Table ronde des dirigeants : Renforcer la sécurité des installations et du réseau pour les leaders de la fabrication

L'un des aspects les plus importants de toute installation de fabrication est la sécurité — qu'il s'agisse de protéger les machines ou les données. Tech Briefs a posé des questions à des dirigeants d'entreprises fournissant des solutions de sécurité réseau et d'installations pour obtenir leurs points de vue sur des sujets tels que la cybersécurité, le cloud, les appareils sans fil et la sécurisation d'une main-d'œuvre à distance.

Nos participants sont Mike Jabbour, Directeur Général, Connectivité Numérique et Énergie chez Siemens Digital Industries ; Mike Lloyd, Directeur Technique chez RedSeal ; Radu Pavel, Directeur Technique et Ingénieur en Chef chez TechSolve ; et Donovan Tindill, Stratège Principal en Cybersécurité chez Honeywell Connected Enterprise – Cybersécurité.

Tech Briefs : Avec plus de personnes travaillant à distance en raison de la pandémie de COVID-19, quelles procédures et systèmes de sécurité devraient être mis en place pour l'exploitation, le diagnostic et la maintenance à distance des équipements ?

Mike Lloyd : Dans la précipitation vers le télétravail, la plupart des équipes de sécurité ont été submergées par une vague de demandes pour des contrôles améliorés sur les ordinateurs portables, de nouvelles exigences VPN, de nouveaux services cloud, etc. ; cependant, un aspect fréquemment négligé est l'ensemble des actifs d'entreprise qui n'ont pas bougé lorsque les opérateurs sont partis. Soudain, les opérateurs avaient besoin de capacités à distance pour piloter et diagnostiquer tout équipement physique resté sur place. En sécurité, « à distance » signifie toujours « risque ». Tout nouveau chemin de contrôle entre les travailleurs à distance et les actifs physiques de l'entreprise augmente la surface d'attaque. Il est judicieux pour les équipes de sécurité de réauditer la manière dont tous les actifs physiques de l'entreprise peuvent être atteints. Si vous saviez comment tout cela fonctionnait avant le COVID, vous ne le savez probablement plus maintenant.

Radu Pavel : La situation du COVID-19 accélère la numérisation de l'environnement de travail. Alors que les réalités business poussent le besoin de données en temps réel depuis de nombreuses fonctions, les avantages potentiels des nouvelles technologies alimentent le désir de connecter les appareils de production et non-production sur le terrain d'usine. L'appétit des fabricants pour les technologies avancées dépasse rapidement leur capacité à les protéger, et cet environnement riche en connectivité et en données soulève des préoccupations et défis significatifs en matière de cybersécurité. Les fabricants font face à des défis supplémentaires dus à la nécessité de protéger non seulement les systèmes IT mais aussi la technologie opérationnelle (OT), qui peut aller des capteurs aux automates, contrôleurs de robots, machines-outils et autres équipements opérationnels.

Mike Jabbour : La bonne nouvelle est que le COVID n'a pas changé les équipements ou processus globaux nécessaires pour les communications à distance — il n'a fait qu'accélérer la nécessité d'utiliser les technologies déjà disponibles. Toutes les entreprises n'ont pas à faire exactement la même chose en matière d'applications à distance et de sécurité, mais les bases doivent toujours être intégrées. Il existe de nombreux autres appareils de sécurité à considérer, mais au minimum, une connexion VPN, un pare-feu et un serveur de rebond (jump server) doivent être utilisés.

La communication à distance doit toujours être correctement authentifiée, chiffrée et coupée lorsqu'elle n'est pas utilisée. Un pare-feu approprié protège le trafic interne d'un réseau non fiable. S'il y a plusieurs segments de réseau, la communication via le pare-feu doit protéger chacun des segments internes les uns des autres. En matière de communications à distance, le chiffrement du trafic de l'utilisateur distant vers le réseau de confiance est toujours considéré comme une meilleure pratique. Cela peut être fait avec un appareil VPN. Il ne doit y avoir aucune communication directe d'un réseau non fiable vers le réseau sécurisé.

