmes de contrôle industriels.
Afin de préserver la continuité d’activité de l’entreprise sur ces infrastructures aussi bien IT qu’OT, il est primordial de bâtir une vision holistique recouvrant l’intégralité de la surface d’attaque que représentent ces infrastructures IT et OT. Enfin, une gestion concertée des 3 aspects (les personnels, les processus et la technologie déployée), permettra à l'industrie 4.0 de préserver la continuité de service liée à l’agilité requise dans un environnement où les menaces cyber sont omniprésentes.
Par Eric Rueda, Responsable du développement commercial zone EMEA chez Eaton
