Plus que jamais, en cette période inédite de post-crise sanitaire, les systèmes industriels sont exposés aux cyber-menaces au même titre que les systèmes de gestion. Mais avec des conséquences potentiellement bien plus graves en cas d’incident. Des précédents fortement médiatisés (Stuxnet en 2010, WannaCry en 2017) ont régulièrement rappelé que ces systèmes sont loin d’être à l’abri du danger comme on pouvait le croire autrefois, faisant de la cybersécurité des systèmes industriels un enjeu majeur pour les acteurs du secteur.
À ce titre, la maîtrise des échanges de données stratégiques constitue sans doute l’un des défis les plus importants lancés au monde industriel. Naguère conçus en vases clos, les systèmes industriels se sont ouverts vers l’extérieur afin de répondre aux enjeux économiques et fonctionnels du secteur : accès aux SI à distance, maintenance externe, échange d’informations avec des collaborateurs en déplacement, envoi de documents dématérialisés (à l’instar de la facturation digitale, obligatoire pour travailler avec le secteur public), etc. Même sans connexion Internet, ces systèmes sont devenus vulnérables en raison des nécessaires migrations de données – remontée des informations vers les SI de gestion et, inversement, descente dans la chaîne de décision.
Or, si le virage du numérique a bien été pris par l’industrie, ce fut souvent dans un souci de productivité, de sûreté et d’efficacité, sans forcément s’inscrire dans une démarche de sécurisation des systèmes. Cette démarche est pourtant primordiale aujoud’hui : elle permet de répondre au besoin d’échange tout en maîtrisant la diffusion (interne et externe) des informations stratégiques, et sans prêter le flanc à des attaques ou des négligences.
Particularités des systèmes d’information industriels et problématiques des risques cyber
Ce qui fait de la cybersécurité des systèmes industriels un enjeu majeur, c’est la particularité de ces systèmes au regard d’autres SI plus « traditionnels ». Contrairement aux systèmes de gestion, ils participent de la chaîne de commande d’installations physiques et d’équipements (infrastructures sensibles, usines) dont les dysfonctionnements éventuels peuvent avoir des conséquences graves, à la fois pour les industries qui en sont victimes et pour la communauté. L’importance stratégique de ces installations et équipements fait d’ailleurs de certains des acteurs de l’industrie des OIV (Opérateurs d’Importance Vitale) contraints à une sécurisation maximale de leurs systèmes d’information. C’est le cas, par exemple, des secteurs de l’énergie, des transports et de la santé. Ces particularités s’accompagnent de problématiques qui sont propres au secteur industriel.
Première problématique : les systèmes industriels n’ont pas été conçus initialement pour prendre en compte les questions de sécurisation au regard des risques cyber. En grande partie parce que leur conception remonte à un temps où ces questions ne se posaient tout simplement pas. Mais dès lors que ces systèmes permettent une forme d’interconnexion (aux réseaux ou entre eux), ils deviennent vulnérables aux altérations et aux vols de données. C’est le cas notamment à travers les supports externes comme les clés USB, les disques durs ou les consoles de maintenance, vecteurs de propagation des virus et objets physiques qui ont une fâcheuse tendance à s’égarer. C’est le cas, également, des mécanismes de gestion des accès utilisateurs, qui prennent d’autant plus d’importance que les points d’accès aux systèmes se multiplient (dans le cadre de la mobilité).
Deuxième problématique : la méconnaissance du risque. La cybersécurité des systèmes industriels est une problématique trop souvent ignorée en raison d’un mythe tenace : l’impact d’un incident d’origine numérique serait moindre que celui d’un incident physique ou terroriste. C’est malheureusement une vision très édulcorée. Des données stratégiques, quand elles sont perdues, altérées ou volées, sont susceptibles d’occasionner un dysfonctionnement majeur au sein de l’entreprise, d’autant plus grave que l’origine du problème s’avère difficile à identifier, et donc à corriger. Une simple négligence de connexion (mettons : un mot de passe insuffisamment sécurisé) peut mettre des informations stratégiques entre des mains malintentionnées, comme des secrets de fabrication ou des décisions économiques internes.
Troisième problématique : la question des coûts. La mise en place d’une démarche de cybersécurité des systèmes industriels peut sembler coûteuse, et les dépenses engagées paraître trop importantes au regard du risque financier maximal induit par une violation des échanges de données. Or une politique de sécurisation des partages de documents ne coûte pas forcément cher, dès lors qu’elle est proportionnelle au besoin.
Échanges de documents et d’informations stratégiques : les vulnérabilités des systèmes industriels
Chaque jour, des documents et des informations stratégiques sont consultés et partagés au sein des entreprises. L’essor du numérique a simplifié et fluidifié les échanges, mais il a aussi engendré des risques inédits (de perte, de vol, d’altération) et donné naissance à un besoin nouveau, celui d’assurer la confidentialité de ces échanges dématérialisés. C’est que la divulgation du patrimoine informationnel peut avoir un impact sévère sur les profits de l’entreprise, sur son image de marque, voire sur sa pérennité. Ces données sensibles, à l’image de plans d’installations ou de maintenance, de secrets de fabrication, de listes d’adresses d’équipements ou de décisions stratégiques prises lors des instances de gouvernance, si elles sont récupérées et exploitées par des concurrents ou par des individus malveillants dans le but de gêner le fonctionnement de l’entreprise ou de copier son savoir-faire, peuvent se retourner contre leurs émetteurs.