Donovan Tindill : Pour l'accès à distance à un système de contrôle industriel/technologie opérationnelle (ICS/OT), les conséquences et pertes d'une cyberattaque sont significativement plus élevées que pour l'accès aux technologies de l'information (IT). Pour réduire ce risque business, des sauvegardes supplémentaires sont nécessaires, notamment l'authentification multifacteur depuis les réseaux non fiables. La confiance est relative — le réseau d'entreprise a une confiance inférieure aux systèmes ICS/OT. Un VPN typique permet à un utilisateur de se connecter à volonté 24/7. Une approbation explicite d'accès est requise pour chaque session, chaque utilisateur et chaque jour lors du travail à distance, en raison du potentiel de conséquences des cyberattaques ICS/OT.

Tech Briefs : Cela semble être une épée à double tranchant : le cloud, les réseaux de capteurs sans fil et autres systèmes industriels ont apporté de nouveaux avantages passionnants pour les usines numériques, mais en même temps, ces technologies de fabrication intelligente augmentent massivement la surface d'attaque. Comment concilier accessibilité et sécurité ?

Lloyd : L'Internet Industriel des Objets (IIoT) apporte de grands avantages mais aussi de grands risques. En général, tous les « objets » de l'Internet des Objets doivent être traités comme fragiles et non fiables. Cela choque les équipes habituées à gérer des infrastructures SCADA isolées, mais les temps ont changé. Compte tenu de la fragilité des systèmes IoT, la seule approche raisonnable est la segmentation du réseau — tous les chemins d'accès possibles doivent être pris en compte et les systèmes industriels doivent être isolés au maximum. Avec le temps, l'accès devient laxiste et des erreurs sont commises, il faut donc un moyen de revérifier en continu que l'accès n'est que ce qu'il devrait être, afin de stopper la dérive du réseau.

Tindill : L'accessibilité peut être équilibrée avec la sécurité, mais de nouvelles normes sont établies en même temps. La sécurité aéroportuaire avant le 11 septembre était très différente d'aujourd'hui, mais la nouvelle normale est bien établie avec de nouvelles technologies et protocoles qui permettent encore un contrôle de sécurité rapide. Avec les nouvelles technologies, une formation sur les solutions est requise et si la cybersécurité y est intégrée, l'expérience utilisateur et l'accessibilité ne posent pas de problème. Les avantages business de ces nouvelles technologies et usines numériques ont le potentiel de délivrer des résultats jamais vus. Le rôle de la cybersécurité est de protéger l'investissement dans le cloud, les réseaux de capteurs sans fil et autres systèmes industriels pour qu'ils délivrent leur ROI tout en étant plus résilients aux cyberattaques. L'authentification multifacteur, l'infrastructure à clé publique, la cryptographie et autres contrôles de sécurité — lorsqu'ils sont correctement mis en œuvre — sont pratiquement transparents pour l'utilisateur et fournissent un niveau supplémentaire de contrôle d'accès inatteignable avec les technologies héritées.

Jabbour : Les réseaux intentionnellement planifiés et segmentés sont la colonne vertébrale non seulement d'un système de communication d'usine mais aussi des meilleures pratiques de sécurité. Un réseau ICS segmenté peut aider à protéger les réseaux de capteurs les uns des autres lors d'une attaque, ce qui signifie qu'un accès dans une seule section de votre usine ne ferait pas tomber l'ensemble de l'entreprise d'un seul coup. Cela doit également être couplé à la connaissance et à la compréhension des vulnérabilités de votre installation. Simplement placer un appareil et s'en aller est la procédure principale pour offrir aux pirates un plan d'attaque vers votre système. Gérer tous les appareils du réseau inclut non seulement de savoir et comprendre quels appareils sont là, mais aussi des revues régulières des vulnérabilités et de leur niveau de menace (faible/moyen/élevé).

