Améliorer la cybersécurité des systèmes OT (technologie opérationnelle) à mesure qu'ils s'intègrent aux réseaux informatiques

À mesure que les systèmes OT continuent de s’intégrer aux réseaux informatiques, les entreprises de fabrication ont besoin de mesures de cybersécurité plus robustes pour atténuer les risques.

L'essor de l'Internet industriel des objets (IIoT) a indéniablement étendu la connectivité du niveau des appareils au cloud, augmentant ainsi la surface d'attaque des installations automatisées. Si les connexions directes au cloud offrent des avantages commerciaux convaincants, tels que la surveillance de la maintenance à distance, le suivi des indicateurs clés de performance (KPI) et l'optimisation des processus, ces avantages se font au prix d'une sécurité affaiblie. Steve Fales, directeur du marketing chez ODVA, explique : « Ces nouvelles connexions peuvent permettre aux acteurs malveillants d'infiltrer les réseaux industriels, ce qui conduit à une attention accrue portée aux concepts de sécurité tels que Zero Trust, qui nécessite une validation avant de se connecter à un appareil. En outre, l'importance de déployer plusieurs approches de sécurité pour couvrir toutes les parties du réseau a considérablement augmenté. »

Le concept Zero Trust part du principe que le réseau est déjà compromis. Cela signifie que chaque connexion, quelle que soit son origine, doit être validée, en fournissant uniquement l’accès minimal nécessaire pendant la durée la plus courte possible. De plus, toutes les communications doivent être sécurisées. Pour évoluer vers le Zero Trust, les entreprises doivent crypter les communications, fournir un accès basé sur les rôles, authentifier les points de terminaison et garantir que les communications sont inviolables.

Outre l’adoption du Zero Trust, Steve recommande d’employer plusieurs méthodes de sécurité dans le cadre d’une stratégie de défense en profondeur pour garantir la sécurité des réseaux de contrôle industriel. Dans le cadre d’une approche holistique axée sur les processus, la sécurité physique et la formation des employés constituent d’excellents points de départ. Ce sont deux méthodes simples mais efficaces pour dissuader les mauvais acteurs.

La mise en œuvre de la modélisation des menaces est un autre moyen essentiel de comprendre les vulnérabilités du réseau et de formuler des plans de réponse. Sur cette base, des pare-feu basés sur des commutateurs, une inspection approfondie des paquets, des listes blanches et d'autres protections réseau seront déployés de manière ordonnée. Steve poursuit : « Si un réseau à deuxième canal est ouvert en raison d'une connectivité directe, il est également essentiel de protéger la couche périphérique. Un exemple de protection de la couche périphérique est la sécurité CIP d'EtherNet/IP, qui fournit l'authentification des appareils, l'identité, l'intégrité des données, la confidentialité, l'authentification des utilisateurs et l'application des politiques. La sécurité CIP offre également une protection flexible via des profils qui peuvent être mis en œuvre à la demande en fonction de l'utilisation. Enfin, comme les comportements et les méthodes d'attaque du réseau évoluent en permanence, il est nécessaire de réviser et de réviser régulièrement les stratégies de sécurité, la formation et les mesures de protection. »

Avec le nombre croissant d'appareils automatisés directement connectés au cloud et l'aplatissement des réseaux, il est essentiel de disposer d'une stratégie de sécurité bien planifiée et dotée de ressources. « La nouvelle réalité est que des vulnérabilités sont susceptibles de se produire, ce qui conduit à l'essor de l'approche de sécurité Zero Trust, qui exige une validation pour chaque connexion et n'autorise que les accès nécessaires. Il est tout aussi important de se rappeler que la sécurité physique, la formation des employés et les approches basées sur les processus peuvent offrir des retours sur investissement très élevés. » Steve estime que la protection doit être mise en œuvre aux niveaux les plus bas. La sécurité est un facteur clé de la connexion des appareils automatisés au cloud, ce qui conduit à des gains de productivité significatifs, ce qui en fait un investissement précieux pour les opérations industrielles futures.

Concevoir la sécurité à partir de zéro

Traditionnellement, les entreprises industrielles s'appuyaient sur le modèle Purdue pour créer des environnements OT sécurisés en segmentant les processus physiques, les capteurs, les contrôles de surveillance, les opérations et la logistique. Cependant, comme nous l'avons entendu, des plateformes plus ouvertes mettent désormais davantage l'accent sur la sécurité des réseaux OT.

