Les 11 points à retenir d'un initié d'entreprises gagnantes en cybersécurité industrielle (IIoT)

En parcourant des blogs et des articles sur la cybersécurité et l'Internet industriel des objets (IIoT ), il est facile de se concentrer tellement sur les complexités (et il y en a beaucoup), que vous perdez de vue la situation dans son ensemble. Il existe d'énormes opportunités dans cet espace, inexploitées par les acteurs existants de la cybersécurité informatique.

Pour le dire en termes simples, lors de la protection de comptes de consommateurs gratuits comme les comptes Gmail ou Facebook, la motivation à investir dans la sécurité est motivée par certains objectifs :protéger la confiance des clients, éviter de porter atteinte à la réputation de l'entreprise, etc. bien sûr, des préoccupations réelles et importantes. Mais lorsqu'une entreprise industrielle essaie de protéger une turbine de 10 millions de dollars, l'économie de l'investissement dans la sécurité devient très différente et beaucoup plus simple. Il y a une raison pour laquelle une grande partie des investissements de sécurité actuels sont dirigés vers l'espace industriel :c'est un marché extrêmement prometteur, et un marché où les nouvelles innovations peuvent avoir un impact énorme.

GE Ventures, la filiale de capital-risque de General Electric, est l'une des organisations qui reconnaît les grandes opportunités (et encore plus la responsabilité) de réduire les coûts et d'éliminer les temps d'arrêt imprévus pour leurs clients. Ils travaillent en étroite collaboration avec des entreprises industrielles depuis des décennies. La société a également construit des relations de confiance de longue date avec ses clients et les aide à tirer parti de l'Internet industriel et à les protéger de ses risques inhérents. Ils relèvent ce défi :leur propre architecture Predix, une plate-forme qui aide à optimiser les processus commerciaux industriels, dispose d'une stratégie étendue de sécurité en profondeur.

En plus de la stratégie de sécurité en profondeur sur leur plate-forme, GE Ventures est toujours à la recherche de startups qui font progresser l'art de la cybersécurité industrielle. Selon eux, il y en a de très talentueux. Bien sûr, l'IIoT n'est pas un marché facile à pénétrer pour les startups. Les réseaux industriels sont différents de l'informatique d'entreprise, ce qui en fait un endroit terrible pour le travail au noir. Avoir une excellente feuille de route produit dans l'informatique traditionnelle n'est pas un droit de naissance pour réussir dans la cybersécurité industrielle. Mais il existe des points communs parmi les startups les plus réussies et les plus prometteuses de cet espace. En voici quelques-uns du point de vue de GE Ventures :

1.) Ils connaissent leur métier.

Il y a beaucoup de choses que GE examine lors de l'évaluation d'une startup :Une équipe avec les bonnes spécialités. Technologie différenciée. Mais le facteur le plus important qui sépare les entreprises qui marchent sur l'eau de celles qui nagent déjà, c'est qu'elles sont composées de haut en bas de personnes qui « obtiennent » des applications industrielles.
Les startups les plus prospères ont une sorte de connaissance institutionnelle du contrôle industriel. systèmes (ICS) - souvent glanés en travaillant dans l'industrie au cours de leurs carrières précédentes. Ils ont appris des leçons importantes (parfois à la dure) :ils connaissent le marché. Ils comprennent ses contraintes. Ils comprennent par l'expérience la surface d'attaque et l'exposition. Et ils gardent toujours, toujours un œil sur la balle :la continuité de l'activité du client.

2.) Ils prêtent le serment d'Hippocrate IIoT :d'abord, ne faites pas de mal.

Peu importe sur quoi elles travaillent, les startups IIoT qui réussissent ne perdent jamais de vue l'objectif principal de leurs clients :cette machine ne peut pas échouer. Quel que soit le travail qu'ils effectuent pour sécuriser un système, ils savent qu'il ne peut absolument pas ralentir ou détruire des actifs industriels. Ils créent une couche de sécurité au moins aussi agile, sinon plus, que les appareils et les systèmes qu'elle protège.

3.) Ils ne rendent pas les choses plus difficiles pour le client.

Les startups IIoT qui réussissent savent que leur client cible fait les choses d'une certaine manière depuis des années. Ils savent qu'il ne faut pas supposer que ces clients ont les mêmes capacités internes et les mêmes connaissances institutionnelles qu'une entreprise non industrielle – ou, en ce qui concerne les logiciels, qu'ils parlent même le même langage. Et ils ne supposent pas que le client sera prêt à combler les lacunes perdues dans la traduction. Les startups IIoT les plus prometteuses sont prêtes à fournir des solutions informatiques aux industriels, et elles n'ont pas peur de préciser que c'est là que réside leur expertise. Mais ils sortent de la porte en parlant OT.

4.) Ils rendent la sécurité intégrée.

Les startups IIoT qui réussissent savent que traiter la sécurité comme une fonctionnalité supplémentaire ou une vente incitative ne fonctionnera jamais. Leurs clients s'attendent à ce que la sécurité soit intégrée au produit et entièrement intégrée au processus industriel existant.

5.) Ils n'essaient pas de manger tout le gâteau à la fois.

La sécurité informatique d'entreprise et la cybersécurité IIoT sont deux animaux totalement différents. Vous ne pouvez pas simplement transférer quelque chose d'un monde à l'autre. Pourtant, il y a des leçons à tirer de l'évolution de la sécurité des entreprises. Parmi les plus importantes auxquelles adhèrent les startups IIoT à succès :elles n'essaient pas de résoudre le problème de sécurité d'un seul coup.

