Pour réussir la mise en œuvre de la cybersécurité dans un environnement de technologies opérationnelles (TO), il faut prendre en compte les défis physiques, culturels et organisationnels qui lui sont propres. Ce n’est qu’à cette seule condition que l’on peut élaborer une approche pratique et efficace à laquelle les équipes des TO adhéreront.

Il est particulièrement important de surmonter ces obstacles dans le secteur manufacturier et les services publics, où un arrêt des opérations provoqué par une cyberattaque peut toucher les infrastructures nationales essentielles et les chaînes d’approvisionnement mondiales.  

Forts de notre expérience mondiale en matière de cybersécurité au sein des environnements de TO, nous présentons dans cet article des recommandations à l’intention des professionnels des opérations, des TI et de la sécurité. Celles-ci visent à proposer un processus de mise en œuvre simple, répondant aux exigences de défense des TO et adapté aux équipes de TO.

Réduire les cyberrisques dans le secteur des technologies opérationnelles (TO) grâce aux enseignements tirés des technologies de l’information (TI) – Combler les failles de sécurité

Les organisations dotées de fonctions de TO ont souvent déployé, au fil des ans, des structures organisationnelles dans lesquelles les TI et les TO fonctionnent séparément, créant des silos de responsabilité.

L’une des principales raisons de l’intégration des technologies de l’information et des technologies opérationnelles est le volume et la richesse des données dans les environnements de TO. Ces données alimentent les analyses avancées, ce qui permet d’obtenir des renseignements précieux et de prendre de meilleures décisions. Ainsi, les jumeaux numériques et d’autres technologies permettent aux organisations d’améliorer leur efficacité opérationnelle et de réaliser des économies grâce à la maintenance prédictive ou à d’autres stratégies basées sur des scénarios.

Non seulement l’approche traditionnelle cloisonnée prive les entreprises de précieuses perspectives liées à l’intelligence d’affaires, mais elle peut aussi engendrer des failles dans la cybersécurité globale, rendant l’infrastructure essentielle des TO potentiellement vulnérable aux cyberattaques. Il est fondamental de reconnaître que de tels incidents sont désormais inévitables. Adopter une approche unifiée signifie mettre en place des mesures de cybersécurité cohérentes dans les deux domaines, afin de protéger à la fois les infrastructures essentielles des technologies opérationnelles et les infrastructures critiques des technologies de l’information contre les cybermenaces.

S’il est crucial de protéger ces deux domaines, les TI ont bénéficié de nombreuses années d’expérience dans la lutte contre les cyberattaques, ce qui leur a permis de développer des techniques efficaces pour atténuer les menaces et limiter l’impact des attaques malveillantes. De leur côté, les technologies opérationnelles s’efforcent de rattraper leur retard sur les avancées des TI, en adaptant leurs principes aux exigences et aux spécificités uniques des environnements TO.

Sécuriser vos TO : les premières étapes

Il est largement admis que les mesures de protection les plus efficaces reposent sur :

  • l’identification des actifs;
  • l’évaluation de leur vulnérabilité afin de comprendre les risques de violation;
  • la priorisation des mesures collectives;
  • l’élaboration d’un plan d’action en cas d’incident grave.

Des normes telles que la NIST SP 800-82 R2 et l’IEC62443 encadrent la mise en œuvre de ces contrôles de sécurité. Elles proposent des méthodes éprouvées pour sécuriser une infrastructure de TO, notamment :

  • la limitation de l’accès au réseau et à l’activité du réseau par l’entremise de « zones démilitarisées » (DMZ) et de pare-feu;
  • l’application des autorisations et l’installation de logiciels antivirus;
  • la mise en place de solutions de restauration des systèmes en cas d’incident.

Par où commencer la mise en œuvre de la cybersécurité?

La cybersécurité des TO commence par une compréhension approfondie de votre environnement. Sans cette connaissance de base, il est impossible de garantir que les mesures de cybersécurité mises en place seront suffisamment fiables pour protéger vos systèmes de TO vitaux.

Ce processus d’analyse se déroule en cinq étapes.

1. Identifier les éléments connectés à vos réseaux

Cela consiste simplement à ajouter un capteur permettant d’écouter passivement votre environnement. Activer l’écoute passive signifie étendre le port du commutateur au réseau local, afin que le capteur puisse détecter les différents types d’adresses circulant sur votre environnement et corréler les identifiants de contrôle d’accès aux supports (MAC).

Dans certains cas, une analyse active peut s’avérer plus efficace, mais elle présente un risque si certains dispositifs ne réagissent pas bien aux interrogations. Il est donc important de comparer les avantages de cette méthode aux risques qu’elle engendre pour établir un inventaire précis des actifs. La logistique de l’analyse passive sur un grand nombre de sites doit également être prise en compte.