Michael Lester, directeur de la stratégie, de la gouvernance et de l'architecture de cybersécurité chez Emerson, déclare : « Les organisations doivent désormais prendre en compte la cybersécurité dès la phase d'ingénierie et de conception des projets de systèmes de contrôle, afin de sécuriser le système dès sa conception. Par le passé, les défenses de cybersécurité étaient souvent ajoutées plus tard. Cela est plus coûteux et moins efficace que d'intégrer la cybersécurité dans le projet dès le début. »

Les entreprises de fabrication doivent donc désormais concevoir des applications logicielles OT de A à Z, en s'appuyant sur les principes Zero Trust, pour créer des usines intrinsèquement sécurisées dès la conception. Peter Zornio, directeur technique d'Emerson, estime que la mise en place d'une sécurité intrinsèque dès la conception des usines ne se fera pas du jour au lendemain. Cela demandera des années d'efforts, qui ne seront pleinement réalisés qu'à mesure que le logiciel système sera progressivement mis à jour pour intégrer l'architecture de sécurité. Chaque fois qu'il communiquera avec un autre logiciel, il devra demander une authentification et posséder les droits d'accès aux données appropriés. Certains des derniers produits d'Emerson incluent déjà des logiciels dotés d'une sécurité de conception inhérente, mais en réalité, il faudra peut-être 5 à 10 ans avant que tous les logiciels des usines puissent prendre en charge le Zero Trust. Cependant, lorsque cela deviendra une réalité, ce sera la solution ultime aux problèmes de cybersécurité.

De plus, la cybersécurité ne se limite pas à la technologie. Michael estime que la cybersécurité nécessite également des changements de comportement et de culture. L’ensemble de l’organisation doit comprendre en profondeur pourquoi et comment assurer la cybersécurité, ce qui est essentiel pour susciter un changement de comportement significatif. Il est donc important de créer une culture de cybersécurité qui inclut les personnes, les processus et la technologie.

Des mesures renforcées pour la protection du système OT

À mesure que les systèmes OT continuent de s'intégrer aux réseaux informatiques, en introduisant des protocoles de communication basés sur Internet tels que MQTT et des protocoles de transmission de données existants tels que HTTPS, CsCAN et Modbus, la surface d'attaque s'étend, apportant de nouveaux vecteurs d'attaque. Cela nécessite un ensemble de mesures de cybersécurité plus strictes pour réduire les risques. Sean Mackey, ingénieur en cybersécurité chez Horner Ireland, suggère les mesures suivantes pour aider les ingénieurs de contrôle à mieux protéger leurs environnements OT :

1. Comprendre l'environnement: Comprendre parfaitement l'infrastructure OT, y compris les systèmes de contrôle industriel, SCADA, PLC et autres appareils interconnectés. Identifier les vulnérabilités potentielles en documentant les actifs, l'architecture réseau, les protocoles et les chemins de communication.
2. Évaluation des risques et inventaire des actifs: Effectuez une évaluation approfondie des risques pour identifier les actifs critiques et les vulnérabilités potentielles. Créez un inventaire des actifs, catégorisez les systèmes en fonction de leur criticité et évaluez les risques associés. Hiérarchisez les mesures de sécurité en fonction de cette évaluation.
3. Segmentation du réseau: Mettez en œuvre une segmentation réseau robuste, comme des zones d'isolement, des pare-feu pour filtrer et surveiller le trafic, et isolez les systèmes critiques pour séparer les actifs OT clés des systèmes non critiques et des réseaux externes. Limitez l'impact des vulnérabilités ou des attaques en les contenant dans des segments de réseau spécifiques et en réduisant la surface d'attaque.
4. Contrôle d'accès et authentification: Mettre en œuvre des mécanismes de contrôle d'accès et d'authentification solides pour limiter l'accès non autorisé aux systèmes OT. L'authentification multifacteur, le contrôle d'accès basé sur les rôles et le principe du moindre privilège doivent être appliqués pour garantir que seul le personnel autorisé puisse accéder aux systèmes critiques.
5. Gestion des correctifs: Élaborez et implémentez un processus strict de gestion des correctifs pour maintenir les systèmes OT à jour avec les vulnérabilités connues. Cela comprend les mises à jour du micrologiciel et du logiciel liées aux correctifs de vulnérabilité pour les PLC/IHM. Hiérarchisez les correctifs en fonction de leur criticité.
6. Surveillance du réseau et détection des intrusions: Déployez des outils de surveillance réseau et des systèmes de détection d'intrusion (IDS) robustes pour détecter et répondre aux activités inhabituelles en temps réel. Surveillez le trafic réseau, les journaux système et les modèles de comportement pour identifier rapidement les menaces potentielles ou les failles de sécurité.
7. Sécurité des terminaux:Implémentez des solutions de protection des terminaux, telles que des pare-feu, des logiciels antivirus et des systèmes de prévention des intrusions, pour des appareils similaires sur le même réseau, afin de protéger vos appareils industriels contre les logiciels malveillants et les accès non autorisés.
8. Cryptage: Chiffrez les données en transit et au repos pour empêcher toute interception ou altération non autorisée. Mettez en œuvre des protocoles de chiffrement puissants pour les communications réseau, tels que Transport Layer Security (TLS), en particulier lors de l'utilisation de certificats X.509 dans les secteurs fortement axés sur MQTT, et chiffrez les données sensibles stockées sur les appareils OT.
9. Plan de réponse aux incidents: Élaborez un plan de réponse aux incidents complet qui décrit les procédures de détection, de confinement et d'atténuation des incidents de cybersécurité. Définissez les rôles et les responsabilités, établissez des protocoles de communication et effectuez des exercices réguliers pour garantir la préparation aux cyberattaques.
10. Formation et sensibilisation des employés:Former le personnel OT aux meilleures pratiques en matière de cybersécurité, notamment en matière de reconnaissance des tentatives de phishing, d'identification des activités suspectes et de réponse aux incidents de sécurité. Favoriser une culture de sensibilisation à la cybersécurité, permettant aux employés de participer activement à la protection des systèmes OT.
11. Gestion des risques liés aux fournisseurs: Évaluer et gérer les risques de cybersécurité associés aux fournisseurs tiers qui fournissent des composants ou des services OT. Élaborer des accords contractuels qui stipulent les exigences de sécurité et auditer régulièrement les fournisseurs.
12. Conformité et exigences réglementaires:Restez informé des réglementations sectorielles et des normes de conformité liées à la cybersécurité OT, telles que NIST SP 800-82 et ISA/IEC 62443. Assurez-vous que les systèmes OT sont conformes à ces exigences pour éviter les répercussions juridiques et réglementaires et minimiser le risque de violations OT dues à une mauvaise mise en œuvre de la cybersécurité.

