Le cadre de sécurité Internet industriel :qu'est-ce que c'est et pourquoi vous devriez vous en soucier

Les systèmes de l'Internet des objets industriels (IIoT) connectent et intègrent les systèmes de contrôle industriel aux systèmes d'entreprise, aux processus métier et aux analyses. Selon le Forum économique mondial (WEF), l'Internet industriel sera extrêmement transformateur; cela va changer la base de la concurrence, redessiner les frontières de l'industrie et créer des entreprises perturbatrices ^[1] . Une efficacité opérationnelle considérablement améliorée, l'émergence d'une économie de résultats et de nouveaux écosystèmes connectés - qui brouillent les frontières traditionnelles de l'industrie - sont parmi les principales opportunités commerciales. Il y a, bien sûr, d'importants obstacles à surmonter, parmi lesquels la sécurité et l'interopérabilité basées sur le même rapport.

Les risques de sécurité dans les systèmes IIoT ne peuvent pas être sous-estimés. Pour avoir un aperçu de ce qui pourrait potentiellement arriver, jetez un œil à la vidéo suivante; démontrant une expérience connue sous le nom d'Aurora Generator Test, menée par l'Idaho National Lab en 2007 :

L'expérience montre comment un programme informatique pourrait être utilisé pour ouvrir et fermer rapidement les disjoncteurs d'un générateur diesel en déphasage par rapport au reste du réseau, provoquant son explosion. La vulnérabilité Aurora elle-même n'est pas une vulnérabilité logicielle, mais l'existence d'une énorme quantité d'anciennes infrastructures et de protocoles de communication hérités suscite des inquiétudes quant à la sécurité de ces systèmes et à la capacité des attaquants à exploiter cette vulnérabilité.

Bien sûr, beaucoup de choses se sont passées depuis 2007, lorsque l'expérience de recherche Aurora a été menée. De véritables attaques contre les infrastructures critiques ont déjà eu lieu. Attaques contre le réseau électrique ukrainien ^[2] et une aciérie allemande ^[3] ou l'existence de logiciels malveillants comme StuxNet indiquent que l'Internet industriel devrait prendre les mesures nécessaires pour protéger le grand nombre de systèmes existants déjà déployés, en plus de proposer de nouveaux processus et technologies avec un support de sécurité intégré de manière réfléchie.

L'Industrial Internet Consortium (IIC), le principal consortium de l'Internet industriel, comprend plus de 250 entreprises et définit le cadre architectural et l'orientation de l'Internet industriel. L'IIC a reconnu la nécessité de protéger les systèmes existants et de développer un support de sécurité intégré depuis sa création en 2014. Le groupe de travail sur la sécurité de l'IIC a été chargé de lancer un processus visant à créer un large consensus de l'industrie sur la façon de protéger les systèmes IIoT. Ces orientations seraient également appliquées dans les bancs d'essai IIC, des prototypes de systèmes IIoT développés par des équipes composées d'entreprises membres d'IIC. Après deux ans de travail acharné, l'IIC a publié la première version de ce document d'orientation, intitulé « Industrial Internet Security Framework (IISF). »

L'IISF est composé de différentes parties, chacune traitant de points de vue et d'aspects différents de la sécurité de l'Internet industriel.

Partie I :Introduction

Dans la partie I, les principales caractéristiques des systèmes IIoT et leurs exigences d'assurance qui rendent ces systèmes dignes de confiance sont examinées. En outre, les aspects des systèmes IIoT qui se distinguent des systèmes de technologie de l'information (TI), des systèmes de technologie opérationnelle (OT) et des systèmes IoT grand public sont discutés et leurs conséquences pour les conceptions de sécurité explorées.

Partie II :Le point de vue de l'entreprise

Dans la partie II, différents aspects de l'identification, de la communication et de la gestion des risques sont abordés, ainsi que les exigences et les approches pour évaluer la sécurité des organisations, des architectures et des technologies.

Partie III :Points de vue fonctionnels et de mise en œuvre

Cette section décrit les blocs de construction fonctionnels pour la mise en œuvre de la sécurité dans les systèmes IIoT, ainsi que les technologies associées et les meilleures pratiques pour protéger les terminaux, les communications et la connectivité, la configuration, la gestion et la surveillance.

Lors du prochain forum IIC Industrial Internet Security, organisé au siège de RTI, les auteurs et les éditeurs de l'IISF couvriront plus de détails sur le cadre. Voir l'ordre du jour complet ici. Dans ma présentation, j'aborderai plus en détail les aspects fonctionnels et de mise en œuvre de la protection des communications et de la connectivité. Le vice-président des produits et marchés de RTI, David Barnett, passera en revue un cas d'utilisation spécifique sur la protection des systèmes IoT médicaux :montrant pourquoi et comment la sécurité du service de distribution de données pourrait être utilisée pour protéger les environnements cliniques intégrés (ICE) ^[4] .

Notes de bas de page :
[1] http://www3.weforum.org/docs/WEFUSA_IndustrialInternet_Report2015.pdf
[2] https://www.wired.com/2016/03/inside-cunning-unprecedented-hack-ukraines-power-grid/
[3] https://www.wired.com/2015/01/german-steel-mill-hack-destruction/
[4] En savoir plus sur la protection des environnements cliniques intégrés dans cet article.