![\"Cybers\u00e9curit\u00e9](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-1170064279-1024x491.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
\u00ab\u00a0L\u2019industriel n\u2019aime pas les corps \u00e9trangers<\/em>\u00a0\u00bb, affirme Thierry Hernandez, charg\u00e9 de comptes industriels chez Stormshield. Pourtant, la s\u00e9curisation des infrastructures de production est un enjeu fondamental et les solutions cyber sont au point. L\u2019industrie est-elle pr\u00eate\u00a0?<\/strong><\/p>\n L\u2019OT \u2013 pour Operation Technology<\/em> ou technologie op\u00e9rationnelle \u2013 est partout. Et surtout dans les usines, o\u00f9 la production est de plus en plus automatis\u00e9e. \u00ab\u00a0Le lien entre IT et OT existe d\u00e9j\u00e0 depuis des d\u00e9cennies<\/em>, souligne Thierry Hernandez<\/strong>, charg\u00e9 de comptes industriels chez Stormshield. Seulement, avec l\u2019industrie\u00a04.0, il y a beaucoup plus de flux<\/em>\u00a0\u00bb. Des flux et les risques cyber qui vont avec. Mais de quels risques est-il question\u00a0? Avec quelles protections\u00a0? Quelles strat\u00e9gies mettre en \u0153uvre \u00e0 court, moyen et long terme\u00a0? \u00c9l\u00e9ments de r\u00e9ponse.<\/p>\n <\/p>\n Malgr\u00e9 l\u2019importance fondamentale des flux de donn\u00e9es dans les r\u00e9seaux OT, certains industriels peinent \u00e0 traiter les probl\u00e9matiques qui y sont li\u00e9es. Loin des attaques malveillantes, leurs priorit\u00e9s quotidiennes sont d\u2019assurer la s\u00e9curit\u00e9 de leurs \u00e9quipes de terrain, qui cohabitent avec des machines lourdes et potentiellement dangereuses, et la continuit\u00e9 des cha\u00eenes de production.<\/p>\n Il faut garder en t\u00eate que les risques peuvent \u00eatre la cons\u00e9quence de n\u00e9gligences et ne pas se concentrer que sur les d\u2019attaques malveillantes directes. Comme il y a beaucoup d\u2019intervenants dans une usine, chaque passage ou intervention constitue une porte d\u2019entr\u00e9e potentielle suppl\u00e9mentaire<\/em><\/p>\n C\u00f4t\u00e9 menaces cyber dans l\u2019OT, \u00ab\u00a0il faut garder en t\u00eate que les risques peuvent \u00eatre la cons\u00e9quence de n\u00e9gligences et ne pas se concentrer que sur les attaques malveillantes directes<\/em>, estime Thierry Hernandez. Comme il y a beaucoup d\u2019intervenants dans une usine, chaque passage ou intervention constitue une porte d\u2019entr\u00e9e potentielle suppl\u00e9mentaire.<\/em> \u00bb Des op\u00e9rations de routine industrielle comme la t\u00e9l\u00e9maintenance et les campagnes de mises \u00e0 jour se transforment alors en potentielles vuln\u00e9rabilit\u00e9s. Par exemple, pour s\u2019assurer que la t\u00e9l\u00e9maintenance ne devienne pas un vecteur de menace, il convient par exemple de s\u2019assurer que les op\u00e9rateurs n\u2019aient acc\u00e8s qu\u2019aux machines n\u00e9cessaires. L\u2019authentification des utilisateurs et les privil\u00e8ges associ\u00e9s deviennent alors des points essentiels \u00e0 maitriser.