Pavel : L'échelle et la vitesse de la numérisation et de la croissance des réseaux de connectivité entraînent une augmentation des risques de cybersécurité. Ce n'est pas seulement l'échelle de l'exposition mais la vulnérabilité des systèmes cyber-physiques connectés. Ces nouveaux systèmes n'ont pas été intrinsèquement conçus avec la cybersécurité à l'esprit. Aggravant le problème, le potentiel d'impacts négatifs sur la performance résultant de l'intégration de technologies de cybersécurité courantes dans les systèmes existants. Équilibrer accessibilité et sécurité est une stratégie multi-facettes qui repose sur des protocoles de communication standard, le chiffrement des données transférées sur les réseaux, l'exploitation des normes de cybersécurité les plus récentes, et la mise en œuvre de technologies permettant d'identifier et d'atténuer les menaces en temps réel.

Jabbour : Parce que la cybersécurité est le plus facilement négligée. La plupart des installations IIoT essaient de satisfaire un besoin business et la cybersécurité n'est généralement pas un sujet de conversation standard dans les besoins business jusqu'à ce qu'une attaque se produise.

Lloyd : Cyniquement, parce que la sécurité est toujours le dernier élément de tous les déploiements. La poussée pour l'IoT est axée sur les fonctionnalités et le coût. Cela signifie que les appareils sont produits rapidement, au prix minimum, et vous obtenez la sécurité pour laquelle vous payez. Les appareils ne sont souvent pas patchables et ne peuvent pas supporter les agents et scanners traditionnels de nos boîtes à outils de sécurité. Donc, la sécurité IoT est un problème très difficile — efficacement, injecter d'innombrables nouveaux appareils fragiles dans un réseau qui était déjà indiscipliné et désorganisé. La transition vers l'IoT ne se passera bien que pour ceux qui sont disciplinés et planifient à l'avance pour contenir le rayon d'explosion des problèmes quand — pas si — ils surviennent.

Tindill : Il y a plusieurs raisons pour lesquelles la cybersécurité n'est considérée qu'à la fin du déploiement. Les processus d'approvisionnement et de sourcing excluent les exigences de cybersécurité car le prix reste le facteur principal. La plupart des processus d'ingénierie excluent la cybersécurité — cela signifie que la spécification, la conception, la configuration, les tests et la mise en service se produisent souvent sans aucune tâche ou livrable de cybersécurité. Les équipes IT et cybersécurité sont exclues jusqu'au moment de se connecter au réseau ou à Internet — c'est à ce moment que ces équipes peuvent découvrir pour la première fois que le projet existe. La cybersécurité devrait avoir un poids suffisant dans les critères de décision ; une fois incluse dans les processus d'achat, elle est ensuite portée tout au long de la conception, la configuration, le durcissement et les tests d'acceptation cyber, le tout avant le lancement.

Pavel : Depuis les premiers jours où le plus grand risque était un virus informatique, jusqu'à aujourd'hui où les logiciels malveillants OT peuvent détruire des équipements et entraîner des pertes de vies, le monde informatique a vu une augmentation exponentielle des cyberattaques. Les technologies basées sur l'IoT fournissent leur propre ensemble de défis de sécurité uniques liés à l'intégrité des données, aux fuites de données, à la vie privée et au potentiel d'accès non autorisé.

Alors, pourquoi la sécurité est-elle souvent le dernier élément du déploiement IoT ? Certains de ces systèmes n'ont pas été conçus avec la cybersécurité à l'esprit, mais plutôt dans le seul but de fournir une certaine fonction. Les utilisateurs finaux n'ont pas considéré la cybersécurité comme l'un de leurs principaux critères de sélection, mais plutôt la capacité d'un système à effectuer une tâche, son efficacité et son coût. Ce n'est que ces dernières années que le problème de la cybersécurité est devenu plus mis en avant par les utilisateurs, les gouvernements et les groupes de normalisation.

Lloyd : Les trois principales priorités pour les réseaux industriels sont la segmentation, la segmentation et la segmentation. Les anciens gaps d'air ont évaporé et Internet est de plus en plus mélangé aux opérations physiques de l'usine, qu'on le veuille ou non. Cette prolifération d'interfaces signifie que la surface d'attaque totale a explosé et que tôt ou tard, quelque chose finira par entrer. La priorité absolue est de planifier à l'avance pour limiter la propagation des mauvais événements, en utilisant la segmentation, et pour les systèmes les plus critiques, de planifier à l'avance pour fermer des « portes blindées » similaires aux portes étanches des sous-marins.

