Sécuriser les systèmes de contrôle industriels et l'IIoT face à un paysage de menaces croissant

Ce n'est plus une question de savoir si un dispositif ou capteur est connecté — c'est qui peut accéder aux données opérationnelles qu'il génère et comment garder ce dispositif ou capteur sécurisé. Cet impératif sous-tend les systèmes convergés qui forment la colonne vertébrale de nos infrastructures critiques.

Plus tôt cette semaine, j'ai eu le privilège de parler à la Conférence Cybersécurité Systèmes de Contrôle Industriels (ICS) de SecurityWeek à Atlanta, GA. L'événement a réuni les défenseurs de première ligne de l'IIoT — opérateurs et partenaires IT travaillant avec SCADA, systèmes contrôle usine, automates, et autres environnements contrôle industriel. Coïncidant avec le Mois National de Sensibilisation Cyber Sécurité, la conférence a mis en lumière le besoin critique de protéger les industries qui soutiennent notre société : défense, génération/transmission énergie, services eau, chimie, oil & gas, pipelines, data centers, dispositifs médicaux, et plus.

Chaque nouveau capteur ou dispositif rejoignant le réseau élargit la surface d'attaque à une profondeur et amplitude sans précédent. L'IIoT n'est pas juste une poignée de gadgets connectés ; c'est un écosystème complexe de capteurs numériques, contrôleurs, machines, logiciels, dispositifs mobiles qui pilotent le tissu même de la société moderne. Sécuriser ces connexions est donc un défi sans cesse croissant.

Également important est l'écosystème tiers qui alimente l'environnement industriel digital. Fabricants, distributeurs, fournisseurs de services des composants composant ICC et IIoT — y compris l'ICT convergent — sont intégraux au cycle de vie du système. Sécuriser cet écosystème est essentiel pour livrer l'assurance aux infrastructures critiques.

Sécuriser l'Écosystème Tiers

Les systèmes de contrôle, dispositifs et capteurs sont hautement variables et souvent customisés pour flux de données spécialisés et exigences opérationnelles. Par exemple, les systèmes de contrôle du secteur énergie ont des tolérances opérationnelles uniques et métriques de demande de pointe bien différents d'un environnement santé connecté. Conséquemment, la gestion et contrôles de ces systèmes divers varient largement.

Selon un récent article EE Times, « Pourquoi l'IIoT est-il si vulnérable aux cyberattaques ? », un driver clé de cette « tempête parfaite » est le patchwork de systèmes OT et contrôle de multiples vendeurs, beaucoup tournant sur logiciels propriétaires et non-updatables. Interfaces homme-machine, unités terminales distantes, maîtres SCADA, automates coexistent dans un labyrinthe de configurations, posant la question : comment gérer la sécurité dans un tel environnement ?

En adressant l'écosystème tiers, je recommande cinq étapes essentielles :

• Étape 1 : Identifier les membres de l'écosystème, comprendre ce qu'ils fournissent, et évaluer leur impact potentiel sur votre sécurité ICs ou IIoT.
• Étape 2 : Évaluer comment ces partenaires intègrent la sécurité dans les solutions devenant partie de vos systèmes d'exploitation.
• Étape 3 : Implémenter une architecture gouvernant la communication dispositifs — appliquer segmentation et principes moindre privilège.
• Étape 4 : Vérifier que les composants tiers opèrent dans vos niveaux de tolérance sécurité définis.
• Étape 5 : Engager avec, et influencer, les politiques, standards et guidance façonnant ICs, IIoT, et leurs écosystèmes, comme ANSI/ISA-62443-4-1-2018, NISTIR Draft 8228, et NERC CIP 013-1.

Secteurs public et privé lancent des initiatives pour adresser ces risques. Le Department of Homeland Security US s'apprête à lancer sa Task Force Chaîne d'Approvisionnement ICT, soulignant l'importance critique de sécuriser tout le cycle de vie des dispositifs digitaux dans notre infrastructure. Cet effort collaboratif offre un chemin prometteur, rassemblant industries diverses pour confronter le paysage de menaces en expansion et l'écosystème tiers croissant.

Pour opérateurs ICs, utilisateurs IIoT, et fabricants, comprendre qui et quoi compose votre écosystème tiers est plus crucial que jamais. Une sécurité complète across cet écosystème est primordiale. Engagez avec pairs industriels, restez informés, et collaborez across secteurs pour atteindre le succès collectif.

Lectures additionnelles sur la sécurisation infrastructures critiques, ICs et IIoT :

• Sécuriser les Infrastructures Critiques à l'Ère Digitale
• Poser les Fondations pour Sécuriser les Infrastructures Critiques – Ne Laissez Pas les Lumières S'éteindre sur la Sécurité Infrastructures Critiques