Assurer une protection complète des systèmes OT

Dans les environnements OT, la plupart des systèmes sont critiques, ce qui signifie que toute perturbation ou compromission peut avoir des conséquences de grande ampleur. Daniel Sukowski, Global Business Development IIOT chez Paessler, souligne qu’au vu des enjeux, il n’a jamais été aussi important de protéger efficacement les environnements OT. Cependant, atteindre cet objectif n’a jamais été aussi difficile. Dans un monde interconnecté et numérique, la croissance exponentielle des appareils IIOT conduit à des systèmes de plus en plus complexes. Les réseaux OT auparavant isolés sont désormais ouverts pour connecter de nouveaux systèmes et appareils provenant de sources externes, souvent dans plusieurs régions. Si cette connectivité offre de nombreux avantages, elle présente également des risques importants.

Pour protéger pleinement les systèmes OT, les entreprises doivent investir dans des technologies de surveillance. Daniel suggère : « Un système de surveillance efficace doté d'un tableau de bord centralisé et de fonctions d'alerte peut donner aux entreprises une image plus complète. Il peut consolider les données de tous les sites (environnements OT, capteurs IIoT, réseaux filaires et sans fil et appareils et systèmes informatiques traditionnels) sous une seule plateforme de protection. Il offre une visibilité complète, ce qui est plus important que jamais à mesure que les cybercriminels continuent d'évoluer et de gagner en maturité. »

En outre, les entreprises doivent régulièrement procéder à des audits de sécurité et à des évaluations des risques de leurs systèmes opérationnels afin d’identifier les vulnérabilités. Ces audits doivent inclure les risques liés à la sécurité des informations, les cyber-risques et tous les risques opérationnels courants des OT. Un autre défi consiste à assurer la formation continue de tous les employés concernés. Le contenu de la formation doit être régulièrement mis à jour pour garantir que les entreprises fonctionnent conformément aux dernières directives et réglementations. Par exemple, lorsque la future directive NIS2 deviendra une loi nationale dans tous les États membres de l’UE en octobre 2024, les employés devront s’assurer qu’eux-mêmes et leur entreprise dans son ensemble restent conformes.

La directive NIS2 s’appuie sur la directive NIS initiale (NISD) en mettant à jour les lois actuelles de l’UE en matière de cybersécurité. Son objectif est de renforcer la sécurité des technologies opérationnelles, de rationaliser les rapports et de créer des règles et des sanctions cohérentes dans toute l’UE. En élargissant son champ d’application, la directive NIS2 obligera davantage d’entreprises et de secteurs à mettre en œuvre des mesures de cybersécurité.

Veuillez cliquer sur le lien ci-dessous pour en savoir plus :

Présentation du châssis du robot Reeman Moon Knight

Présentation du robot de livraison de nourriture Flash

Présentation du robot d'accouchement Nurse Hospital