Pavel : Les cyberattaques ont le potentiel d'affecter la confidentialité, l'intégrité et la disponibilité dans un environnement de fabrication. Elles peuvent entraîner la perte de propriété intellectuelle produit et processus ; des pertes de production dues à la destruction, la modification et la reprogrammation de pièces et processus ; des dommages à la réputation ; et même des blessures et pertes de vies. L'importance de l'intégrité des données pour la fabrication peut être vue en relation avec la production de pièces — la modification des spécifications produit et processus pourrait être préjudiciable à la qualité et la fiabilité du produit.

La disponibilité des données et des systèmes cyber-physiques est également critique pour la productivité manufacturière. Le matériel et les logiciels hérités sont couramment utilisés dans les processus de fabrication et certains de ces systèmes n'ont pas été conçus avec la cybersécurité ou l'IoT à l'esprit. Par conséquent, il y a un risque inhérent lors de la connexion de tels appareils hérités à l'IoT ou de leur intégration dans le réseau d'usine.

Jabbour : Absolument pas. Les pare-feu ne sont qu'un seul appareil d'un système total et bien qu'ils devraient être utilisés, d'autres considérations de conception doivent être prises en compte.

Tindill : Dans les années 1990, les pare-feu et antivirus étaient les standards car ils offraient des protections suffisantes contre les menaces de l'époque. Presque 100 % des organisations ont aujourd'hui des pare-feu et les cyberattaques peuvent les contourner avec d'autres tactiques, techniques et procédures (TTP). Les cybermenaces évoluent rapidement et de multiples contrôles de cybersécurité sont requis. Les pare-feu remplissent principalement un rôle de contrôle protecteur, bons pour détecter les comportements connus comme mauvais au périmètre réseau. Les attaques d'aujourd'hui incluent le vol d'identifiants et leur utilisation pour pénétrer les réseaux sans détection, car la force brute ou les connexions malveillantes ne sont pas requises. Nous avons tous entendu des histoires sur la façon dont un acteur de menace était à l'intérieur d'un système pendant six à neuf mois avant l'attaque ; c'est un exemple de la façon dont de faibles capacités de détection et de réponse se manifestent.

Pavel : Se fier uniquement à un pare-feu n'est plus une bonne pratique — cela n'a probablement jamais été le cas. Les trois parties les plus critiques d'un programme de sécurité d'entreprise sont les personnes, les processus et la technologie. Les petites et moyennes organisations présentent un défi particulier pour la cybersécurité dans les environnements de fabrication et la chaîne d'approvisionnement. Beaucoup manquent de personnel technique pour fournir une cybersécurité robuste et, comme elles sont souvent inconscientes de la complexité des menaces, elles sont incapables de créer un business case pour investir dans la cybersécurité OT. Afin d'aider à combler ces pièges et d'accélérer l'adoption de mesures de cybersécurité appropriées, le gouvernement a investi dans le développement de réglementations, normes et programmes de certification applicables à l'ensemble des industries.

Lloyd : Les pare-feu sont comme les serrures de porte de votre bâtiment — un bon début, un niveau de base d'hygiène de sécurité, mais à peine un antidote complet au risque. Les pare-feu sont complexes et sont presque toujours mal configurés d'une manière ou d'une autre. J'ai évalué des milliers de pare-feu réels et il est inhabituel de trouver moins de dix erreurs par appareil. (Les pare-feu extrêmement complexes peuvent contenir des milliers d'erreurs dans un seul appareil.) L'aspect le plus difficile des pare-feu est de comprendre s'ils ont tout couvert — après tout, vous ne pouvez pas identifier un chemin de contournement du pare-feu en le lisant simplement. Vous avez besoin d'une vue complète de l'accès sur l'ensemble de votre réseau d'usine et vous devez pouvoir suivre l'accès au fur et à mesure que votre réseau change et grandit.

RESSOURCES

1. Honeywell Connected Enterprise
2. RedSeal
3. Siemens Digital Industries
4. TechSolve