Dans le monde de l'entreprise, nous avons commencé avec un gros problème (la protection des actifs et des données numériques), et nous l'avons finalement divisé en de nombreux problèmes plus petits :sécurité du périmètre, identité/authentification, prévention des pertes de données, conformité, etc. Startups IIoT intelligents appliquer la même réflexion à la cybersécurité IIoT. Ils ne cherchent pas à « résoudre » la cybersécurité industrielle. Ils s'attaquent à des problèmes plus petits et discrets et développent des solutions utiles.

6.) Ils partent de l'hypothèse qu'ils seront être ciblé.

Même les plus grandes et les meilleures entreprises numériques au monde trouvent du code malveillant ou inexpliqué dans leurs environnements, parfois des menaces qui dorment depuis des années. Les startups Smart IIoT s'attendent à ce que leurs solutions soient également soumises aux mêmes types de menaces malveillantes et/ou de collecte de renseignements. Cela ne veut pas dire qu'ils ne consacrent pas beaucoup de temps et d'efforts à essayer d'empêcher les violations. Mais ils consacrent tout autant de temps et d'efforts à s'assurer que, si quelqu'un entre, ils peuvent isoler cette brèche et l'empêcher de s'infiltrer dans le reste du système. Et ils reconnaissent que la surface d'attaque ICS s'étend au-delà des dispositifs et réseaux industriels eux-mêmes, à toutes les parties de l'organisation et de la chaîne d'approvisionnement.

7.) Ils sont prêts à évoluer.

Les startups IIoT qui réussissent n'oublient jamais que pour les clients industriels, aucun temps d'arrêt est acceptable. Ils savent qu'il ne suffit pas d'avoir une excellente technologie :ils doivent être prêts à utiliser cette technologie sur une échelle de milliers de déploiements, parfois dans plusieurs pays, parfois du jour au lendemain.

8.) Ils savent que la sécurité commence bien avant de connecter un seul appareil industriel.

Les startups IIoT qui réussissent reconnaissent que certaines des vulnérabilités les plus dangereuses ne sont pas seulement des défauts dans leur code, mais des faiblesses dans leur chaîne d'approvisionnement. Ils savent que tout OEM qui incorpore des sous-ensembles fabriqués par d'autres peut potentiellement introduire accidentellement un micrologiciel falsifié dans son système. Et ils ont tiré la leçon des fournisseurs qui disposaient d'une excellente technologie, mais qui ont vu les offres s'évaporer parce que le client s'est rendu compte qu'il utilisait un fournisseur non fiable pour un élément de la chaîne d'approvisionnement. Les startups IIoT solides prennent des mesures pour sécuriser leurs produits à chaque étape, de la construction à l'expédition, lorsqu'ils peuvent être les plus vulnérables aux erreurs ou aux acteurs malveillants.

L'un des domaines les plus intéressants actuellement explorés :les grands livres publics. Un nombre croissant d'entreprises se tournent vers les technologies de grand livre public Blockchain pour aider à authentifier les actifs et fournir une piste d'audit avec une chaîne de contrôle de bout en bout. (Des groupes industriels s'impliquent également :la Trusted IoT Alliance a récemment annoncé une nouvelle initiative visant à promouvoir les registres standard pour authentifier les appareils IoT.) Il est encore très tôt, mais un tel travail pourrait s'avérer extrêmement précieux pour ICS, où de nombreuses catégories de non- Les actifs informatiques (moteurs, pièces, sous-pièces) se reconnectent à la dorsale informatique.

9.) Ils ne se laissent pas distraire par des mots à la mode.

L'espace de démarrage, ou du moins les médias qui le couvrent, a tendance à être trop sensible au cycle de battage publicitaire. Quel que soit le dernier concept à la mode (actuellement, l'IA et l'apprentissage automatique), les entreprises se précipitent pour s'assurer qu'elles peuvent prétendre cocher ces cases. Les startups IIoT qui réussissent ne passent pas leur temps à s'inquiéter de la dernière saveur du mois. Ils se concentrent sur le laser pour fournir des réponses concrètes à des problèmes industriels spécifiques.

10.) Ils comprennent la nécessité de sécuriser les données au repos et en mouvement.

Les clients industriels ont besoin de solutions non seulement pour sécuriser les données à la périphérie, là où plus de données que jamais auparavant sont collectées et traitées, mais aussi pour sécuriser les données en mouvement lors de leur transfert vers le cloud.

Les données en mouvement représentent un défi particulièrement lourd pour les systèmes industriels. Certaines entreprises de cet espace développent des solutions pour simplifier la transmission des données cryptées, éliminant ainsi le besoin de décrypter les données à tout moment du transit, et les risques associés.

11.) Ils comprennent que le travail n'est jamais terminé.

Les bonnes startups en cybersécurité reconnaissent qu'elles n'en auront jamais « fini » avec leur solution, et elles ne se sentent pas trop à l'aise avec leur conception actuelle. Ils comprennent que la cybersécurité dans le monde réel signifie une itération continue et indéfinie.

---

Ce n'est pas une liste exhaustive. Mais si vous tracez la voie des entreprises qui développent de nouvelles solutions intéressantes dans le domaine de la cybersécurité IIoT, c'est un bon point de départ.

Auteurs :Michael Dolbec et Abhishek Shukla, directeurs généraux de GE Ventures