<\/p>\n Un autre vecteur de risques cyber majeur\u00a0? Les cl\u00e9s USB, comme le pr\u00e9cise une \u00e9tude men\u00e9e par Honeywell\u00a0: en 2021, 37% des menaces<\/a> ont \u00e9t\u00e9 con\u00e7ues sp\u00e9cifiquement pour utiliser des supports amovibles. Pourtant, c\u2019est un v\u00e9ritable paradoxe dans l\u2019industrie<\/a> tant il est difficile de s\u2019en passer\u00a0: les intervenants sont souvent des prestataires externes qui n\u2019ont pas acc\u00e8s au r\u00e9seau et les supports USB deviennent alors indispensables pour les int\u00e9grateurs. \u00ab\u00a0On pr\u00e9f\u00e8re prendre le risque d\u2019utiliser des cl\u00e9s USB, plut\u00f4t que de prendre le risque de voir une production bloqu\u00e9e<\/em>\u00a0\u00bb, pr\u00e9cise Thierry Hernandez. Pour s\u00e9curiser au mieux le recours \u00e0 ces outils, il convient de les contr\u00f4ler en amont, g\u00e9n\u00e9ralement \u00e0 grand renfort de stations blanches.<\/p>\n Enfin, les attaques sciemment malveillantes (APT dans le jargon, pour Advanced Persistent Threat<\/em>), sont plus rares. Mais elles existent et peinent \u00e0 \u00eatre prises en consid\u00e9ration par les industriels<\/a>. Vincent Nicaise,<\/strong> Responsable des partenaires et de l'\u00e9cosyst\u00e8me industriels chez Stormshield, l\u2019explique par une prise de conscience de la vuln\u00e9rabilit\u00e9 de ces r\u00e9seaux plus tardive. \u00ab La cybers\u00e9curit\u00e9 dans l\u2019IT existe depuis l\u2019arriv\u00e9e d\u2019Internet. Pour les r\u00e9seaux OT, \u00e7a fait \u00e0 peine une dizaine d\u2019ann\u00e9es qu\u2019on s\u2019en inqui\u00e8te<\/em>, r\u00e9sume-t-il. Depuis 2010, on a assist\u00e9 \u00e0 quelques grandes attaques, qui ont impact\u00e9 des sites industriels mais aussi des infrastructures critiques, des sites d\u2019enrichissement d\u2019uranium ou encore des postes \u00e9lectriques. Parfois m\u00eame, sans que ceux-ci ne soient connect\u00e9s \u00e0 Internet. La prise de conscience du danger pour les syst\u00e8mes industriels n'a eu lieu qu'a posteriori. Et la maturit\u00e9 des acteurs et d\u00e9cideurs du domaine ont, depuis, bien \u00e9volu\u00e9.<\/em>\u00a0\u00bb<\/p>\n Qu\u2019elles soient le fait de n\u00e9gligence ou d\u2019attaques malveillantes, le m\u00eame rapport d\u2019Honeywell souligne que 79% des menaces sont susceptibles d\u2019avoir un impact critique sur les syst\u00e8mes de technologie op\u00e9rationnelle<\/strong>. D\u2019o\u00f9 l\u2019urgence de prot\u00e9ger ces syst\u00e8mes critiques.<\/p>\n Dataviz issue du barom\u00e8tre 2021<\/a> Stormshield x L'Usine Digitale sur la cybers\u00e9curit\u00e9 et les r\u00e9seaux op\u00e9rationnels<\/em><\/p><\/div>\n <\/p>\n Et pour prot\u00e9ger ces r\u00e9seaux OT, il est impossible de copier-coller les m\u00eames solutions et techniques que dans l\u2019IT. Car en mati\u00e8re de cybers\u00e9curit\u00e9, les approches IT et OT diff\u00e8rent.