Renforcement de la cyberdéfense pour les environnements OT

La prise de conscience de l'importance de la cybersécurité dans l'informatique augmente, mais les environnements OT ne reçoivent toujours pas suffisamment d'attention - avec des conséquences potentiellement fatales, car de graves incidents de ransomware contre des infrastructures critiques, tant dans le cloud que sur site, se multiplient dans le monde entier. Les tactiques et techniques d'attaque ne cessent d'évoluer et ciblent de plus en plus les systèmes OT, y compris dans des domaines tels que la domotique ou la production. Le pire est que les systèmes OT font également partie d'infrastructures critiques, par exemple dans les secteurs de la santé, des transports, de l'énergie et de l'approvisionnement. Contrairement au monde numérique, les dommages physiques y sont souvent irréversibles et peuvent même mettre des vies humaines en danger. Ces derniers mois en particulier, de nombreuses cyberattaques ont été perpétrées, notamment en raison de vulnérabilités connues depuis longtemps dans des systèmes très répandus : Log4j, Microsoft Exchange, Linux, Apache, Remote Access, etc. Les possibilités d'attaque contre les systèmes OT se sont donc considérablement accrues en raison de l'augmentation du paysage des menaces.

Infrastructures critiques

Bien que le monde physique de l'OT nécessite des approches de sécurité différentes de celles de l'informatique virtuelle, celles-ci se rapprochent. Les nouvelles technologies issues de l'informatique sont en corrélation avec les développements et les modernisations dans l'OT. Dans l'industrie, des robots auto-apprenants fabriquent des produits complexes ; dans la domotique, des capteurs intégrés fournissent des données telles que la température, l'humidité, le taux d'utilisation ou la performance des installations à une plate-forme cloud centrale ; dans l'électrotechnique, les systèmes de mesure sont de plus en plus mis en réseau, commandés et surveillés de manière intelligente. Deux mondes fusionnent, de nouveaux risques de sécurité apparaissent. La vision est celle d'une connectivité globale et d'une exploitation des potentiels de synergie. La réalité, en revanche, est que ces deux mondes présentent souvent des interfaces complexes, parfois obsolètes ou comportant des erreurs, ce qui rend difficile une fusion sûre. Les cybercriminels exploitent la vulnérabilité et la manipulabilité de ces systèmes OT, qui ont jusqu'à présent été conçus et mis hors ligne pour assurer la stabilité plutôt que la sécurité.

Alors que l'IT met classiquement l'accent sur la confidentialité, la sécurité des informations et la protection des données, l'OT se focalise sur la disponibilité des systèmes OT (machines et installations) ainsi que sur la protection (Safety) des collaborateurs et de l'environnement. La garantie de cette sécurité n'est pas seulement nécessaire en raison des environnements critiques en termes de sécurité, elle est également obligatoire d'un point de vue légal. Il existe donc des directives claires et des évaluations coûteuses, mais pas pour la sécurité OT. L'IT et l'OT font pourtant tous deux partie intégrante de l'entreprise et devraient donc être pris en compte dans l'évaluation des risques opérationnels et opérationnels. Comme les attaques sur les systèmes OT peuvent mettre en danger la sécurité physique, leur protection devrait être une priorité absolue. Les mesures nécessaires consistent, d'une part, à sensibiliser les collaborateurs aux risques spécifiques et, d'autre part, à développer le savoir-faire et les compétences en matière de composants et de protocoles OT. En outre, une approche multicouche (Defence-in-Depth) combinant tous les niveaux est indispensable. Cela implique une architecture de sécurité complète avec des solutions de sécurité intégrées pour corréler les données et réagir aux menaces distribuées, des systèmes tels que IDS/NIDS ou In-Line-Detection, la détection d'attaques, XDR, Threat Management, etc.

La norme CEI 62443 s'est établie dans l'environnement OT pour l'établissement, la mise en œuvre, la vérification et l'amélioration continue d'un système de gestion de la sécurité de l'information (ISMS). Il s'agit d'une méthode efficace pour sécuriser les systèmes industriels d'automatisation et de contrôle (SIAC) en tenant compte de tous les aspects importants, par exemple la sécurité des collaborateurs et de la production, la garantie de la disponibilité, l'augmentation de l'efficacité et de la qualité de la production ainsi que la protection de l'environnement. Les entreprises peuvent ainsi identifier à temps les points faibles potentiels de la technique de commande et de contrôle et prendre des mesures de protection judicieuses. Mais une approche globale et prévoyante va encore plus loin et prend en compte l'environnement informatique traditionnel, l'informatique de développement et justement aussi l'informatique de production. Il ne faut pas oublier une gestion proactive des points faibles. Il ne faut pas seulement se concentrer sur les vulnérabilités qui présentent une certaine valeur CVSS, mais aussi sur celles qui sont activement exploitées par les cybercriminels. Il est essentiel d'agir rapidement. Enfin, les évaluations des risques et de la sécurité ICS/SCADA ainsi que le contrôle correspondant font partie d'une approche globale de la sécurité.

De la défense en profondeur à la confiance zéro

La défense en profondeur, c'est-à-dire l'approche multicouche expliquée, occupe une place importante dans la sécurité IT/OT. Cela permet de minimiser le risque que les cyberattaques - ou les incidents déclenchés d'une autre manière - se propagent comme un effet domino et causent de gros dégâts. Toutefois, pour suivre le rythme des nouvelles menaces, les entreprises doivent également mettre en place des modèles de confiance zéro et d'automatisation. Zero Trust est une approche stratégique de la sécurité qui se concentre sur le concept d'élimination de la confiance inhérente ; autrement dit, des autorisations minimales et un accès minimal afin de minimiser les risques. Toutes les ressources sont considérées comme externes. La confiance n'est ni binaire ni permanente. Zero Trust établit la confiance pour chaque demande d'accès, d'où qu'elle vienne, et impose en même temps la fiabilité des appareils. L'automatisation, quant à elle, utilise les données actuelles sur les menaces pour inspecter le trafic, appliquer des politiques de confiance zéro et bloquer les attaques en temps réel.

Pour une mise en œuvre réfléchie d'un concept de sécurité, il est nécessaire d'améliorer les fonctions de sécurité de tous les systèmes, produits et solutions impliqués. Mais les directives, les processus et, en fin de compte, les collaborateurs doivent également être pris en compte de manière appropriée afin que différentes mesures puissent être établies. En effet, si une mesure de protection est contournée, la suivante continue à offrir une protection. Ce principe est très judicieux, car souvent les systèmes et composants impliqués ne sont pas au niveau de sécurité actuel en raison du manque de mises à jour et de disponibilité permanente.

Même si les exigences sont élevées de nos jours : C'est la seule façon d'atteindre les objectifs stratégiques de la cybersécurité, de minimiser les risques, de répondre aux exigences réglementaires et de garantir la sécurité et la sûreté dans des environnements IT/OT complexes.