Cadre de sécurité de l'Internet Industriel : protéger les systèmes IIoT — pourquoi c'est crucial

Les systèmes Internet Industriel des Objets (IIoT) fusionnent le contrôle industriel avec les plateformes d'entreprise, pilotant de nouveaux modèles économiques et l'excellence opérationnelle. Le Forum Économique Mondial rapporte que l'Internet Industriel va remodeler la concurrence, brouiller les frontières industrielles et engendrer des ventures disruptives ^[1].

Si les avantages sont clairs, la sécurité et l'interopérabilité restent les défis les plus redoutables. Une illustration frappante vient du test Aurora Generator de 2007 par l'Idaho National Laboratory, qui a montré comment un programme malveillant pouvait déclencher les disjoncteurs d'un générateur diesel pour les ouvrir et fermer hors phase, causant potentiellement des dommages catastrophiques ^vidéo. Bien qu'Aurora ne soit pas une faille logicielle, l'expérience souligne comment l'infrastructure legacy et les protocoles obsolètes exposent les actifs critiques aux attaquants.

Depuis 2007, des incidents réels ont mis en lumière les enjeux. Attaques sur le réseau électrique ukrainien ^[2] et une aciérie allemande ^[3], ainsi que des malwares comme Stuxnet, démontrent que l'Internet Industriel doit défendre à la fois les systèmes legacy et les technologies émergentes avec une sécurité intégrée.

L'Industrial Internet Consortium (IIC) — une coalition de plus de 250 entreprises — pilote la direction architecturale de l'industrie. Reconnaissant l'urgence de sécuriser les actifs legacy, le Groupe de Travail Sécurité de l'IIC a lancé un processus de consensus qui a abouti au Industrial Internet Security Framework (IISF) en 2016. Le cadre guide les Testbeds IIC et les déploiements réels.

L'IISF est organisé en sections distinctes, chacune adressant une perspective de sécurité spécifique :

Partie I : Introduction

Cette section définit les caractéristiques uniques des systèmes IIoT, décrit les exigences de fiabilité, et contraste l'IIoT avec l'IT, l'OT et l'IoT grand public, soulignant les implications pour le design de sécurité.

Partie II : Le Point de Vue Business

Ici, les organisations apprennent à identifier, communiquer et gérer le risque, tout en évaluant la sécurité à travers les couches business, architecture et technologie.

Partie III : Points de Vue Fonctionnel et Implémentation

Elle détaille les blocs fonctionnels — protection des endpoints, communications sécurisées, gestion de configuration, et surveillance — et les meilleures pratiques pour sécuriser les déploiements IIoT.

Le prochain Forum de Sécurité de l'Internet Industriel de l'IIC, hébergé au siège de RTI, approfondira le cadre. L'agenda est disponible ici. Dans ma présentation, je couvrirai les stratégies fonctionnelles et d'implémentation pour sécuriser les communications, et le VP Produits & Marchés de RTI, David Barnett, présentera une étude de cas sur la protection des systèmes Medical IoT avec Data Distribution Service Security pour les Environnements Cliniques Intégrés ^[4].

Notes de bas de page :
[1] Rapport Forum Économique Mondial
[2] Wired : piratage réseau électrique Ukraine
[3] Wired : piratage aciérie allemande
[4] Protection des Environnements Cliniques Intégrés