<\/p>\n Sur certaines cha\u00eenes de production install\u00e9es il y a 20 ans, la cybers\u00e9curit\u00e9 n\u2019existait \u00e9videmment pas<\/em><\/p>\n D\u2019abord, alors que l\u2019informatique c\u00f4t\u00e9 IT est souple et r\u00e9active, l\u2019informatique industrielle se fonde sur des temps beaucoup plus longs<\/strong>. Ainsi, un parc informatique IT sera chang\u00e9 environ tous les cinq ans, pr\u00e9cise Vincent Nicaise, tandis que la technologie op\u00e9rationnelle peut durer jusqu\u2019\u00e0 40\u00a0ans. \u00ab\u00a0Sur certaines cha\u00eenes de production install\u00e9es il y a 20\u00a0ans, la cybers\u00e9curit\u00e9 n\u2019existait \u00e9videmment pas. Et on ne retrouvait pas dans les cahiers des charges d\u2019ouvrages une ligne sur le sujet \u00e0 plusieurs millions d\u2019euros<\/em>\u00a0\u00bb, souligne-t-il. Une diff\u00e9rence de temporalit\u00e9<\/strong> qui s\u2019applique aussi bien sur le hardware que sur le software. Le syst\u00e8me d\u2019information sera ainsi mis \u00e0 jour r\u00e9guli\u00e8rement pour utiliser le dernier syst\u00e8me d\u2019exploitation disponible. De l\u2019autre c\u00f4t\u00e9, il ne sera pas toujours souhaitable de mettre les logiciels de technologie d\u2019op\u00e9ration \u00e0 jour puisque le hardware ne sera pas forc\u00e9ment adapt\u00e9 aux nouvelles versions de softwares. Si le Maintien en condition de s\u00e9curit\u00e9 (MCS) et le Maintien en condition op\u00e9rationnelle (MCO) sont compatibles dans l\u2019IT, ce n\u2019est pas le cas dans le cas de l\u2019OT\u00a0: \u00ab\u00a0le MCS peut porter atteinte au MCO<\/em>\u00a0\u00bb, r\u00e9sume Thierry Hernandez.<\/p>\n L\u2019environnement<\/strong> est \u00e9galement une diff\u00e9rence majeure dans les approches, car celui de l\u2019OT est moins ma\u00eetris\u00e9. Dans la localisation d\u2019abord\u00a0: les actifs IT sont g\u00e9n\u00e9ralement situ\u00e9s dans des endroits comme des locaux ou des salles serveurs o\u00f9 le contr\u00f4le d\u2019acc\u00e8s est ais\u00e9. Les actifs OT peuvent eux se trouver dans des environnements moins contr\u00f4lables comme dans une armoire de rue ou au c\u0153ur d\u2019un ch\u00e2teau d\u2019eau en pleine nature. D\u2019autre part, ces technologies subissent des conditions souvent inconfortables\u00a0: poussi\u00e8re, humidit\u00e9, temp\u00e9ratures extr\u00eames, vibrations, etc. \u00ab\u00a0Un firewall classique ne peut pas fonctionner \u00e0 -40\u00a0degr\u00e9s\u00a0: il faut des \u00e9quipements durcis<\/em>\u00a0\u00bb, explique ainsi Vincent Nicaise. L\u2019installation des technologies de cybers\u00e9curit\u00e9 est donc une premi\u00e8re difficult\u00e9, alors que le contr\u00f4le d\u2019acc\u00e8s pour de la maintenance physique en est une autre\u2026<\/p>\n Enfin, les priorit\u00e9s de cybers\u00e9curit\u00e9 diff\u00e8rent<\/strong>. Vincent Nicaise sch\u00e9matise cela par deux pyramides. La premi\u00e8re, celle de l\u2019IT, pr\u00e9sente au sommet la confidentialit\u00e9 \u2013 par ces r\u00e9seaux transitent de nombreuses donn\u00e9es sensibles qu\u2019il convient de prot\u00e9ger. Ensuite, l\u2019int\u00e9grit\u00e9\u00a0: s\u2019assurer que l\u2019information re\u00e7ue est la m\u00eame que l\u2019information envoy\u00e9e. Enfin, la disponibilit\u00e9\u00a0: s\u2019assurer de la continuit\u00e9 du service. Pour l\u2019OT, les priorit\u00e9s sont invers\u00e9es, d\u00e9montre-t-il. La