Les industriels sont prévenus : « risque accru pour les réseaux de technologie opérationnelle » avertit l’European Union Agency for Cybersecurity. En intégrant de plus en plus de composants informatiques, les industries sont confrontées aux mêmes menaces que les entreprises. Mais la gestion de leur sécurité est plus complexe. Un contexte favorable aux attaques organisées par des États.
Dans son dernier rapport « Threat Landscape », paru fin novembre dernier, l’agence européenne indique que « l’intérêt des acteurs étatiques à cibler les infrastructures critiques et les réseaux de technologie opérationnelle augmenterait certainement dans un proche avenir ».
L’ENISA[1] n’est pas la seule à tirer la sonnette d’alarme. Tous les experts en cybersécurité et les agences gouvernementales, comme l’ANSSI en France, constatent de plus en plus de collecte de renseignements et de déploiement de logiciels malveillants ciblant l’OT. L’Operational Technology est en effet un rouage essentiel aux industriels. Il concerne en effet les composants matériels et logiciels qui détectent ou contrôlent les équipements industriels (machines-outils, bras robotisés, robots, chaînes de production…).
Ce maillon essentiel est maintenant dans le viseur des pirates. Publiée l’an passé, une étude mondiale de Fortinet, un des leaders de la cybersécurité, indiquait que 93 % du secteur OT avaient subi une intrusion sur les 12 derniers mois et 78 % en avaient enregistré plus de trois. Aucun secteur n’y échappe : industries pétrolière et gazière, production et distribution d’électricité, l’aviation, la marine, le ferroviaire, etc.
Convergence
Ces risques doivent être pris au sérieux par tous les industriels, car il y a une convergence des réseaux informatiques (IT – Information Technology) et industriels (OT – Operational Technology). Auparavant, les réseaux informatiques IT et OT étaient gérés séparément. Mais depuis quelques années, avec la transformation numérique, la convergence entre ces deux sphères est de plus en plus forte.
Or, l’intégration progressive dans les systèmes OT de fonctionnalités informatiques innovantes est à double tranchant : elle permet de gagner en efficacité, mais elle augmente aussi la surface d’attaque.
En un mot, l’infrastructure industrielle n’échappe plus aux maux de l’informatique : vulnérabilité, gestion des mots de passe, déploiement de correctifs de sécurité… Mais à la différence de la cybersécurité des réseaux informatiques « conventionnels », la cybersécurité industrielle a des contraintes particulières. Pour les industriels, l’un des défis principaux est d’assurer la continuité de service.
S’il est possible de faire redémarrer des ordinateurs pour appliquer une mise à jour majeure, il n’est pas aussi évident d’arrêter et de redémarrer une chaîne de production ou des automates surveillant un réseau ferroviaire. Autre difficulté inhérente à l’OT : il s’agit de systèmes qui ont parfois plusieurs décennies d’existence et sur lesquels plusieurs sociétés de maintenance sont intervenues, mais il n’existe pas forcément d’historique précis des modifications… Impossible d’avoir une vision précise et exhaustive de l’infrastructure industrielle.
Attaques menées par des États
La situation est d’autant plus inquiétante que les industriels ne sont pas prêts à affronter ces différentes menaces. La preuve, plus d’un tiers (35 %) des entreprises interrogées ne savent pas si leur organisation a été victime d’un piratage selon le rapport SANS « The State of OT/ICS Cybersecurity in 2022 and Beyond ». Le Sans Institute est une organisation regroupant 165 000 professionnels de la sécurité ayant pour but de mutualiser l’information concernant la sécurité des réseaux informatiques.
Ce contexte est donc favorable aux cyberattaquants. Mais pas n’importe lesquels. Si les médias relatent régulièrement des attaques visant une cartonnerie ou un fabricant de porcelaine, ces affaires relèvent de l’anecdote. Sans pour autant minimiser les impacts d’une action malveillante pour l’entreprise et ses salariés (perte d’activité durant plusieurs semaines, trésorerie affectée, impacts psychologiques…), ces affaires montrent que les cibles n’étaient pas prêtes, mais surtout qu’elles n’ont pas eu de chance. Elles ont été victimes d’une attaque de masse.
Ce n’est pas le cas des attaques ciblées. Organisées par des États, elles visent à impacter l’activité d’un pays en paralysant les industries essentielles.
[1] The European Union Agency for Cybersecurity.
Réagissez à cet article
Vous avez déjà un compte ? Connectez-vous et retrouvez plus tard tous vos commentaires dans votre espace personnel.
Inscrivez-vous !
Vous n'avez pas encore de compte ?
CRÉER UN COMPTE