Un rapport appelle à une action urgente pour faire face aux cybermenaces contre les infrastructures critiques

Organisation caritative mondiale pour la sécurité, Lloyd's Register Foundation a lancé aujourd'hui un rapport intitulé Operational Cyber ​​Security for the Industrial Internet of Things:Challenges and Opportunities. Il met en évidence une menace imminente pour les infrastructures critiques provenant de cyberattaques, étant donné la dépendance croissante à l'égard de l'Internet des objets (IoT), a déclaré Robert Hannigan, président exécutif international de BlueVoyant et Sadie Creese, professeur de cybersécurité, Département d'informatique, Université d'Oxford.

Le rapport se concentre spécifiquement sur les risques inhérents à l'IoT industriel (IIoT), qui devient rapidement un élément essentiel des infrastructures mondiales critiques, dans des secteurs tels que l'énergie, les transports, l'environnement bâti et l'infrastructure physique, et la fabrication. La sécurité est particulièrement critique dans les environnements IIoT. Il est donc essentiel de comprendre comment fournir des infrastructures sécurisées et résilientes.

L'IIoT exacerbe également les défis de sécurité qui existent déjà. Le rapport vise à hiérarchiser les actions en identifiant les principaux risques émergents et les lacunes dans les capacités pour lesquelles le rythme actuel de changement dans la cybersécurité opérationnelle ne sera pas suffisant. Dans ces environnements, les conséquences d'une défaillance peuvent être systémiques, et le rapport appelle à l'adoption urgente par la communauté IIoT de principes directeurs pour accroître la résilience aux cyberattaques.

Le rapport note les différentes perspectives des personnes responsables de la gestion des risques au sein de l'industrie, qui incluent les opérations et les membres du conseil d'administration, les entreprises et les régulateurs, les équipes d'approvisionnement et de cybersécurité, et fournit un aperçu utile pour accroître la sensibilisation de tous à la cybersécurité.

La principale conclusion du rapport est que le rythme actuel du changement ne correspondra pas à l'émergence rapide de nouvelles menaces de sécurité pour les environnements IIoT. Les capacités actuelles, souligne le rapport, ne sont pas évolutives, n'ont pas été testées ou n'existent tout simplement pas encore. Le rapport indique en outre le point de basculement imminent pour la reprise après des cyberattaques, et les défis pour l'état d'esprit, la réglementation et l'assurance qui peuvent établir des pratiques de sécurité préventives.

Alors que la réglementation, les exigences des fournisseurs de cyber-assurance et l'adoption d'un état d'esprit en matière de cybersécurité au sein des organisations pourraient contribuer à combler les lacunes en matière de capacités opérationnelles et à développer des contrôles des risques qui se traduisent efficacement dans l'IIoT, il existe de nouveaux défis urgents à relever.

La gestion des risques de cybersécurité pour les systèmes traditionnels est déjà confrontée à de nombreux défis. Il s'agit notamment de la simple difficulté d'essayer de cartographier les relations complexes entre les systèmes techniques et humains, et les défis de la communication entre différentes communautés où les cadres de compréhension des risques sont fondamentalement différents.

Bon nombre de ces défis existants resteront et seront exacerbés, et de nouveaux surgiront, à mesure que les approches de gestion des risques seront transposées dans l'IIoT, créant des lacunes en termes de capacités.

En plus d'explorer ces défis à mesure que l'IIoT se développe, le rapport développe des résultats exploitables, notamment :

1. Tenez toujours compte des conséquences des dommages lors de la planification de la gestion des risques
2. Considérez comment les contrôles de sécurité peuvent échouer lorsque vous augmentez l'utilisation des appareils IoT
3. Utilisez des techniques qui peuvent vous fournir une évaluation continue de votre poste (presque en temps réel) par opposition aux évaluations périodiques
4. Considérez comment vos chaînes d'approvisionnement utilisent l'IoT :considérez leur incapacité à maintenir la cybersécurité comme un risque pour vos plans de gestion des risques de sécurité
5. Investir dans les processus de préparation à l'expertise médico-légale
6. Incluez un examen des scénarios futurs dans vos évaluations des risques
7. Investir dans la formation du personnel sur les normes et les bonnes pratiques de l'IoT
8. Collaborer pour établir un protocole d'interface de périphérique pour partager les informations de surveillance de la sécurité

Les auteurs sont Robert Hannigan, président exécutif international de BlueVoyant et Sadie Creese, professeur de cybersécurité, Département d'informatique, Université d'Oxford.

À propos des auteurs

Robert Hannigan, président exécutif international de BlueVoyant , L'ancien directeur du GCHQ, l'establishment britannique de la sécurité, et co-auteur du rapport, déclare :« Au cours des dernières années, nous avons assisté à une augmentation des attaques délibérées visant des infrastructures critiques à travers le monde. Alors que l'adoption de l'IoT dans le secteur industriel continue de croître, une action et des orientations claires sont nécessaires. Notre rapport décrit le contexte de l'IIoT, les problèmes imminents auxquels sont confrontées les infrastructures clés, car elles reposent de plus en plus sur des systèmes connectés, et les solutions possibles pour se prémunir contre les cyberincidents. »

Sadie Creese, professeur de cybersécurité au Département d'informatique de l'Université d'Oxford et co-auteur, ajoute :« Nous devons construire des infrastructures résilientes qui garantissent la sécurité du réseau connecté d'objets en constante expansion. Il y a clairement un besoin urgent de poursuivre les recherches pour comprendre et mettre en évidence les performances de contrôle des risques ; explorer les modèles de responsabilité, les aspects pratiques et les implications pour les marchés de l'IoT ; et développer la coopération internationale pour renforcer la confiance dans la chaîne d'approvisionnement de l'IIoT. »