disponibilit\u00e9 est la valeur cardinale\u00a0: il est impossible d\u2019arr\u00eater une ligne de production <\/strong>dans certains cas. \u00ab\u00a0Pour pouvoir disposer de l\u2019\u00e9lectricit\u00e9 dans nos maisons par exemple, il faut que le transport d\u2019\u00e9nergie soit assur\u00e9 en 24\/7<\/em>, illustre l\u2019expert. De la m\u00eame mani\u00e8re, une station de potabilisation doit \u00eatre en mesure d\u2019offrir de l\u2019eau \u00e0 la population, sans coupure du service.<\/em>\u00a0\u00bb L\u2019int\u00e9grit\u00e9 arrive ensuite dans l\u2019ordre des priorit\u00e9s, car il vaut veiller \u00e0 ce que les valeurs de la commande ne soient pas alt\u00e9r\u00e9es. \u00ab\u00a0En 2021, une station de traitement des eaux en Floride a \u00e9t\u00e9 victime d\u2019une cyberattaque, qui cherchait \u00e0 faire augmenter la concentration d\u2019hydroxyde de sodium. L\u2019acte malveillant a \u00e9t\u00e9 identifi\u00e9 rapidement, mais les potentielles cons\u00e9quences catastrophiques sont ais\u00e9ment imaginables\u2026<\/em>\u00a0\u00bb Et la confidentialit\u00e9 arrive en queue de peloton pour les technologies op\u00e9rationnelles. La raison\u00a0? \u00ab\u00a0Bien souvent, les donn\u00e9es ne sont pas confidentielles<\/em>\u00a0\u00bb, pr\u00e9cise Vincent Nicaise.<\/p>\n Et une fois l\u2019approche assimil\u00e9e, comment mettre en place un chantier de cybers\u00e9curit\u00e9 industrielle\u00a0?<\/p>\n <\/p>\n Si les risques li\u00e9s \u00e0 une attaque peuvent provoquer une certaine forme de panique, rien ne sert d\u2019\u00eatre alarmiste, s\u2019accordent les deux sp\u00e9cialistes. \u00ab\u00a0Il faut qu\u2019il y ait une prise de conscience pour pouvoir organiser sa cybers\u00e9curit\u00e9. On peut commencer par les points vraiment critiques et d\u00e9rouler au fil de l\u2019eau<\/em>\u00a0\u00bb, pr\u00e9conise Vincent Nicaise. Pour ce faire, les experts en cybers\u00e9curit\u00e9 r\u00e9alisent une analyse des risques. Comme dans le cas de l\u2019IT, elle consiste \u00e0 identifier les risques, leurs criticit\u00e9s et leurs probabilit\u00e9s, pour d\u00e9cider d\u2019o\u00f9 agir. \u00ab\u00a0Par exemple, on peut avoir des objets connect\u00e9s d\u00e9pourvus de s\u00e9curit\u00e9 mais qui ne sont pas en capacit\u00e9 de causer de gros dommages. Est-ce une priorit\u00e9\u00a0?<\/em>\u00a0\u00bb, interroge Vincent Nicaise.<\/p>\n La mise en place de firewalls compatibles pour contr\u00f4ler les flux op\u00e9rationnels est souvent recommand\u00e9e, ainsi que la protection des postes de travail, afin de rep\u00e9rer les actions anormales et de les bloquer. Des m\u00e9canismes simples peuvent alors \u00eatre d\u00e9ploy\u00e9s, comme la mise en place de segmentation r\u00e9seau, de DMZ (demilitarized zone<\/em>) pour les zones IT\/OT ou encore de cloisonnement. Et pour aller plus loin, les int\u00e9grateurs peuvent analyser les flux entre les \u00e9quipements pour d\u00e9finir s\u2019ils sont l\u00e9gitimes \u00e0 communiquer entre eux. Mais l\u2019ajout de solutions \u2013 firewall, supervision des automates, postes r\u00e9seaux \u2013 peut entra\u00eener une perte de visibilit\u00e9 temporaire qui rend les industriels frileux. \u00ab\u00a0Il faut rassurer les industriels<\/em>, pose Thierry Hernandez. Nos produits sont pens\u00e9s pour l\u2019industrie et sont non-intrusifs<\/em>\u00a0\u00bb, c\u2019est-\u00e0-dire con\u00e7us pour ne pas \u00eatre un obstacle dans les activit\u00e9s quotidiennes de production.