Sécuriser l'IoT industriel : stratégies pratiques pour les systèmes cyber-physiques

Quand les organisations lancent des initiatives Industrial Internet of Things (IIoT), le terme peut sembler abstrait pour les équipes de sécurité. « Les praticiens de la sécurité doivent aller au-delà des concepts et se concentrer sur les réalités concrètes des systèmes cyber-physiques », déclare Katell Thielemann, VP Analyst chez Gartner.

Thielemann avertit que la vitesse l'emporte souvent sur la sécurité. « Le déploiement initial ne doit pas devancer une stratégie holistique couvrant l'ensemble du cycle de vie des systèmes », note-t-elle. Trop d'entreprises appliquent encore une vision centrée IT aux environnements industriels, ce qui peut laisser des actifs critiques vulnérables.

Santha Subramoni, Responsable mondiale des services de cybersécurité chez Tata Consultancy Services, souligne l'attention croissante des dirigeants et régulateurs envers la sécurité de la technologie opérationnelle (OT). Elle explique qu'amener l'OT dans une cyber-visibilité complète est complexe : la surface de menace est vaste, couvrant capteurs, appareils edge, connectivité, données, applications et écosystèmes d'hébergement. Les technologies existantes et les réseaux isolés limitent davantage la visibilité des endpoints, rendant la prévention difficile.

Subramoni insiste sur la nécessité d'un suivi continu des vulnérabilités à plusieurs niveaux. « Les organisations doivent maintenir un catalogue à jour des vulnérabilités et la technologie pour les adresser », dit-elle.

Étude de cas : HIL Ltd. sécurise son déploiement IIoT

Le fabricant de matériaux de construction HIL Ltd. a entamé sa transformation numérique avec la technologie de plancher d'usine numérique dans quatre usines indiennes, selon le Directeur des Systèmes d'Information Murali Raj. Le système relie toutes les machines sur un réseau unique, améliorant l'efficacité et la qualité.

« Nous passons maintenant à la maintenance prédictive et à la qualité », explique Raj. « La sécurité doit évoluer avec ces nouvelles capacités. » Les données temps réel des capteurs, automates et systèmes SCADA sont transmises au cloud via le réseau IT de HIL, où elles sont analysées instantanément et des alertes sont générées pour les opérateurs.

Auparavant, les systèmes SCADA opéraient dans des « îlots » isolés. Le passage à la connectivité internet a requis des pare-feu côté IT et des normes rigoureuses de sécurité des appareils. Les correctifs firmware et logiciels réguliers sont devenus obligatoires.

Au-delà de la technologie, HIL a adressé les gens et les processus. « Nos ingénieurs maintenance et électricité n'avaient auparavant aucune interaction avec les équipes IT ou sécurité », dit Raj. « Maintenant ils collaborent, partagent les mises à jour, et adoptent des pratiques de sécurité IT comme les permissions de rôle et la gestion des mots de passe. » Les partenaires externes EY et Deloitte ont fourni un cadre objectif pour aligner la sécurité IT et OT.

Protéger les appareils et actifs critiques

Bien que les attaques IIoT soient plus rares que les violations IT traditionnelles, leur impact peut être catastrophique — allant de la perte de production aux dommages d'équipement, vol de données, espionnage industriel, et même blessures corporelles. Asaf Karas, CTO chez Vdoo, exhorte les organisations à protéger les actifs critiques dès leur entrée en production.

Karas recommande :

• Implémenter une gestion des risques et menaces adaptée aux environnements industriels.
• Sécuriser les nouveaux appareils par conception, éliminant les faiblesses exploitables tierces ou propriétaires.
• Utiliser des outils de gestion d'actifs pour découvrir et identifier les actifs industriels post-déploiement.
• Déployer des agents runtime d'endpoint spécifiquement conçus pour les appareils IIoT pour permettre une surveillance continue.

Gérer l'hyper-connectivité

De nombreux appareils IIoT n'ont pas été conçus avec la sécurité à l'esprit, dit Kyle Miller, Principal/Directeur chez Booz Allen Hamilton. Les systèmes d'exploitation temps réel existants manquent des protections des plateformes IT modernes, élargissant dramatiquement la surface d'attaque d'une organisation.

Miller conseille d'établir un environnement zero-trust qui contrôle quels appareils peuvent communiquer et limite le rayon d'impact en cas de compromission. « Avant de déployer l'IIoT, comprenez les risques », dit-il. « Évaluez la posture sécurité du fournisseur, le chiffrement et les contrôles d'accès. »

La segmentation est essentielle : « Les appareils IIoT doivent être isolés des autres réseaux IT et OT pour prévenir la propagation d'une seule violation », ajoute Miller.

Hygiène cyber organisationnelle

David Forbes, Principal/Directeur chez Booz Allen Hamilton, souligne que de nombreuses violations découlent d'une faible hygiène organisationnelle. « Discipline, protocoles et gouvernance font souvent défaut », note-t-il. Les environnements industriels sont de plus en plus attractifs pour les attaquants, surtout après la hausse des vulnérabilités et menaces en 2020.

Thielemann insiste sur une approche par cycle de vie : « Les considérations de sécurité doivent être intégrées des exigences et conception jusqu'à l'achat, déploiement, maintenance et retrait. » Les systèmes industriels exigent des contraintes uniques — emplacement physique, résilience opérationnelle, sécurité — qui doivent être intégrées dans la stratégie. Les modèles centrés IT doivent évoluer pour accommoder le patching, la surveillance et l'authentification dans ces contextes.

Subramoni ajoute que si l'ingénierie et la production possèdent généralement l'IIoT, « la supervision de la transformation et la modernisation technologique doivent être coordonnées à travers l'organisation. » Des partenaires de confiance peuvent aider à étendre la protection tout en gérant les coûts dans ce paysage en évolution rapide.