À ce titre, la cybersécurité des systèmes industriels démarre avec l’identification des vulnérabilités. Quelques exemples qui concernent l’utilisation des systèmes d’information par les collaborateurs :
- Mécanismes d’authentification faible ;
- Accès utilisateurs mal protégés ;
- Mots de passe par défaut ou en clair ;
- Emploi de profils avec des comptes inadaptés (des droits « administrateur » accordés en grand nombre quand des droits « utilisateur » suffiraient) ;
- Accès en écriture à des fichiers qui devraient être partagés en lecture seule ;
- Outils de prise en main ou d’accès à distance non sécurisés ;
- Connexions à distance non sécurisées ;
- Absence de politique de gestion des médias amovibles ;
- Absence de mise à jour des logiciels (systèmes d’exploitation, applications, firmwares) ;
- Absence de mécanisme de signature électronique des documents pour protéger leur intégrité et garantir l’identité de leur émetteur ;
Quant aux menaces qui pèsent sur les entreprises industrielles, ce sont principalement les négligences qui représentent un risque. Elles fragilisent l’organisation et ouvrent la voie à des attaques extérieures qui n’auraient pas pu avoir lieu dans des conditions optimales de sécurité. La prise en compte des enjeux de la cybersécurité des systèmes industriels au regard des échanges de documents et d’informations doit commencer par là.
Adopter une démarche de sécurisation des échanges de données : quelques bonnes pratiques
Face à un tel constat, la question de l’application des règles de cybersécurité des systèmes industriels se pose. Comment aborder le problème au sein d’organisations où ces menaces sont mal connues, voire ignorées ? Comment imposer des bonnes pratiques et des normes de sécurité ? Le bon mode opératoire consiste à adopter une démarche progressive à deux niveaux : technique d’abord, humain ensuite.
La première bonne pratique consiste à mettre en place des outils de sécurisation des échanges de documents et d’informations stratégiques. Puisque ces échanges ne peuvent pas être interrompus, il faut les entourer de garde-fous. Cela, à plusieurs niveaux :
- En sécurisant les accès. L’équation est simple : tout le monde ne peut pas avoir accès à tout, depuis n’importe où et de n’importe quelle façon. La sécurisation des accès est l’une des clés de la cybersécurité des systèmes industriels, et elle passe par une attention particulière portée à l’authentification.
- En améliorant les mécanismes d’authentification. Le duo login/mot de passe est obsolète – et forcément risqué pour les entreprises qui échangent des données confidentielles. Un mécanisme d’authentification forte (double, via un certificat électronique, etc.) est une nécessité, à la fois pour garantir l’identité de celui qui se connecte et pour empêcher les tiers malveillants, ou tout simplement les utilisateurs qui n’y ont pas droit, de le faire.
- En permettant la traçabilité des échanges. La traçabilité n’est pas une forme moderne d’espionnage : c’est un verrou sécuritaire supplémentaire qui permet de savoir qui a fait quoi et à quel moment, notamment en cas de perte, de modification ou d’altération des documents. Un tel verrou contribue à garantir l’intégrité des fichiers échangés.
- En garantissant l’intégrité des documents. Pour que les informations échangées soient précisément celles qui sont attendues par les destinataires.
- En assurant la disponibilité. C’est un prérequis au partage libre et continu des documents. Une solution de sécurisation des échanges doit garantir un accès immédiat et sans faille aux ressources, tout en assurant leur confidentialité.
La deuxième bonne pratique a trait à la sensibilisation du personnel. Puisqu’une majeure partie des incidents découle d’une méconnaissance des risques relatifs à la cybersécurité des systèmes industriels, il est crucial de faire participer les utilisateurs en leur inculquant les règles de base de l’ « hygiène informatique ». Ces règles incluent la sécurisation des mots de passe (plus robustes, modifiés à intervalles réguliers), la bonne utilisation des comptes (le simple fait de déconnecter les sessions avant de quitter le bureau), la réduction des risques liés à une connexion à distance (vérifier la sécurité des réseaux privés et publics, éviter de consulter des documents sensibles ou stratégiques quand on n’est pas connecté depuis une machine sécurisée…) et la sanctuarisation des systèmes (ne jamais brancher un support externe – clé USB, disque dur – ou insérer un disque dans un ordinateur de l’entreprise qui n’ait pas été dûment vérifié).
Des solutions logicielles permettent de garantir la cybersécurité des systèmes industriels et des échanges en interne comme en externe, à l’image de PostFiles (solution de partage et de synchronisation de fichiers), d’iExtranet (plateforme collaborative de gestion du contenu) ou de BoardNox (solution de dématérialisation des réunions de gouvernance), avec, à chaque fois, l’accent mis sur la sécurisation des échanges.
Découvrez notre solution de partage et de synchronisation de fichier : PostFiles