2. Effectuer une inspection physique

L’analyse passive du réseau constitue un bon point de départ, mais il est essentiel de la compléter par une inspection physique afin de recenser l’ensemble des actifs matériels. Pour bien comprendre votre environnement, il est indispensable de comparer votre inventaire d’actifs numériques et physiques avec les éléments détectés par le capteur.

L’un des défis majeurs de ce processus est d’apprendre à distinguer ce qui est connecté via le réseau de ce qui est présent sur le terrain. Cette analyse permet d’identifier les lacunes du réseau, notamment :

  • les équipements au sol non connectés à un réseau local;
  • les équipements au sol absents de votre inventaire;
  • les réseaux et les appareils déjà surveillés par les capteurs existants;
  • les réseaux qui ne sont actuellement pas couverts par des capteurs.

3. Identifier et classer les appareils

Cette étape consiste à examiner la liste des appareils détectés afin d’identifier ceux qui ne disposent pas d’une adresse MAC déclarée. Il s’agit également de classer tous les appareils par catégories, telles que les appareils industriels, les imprimantes, les points d’accès, les postes de travail et les appareils sous-identifiés nécessitant une analyse plus approfondie. Dans certains cas, vous pourriez même découvrir qu’un appareil non autorisé a été installé, comme un Raspberry Pi ou un prolongateur/répéteur WiFi.  

4. Évaluer la connectivité Internet

À ce stade, votre dispositif de surveillance commencera à signaler d’éventuelles failles de sécurité, notamment la présence d’appareils pouvant se connecter à Internet. Il n’est pas rare de découvrir que de nombreux appareils sont connectés à Internet à l’insu des équipes. Il est donc essentiel de se poser cette question : ces appareils ont-ils réellement besoin d’un accès à Internet? Si oui, comment réduire les risques sans compromettre les exigences de production?

5. Aider les équipes de TO à comprendre l’importance de ces analyses

Les environnements de TO ayant historiquement été isolés, les équipes peuvent parfois sous-estimer la nécessité des nouvelles technologies de cybersécurité. Jusqu’à présent, ces solutions étaient perçues comme inutiles. Une crainte persistante réside également dans l’introduction d’éléments extérieurs aux TO, perçus comme une menace potentielle pour la stabilité et l’intégrité des systèmes.

Or, l’histoire a montré que ces systèmes de TO sont rarement aussi isolés qu’on le pense. Par exemple : des clés USB sont branchées sur les systèmes, des ordinateurs portables connectés aux réseaux informatiques sont transportés dans les salles de contrôle et branchés au réseau des TO et des réseaux non documentés sont connectés pour des raisons de commodité.

Pour sensibiliser les équipes, il est utile de leur présenter des exemples de cyberattaques ayant visé des infrastructures de TO, comme : l’attaque de Stuxnet, l’attaque de Sandworm qui a paralysé le réseau électrique ukrainien, l’attaque de la station d’épuration d’Oldman, et les attaques en cours liées au conflit actuel entre la Russie et l’Ukraine.

Pour combler l’écart organisationnel entre les TI et les TO, il est essentiel de réfléchir à la manière dont les différentes expertises vont collaborer et d’établir un langage commun entre vos ingénieurs TO et vos experts en cybersécurité. Cela facilitera l’analyse et la compréhension des technologies en jeu.

Cependant, ce n’est pas le seul facteur déterminant pour renforcer la sécurité des TO. Il est essentiel d’instaurer une relation de confiance solide, basée sur le respect mutuel entre les experts TO et TI pour aborder efficacement la cybersécurité.

La meilleure approche pour favoriser cette collaboration consiste à organiser des réunions régulières, en veillant à ce que les experts en cybersécurité jouent un rôle actif aux côtés des équipes des TO. Leur mission est de les accompagner dans leur transition vers une cybersécurité efficace.

Protéger votre entreprise grâce à une meilleure préparation

Une cybersécurité efficace est un exercice d’équilibre subtil. Vous devez comprendre vos actifs pour les protéger tout en acceptant les risques de failles. Savoir réagir face à un cyberincident est crucial pour y survivre. Une bonne préparation à une cyberattaque consiste à identifier les personnes à mobiliser, à savoir où se trouvent vos sauvegardes et s’assurer qu’elles sont sécurisées, à planifier un plan de réaction.

Se préparer à l’éventualité d’un incident, plutôt que de supposer qu’il ne vous arrivera pas, est le meilleur moyen de garantir une réaction rapide et efficace.