S'attaquer au paysage croissant des menaces des SCI et de l'IIoT

Ce n'est un secret pour personne que la prolifération des appareils et des capteurs connectés a introduit des défis de sécurité nouveaux et croissants dans tous les secteurs et entreprises. La question n'est plus de savoir si un appareil ou un capteur est connecté numériquement. Aujourd'hui, l'accent doit être mis sur qui a accès aux données opérationnelles générées et comment s'assurer que l'appareil ou le capteur est sécurisé . C'est un impératif pour les systèmes convergés qui constituent la base de notre infrastructure critique.

Cette semaine, j'ai eu le privilège de prendre la parole à la conférence sur la cybersécurité ICS de SecurityWeek à Atlanta, en Géorgie. La conférence a permis de rassembler ceux qui étaient en première ligne de l'IIoT - les opérateurs et les partenaires informatiques traitant des cybermenaces pour les systèmes de contrôle industriel (ICS), y compris des éléments tels que les systèmes SCADA, les systèmes de contrôle d'usine et les contrôleurs logiques programmables (PLC). ). Par coïncidence, les activités du Mois national de sensibilisation à la cybersécurité de cette semaine sont axées sur l'importance de sécuriser les infrastructures critiques, et mes collègues participants à la conférence représentaient de nombreuses industries qui sous-tendent cette infrastructure - défense, production d'électricité, transmission et distribution, services d'eau, produits chimiques, pétrole et le gaz, les pipelines, les centres de données, les appareils médicaux, et plus encore.

L'augmentation du nombre de capteurs et d'appareils connectés crée une surface d'attaque d'une profondeur et d'une ampleur sans précédent. Si l'on considère que l'IIoT est composé de capteurs numériques, de contrôleurs, de machines, de logiciels et d'appareils mobiles qui pilotent désormais les SCI et l'infrastructure qui constitue la base même de la société, le défi de sécuriser ces connexions augmente à un rythme exponentiel.

Pourtant, il existe une réalité supplémentaire à ce défi sécuritaire. L'indispensable nécessité de répondre à l'écosystème tiers qui fait partie intégrante du cycle de vie de l'environnement industriel numérique. Cet écosystème comprend les fabricants, les distributeurs et les fournisseurs de services des composants qui composent l'ICS et l'IIoT, y compris les technologies de l'information et des communications (TIC) avec lesquelles ICS/IIoT a convergé.

Entrez dans le besoin crucial de sécuriser cet écosystème tiers pour fournir une assurance d'infrastructure critique.

Sécurisation de l'écosystème tiers

Les systèmes de contrôle, les dispositifs et les capteurs sont intrinsèquement variables, avec une personnalisation pour les flux de données et les opérations spécialisées. Par exemple, le secteur de l'énergie disposera de systèmes de contrôle avec des tolérances de fonctionnement uniques et des mesures de demande de pointe - des facteurs qui peuvent être anodins dans un environnement de prestation de soins de santé connecté. De plus, la gestion et les contrôles de ces divers systèmes, capteurs et dispositifs varieront également.

Selon un article récent dans EE Times, Pourquoi l'IIoT est-il si vulnérable aux cyberattaques ?, l'un des éléments clés à l'origine de cette « tempête parfaite » de menaces de sécurité est le « patchwork de systèmes OT et de contrôle de plusieurs fournisseurs exécutant des des logiciels pouvant être mis à jour, y compris des ordinateurs à interface homme-machine (IHM) avec accès à des unités terminales distantes (RTU), SCADAmaster (ordinateurs de contrôle de supervision) et des contrôleurs logiques programmables (PLC). Comment gérez-vous la sécurité dans un tel environnement aux configurations apparemment infinies ?

Lorsque j'aborde l'écosystème tiers des fournisseurs d'appareils et de capteurs ICS et IIoT, je propose cinq étapes clés pour aborder la sécurité :

Étape 1 : Sachez qui compose cet écosystème, ce qu'il fournit et comment il peut avoir un impact sur votre sécurité ICS ou IIoT.

Étape 2 : Comprenez ce que les membres de votre écosystème font pour intégrer la sécurité dans les solutions qui composent vos systèmes d'exploitation.

Étape 3 : Déployez une architecture pour contrôler quels appareils communiquent avec quels autres appareils – tirez parti des principes de segmentation et d'accès au moindre privilège.

Étape 4 : Évaluez si les tiers de votre écosystème fonctionnent dans les limites de vos niveaux de tolérance de sécurité.

Étape 5 : Connaître et contribuer aux politiques, normes et directives ayant une incidence sur le SCI, l'IIoT et son écosystème tiers (par exemple, ANSI/ISA-62443-4-1-2018, « Security for industrial automation and control systems Part 4-1 :Exigences du cycle de vie du développement de la sécurité des produits ; » US NISTIR Draft 8228, « Considérations pour la gestion des risques de cybersécurité et de confidentialité de l'IoT ; » NERC CIP 013-1, « Atténuer les risques de cybersécurité pour le fonctionnement fiable du système électrique en vrac (BES) en mettant en œuvre des contrôles de sécurité pour la gestion des risques de la chaîne d'approvisionnement des systèmes électroniques BES »).

De nouveaux efforts sont en cours pour lutter contre la sécurité dans les secteurs public et privé. Par exemple, le Département de la sécurité intérieure des États-Unis en est aux dernières étapes du lancement de son ICT Supply Chain Task Force. Cette reconnaissance de l'impact de l'écosystème tiers et du besoin de sécurité tout au long du cycle de vie des appareils numériques prenant en charge, livrés et fonctionnant dans notre infrastructure critique me donne de l'espoir. Espérons que, grâce à un partenariat public/privé dans un large éventail d'industries, y compris les infrastructures critiques, nous travaillerons à l'unisson pour relever le défi de sécurité d'un paysage de menaces en constante expansion accompagné d'un écosystème tiers croissant. Ce sera une entreprise majeure, mais c'est un pas dans la bonne direction.

Plus que jamais, le besoin de savoir qui et ce qui constitue votre écosystème tiers est impératif. Une sécurité complète dans cet écosystème est primordiale. Ceci est particulièrement important pour les opérateurs ICS dans les infrastructures critiques, ainsi que pour les utilisateurs et les fabricants d'appareils connectés IIoT dans tous les secteurs. La bonne nouvelle est que les secteurs public et privé travaillent ensemble pour relever directement ce défi. Impliquez-vous, restez informé et collaborez à la fois au sein de vos propres industries et dans d'autres industries pour assurer notre succès collectif.

Autres lectures sur la sécurisation des infrastructures critiques, les SCI et l'IIoT :

• Sécuriser les infrastructures critiques à l'ère numérique
• Jeter les bases de la sécurisation des infrastructures critiques Ne laissez pas les lumières s'éteindre sur la sécurité des infrastructures critiques