Les attaques visant les industries ont augmenté de 2 200 % en 2021, selon l’équipe de cybersécurité X-Force d’IBM. Du fait du contexte géopolitique notamment, ces dernières ciblent de plus en plus les infrastructures nationales critiques. Face aux différentes menaces, les industriels adoptent des approches plus matures. Explications avec Haithem Gardabou, Managing consultant en cyberstratégie, IBM France Sécurité.
Après avoir obtenu un diplôme d’ingénieur (Administrateur réseaux et systèmes) à l’Institut National des Sciences Appliquées et de Technologies INSA, Haithem Gardabou a multiplié les certifications : Certified Information Systems Security Professional (CISSP), ISO 27001 Lead Implementer. Il est intervenu comme consultant « Security IT » chez EDF, Bouygues Telecom avant de rejoindre IBM en 2019 où il conseille notamment les Comités de Direction : stratégies, business cases, remontée de risques et plans de mitigations…
Techniques de l’Ingénieur : Pourquoi les réseaux des industriels sont-ils un maillon faible ?
Haithem Gardabou : Auparavant, les réseaux industriels étaient des systèmes et des équipements figés. Ils n’étaient pas changés pendant des années, voire des décennies. Ces équipements étaient dans une sorte de « boîte noire » : ils étaient bien isolés des autres réseaux et seul le personnel des opérations pouvait y accéder. Aujourd’hui, cette convergence entre l’IT (Information Technology) et l’OT (Operational Technology), la connexion des réseaux informatiques (analyse de données, intelligence des données, supervision centralisée…) a ouvert cette « boîte noire », ce qui a augmenté la surface d’attaque des industriels.
Comment ont réagi les industriels ?
Les fabricants d’automates et les industriels sont en train de rattraper leur retard. Nous constatons davantage de maturité chez nos clients, même s’ils ont encore des idées reçues sur leurs systèmes : leur chaîne de production n’est pas connectée à Internet (sous-entendu, les pirates ne pourraient pas accéder à leurs réseaux), leur usine est petite (sous-entendu les attaquants ne vont pas les cibler), leurs solutions industrielles sont très complexes avec des protocoles propriétaires (sous-entendu, les attaquants ne pourraient pas comprendre comment ils fonctionnent).
Mais avec ces idées reçues, les industriels oublient que les attaquants ciblent de petites entités, car elles sont moins bien sécurisées que les grands comptes. Différentes attaques ont démontré que les pirates avaient infiltré les gros industriels par rebond, c’est-à-dire en commençant par infiltrer le réseau de leurs sous-traitants.
Quelle est la position des fabricants d’automates ?
Les principaux fournisseurs publient des guides sur la cybersécurité et incitent leurs clients à suivre leurs recommandations, que ce soit en amont (avant la mise en place d’automates) ou en aval, lors des différentes interventions (notamment lors des maintenances). Mais dans les environnements réglementés comme la santé et la pharmacie, la modification de ces systèmes (par exemple, le changement du mot de passe par défaut) par les industriels eux-mêmes peut entraîner la perte de différentes certifications et de la garantie de ces machines. Pour répondre au contexte actuel, il convient donc aux fabricants de modifier certains points critiques (mot de passe ou compte par défaut par exemple) ou de recommander de changer les équipements arrivant en fin de vie, car ils seraient considérés comme des matériels défectueux.
Quelles sont les bonnes pratiques à mettre en place ?
S’il existe des équipements avec des protocoles vulnérables et qui engendrent un impact critique, il faut commencer par les isoler physiquement et logiquement. C’est indispensable, mais les dernières attaques ont montré que cet isolement n’était pas correctement réalisé chez toutes les entreprises. Les industriels doivent aussi déployer des solutions plus innovantes et performantes. Une fois déployées sur site, on leur laisse un peu de temps pour que leurs moteurs d’intelligence artificielle et de connaissance maîtrisent précisément l’environnement et les différentes opérations. Une fois le contexte maîtrisé, ces systèmes passent en mode détection. Dès qu’un comportement anormal (un changement de process un samedi soir, une modification de la température enregistrée par un capteur…) est repéré au niveau opérationnel, une alerte est envoyée au système central pour lancer des investigations. La partie cybersécurité de ces solutions va alors scanner tous les équipements et s’appuyer sur une base de connaissance des failles. Dès qu’une tentative d’intrusion exploitant une vulnérabilité a été constatée, elle bloque l’attaque et lève l’alerte au centre des opérations. Cette méthode, proactive et réactive, permet de conserver des solutions vulnérables tout en gardant la maîtrise de l’environnement, car leur changement serait complexe et long. Ce n’est pas comme si on changeait un simple ordinateur portable.
Réagissez à cet article
Vous avez déjà un compte ? Connectez-vous et retrouvez plus tard tous vos commentaires dans votre espace personnel.
Inscrivez-vous !
Vous n'avez pas encore de compte ?
CRÉER UN COMPTE