<\/p>\n <\/p>\n En d\u00e9finitive, c\u2019est la perception de la cybers\u00e9curit\u00e9 des moyens de production qu\u2019il faut faire \u00e9voluer. Certaines entreprises ont pris conscience des enjeux de la protection de leur OT, parfois guid\u00e9es par les directives \u00e9tatiques. C\u2019est le cas notamment des Op\u00e9rateurs d\u2019importance vitale en France comme les transports, l\u2019\u00e9nergie<\/a>, l\u2019eau<\/a> ou les sites Seveso<\/a>, qui pr\u00e9sentent des risques d\u2019accidents majeurs. Mais dans le secteur manufacturier, le sujet reste encore marginal. \u00ab\u00a0Dans la vision de l\u2019industriel, le gain imm\u00e9diat n\u2019est pas clair<\/em>, indique Thierry Hernandez. Il privil\u00e9giera les outils qui am\u00e9liorent la production. Mais s\u2019il prend conscience que sa production peut tomber en cas d\u2019attaque, alors il sera convaincu d\u2019un retour sur investissement<\/em>.\u00a0\u00bb En mati\u00e8re de cybers\u00e9curit\u00e9 industrielle comme ailleurs, pr\u00e9venir vaut toujours mieux que gu\u00e9rir.<\/p>\n","protected":false},"excerpt":{"rendered":" \u00ab\u00a0L\u2019industriel n\u2019aime pas les corps \u00e9trangers\u00a0\u00bb, affirme Thierry Hernandez, charg\u00e9 de comptes industriels chez Stormshield. Pourtant, la s\u00e9curisation des infrastructures de production est un enjeu fondamental et les solutions cyber sont au point. L\u2019industrie est-elle pr\u00eate\u00a0? L\u2019OT \u2013 pour Operation Technology ou technologie op\u00e9rationnelle \u2013…<\/p>\n","protected":false},"author":48,"featured_media":267431,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1608],"tags":[6564,4368],"business_size":[],"industry":[],"help_mefind":[],"features":[],"type_security":[],"maintenance":[],"offer":[],"administration_tools":[],"cloud_offers":[],"listing_product":[6567,1552,1565,1530],"class_list":["post-267436","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-paroles-experts","tag-cybersecurite-industrielle","tag-la-cybersecurite-par-stormshield","listing_product-sni20-fr","listing_product-sni40-fr","listing_product-ses-fr","listing_product-sns-fr"],"acf":[],"yoast_head":"\nDes risques cyber prot\u00e9iformes pour l\u2019industrie<\/h2>\n
Thierry Hernandez<\/strong>, charg\u00e9 de comptes industriels Stormshield<\/pre>\n<\/blockquote>\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/stormshield-fr-infographie-quelles-conscequences-4-1024x535.jpg\")
L\u2019approche particuli\u00e8re de la cybers\u00e9curit\u00e9 industrielle<\/h2>\n
Vincent Nicaise,<\/strong> \u200b\u200bResponsable des partenaires et de l'\u00e9cosyst\u00e8me industriels Stormshield<\/pre>\n<\/blockquote>\n
La mise en place de la cybers\u00e9curit\u00e9 industrielle<\/h2>\n