Cybersécurité industrielle pour les PME : un livre blanc pratique

Livre blanc et résumé exécutif fournis par l'ISA, partenaire technologique et de formation de l'IMEC.

Le livre blanc de l'ISA « Cybersécurité industrielle pour les petites et moyennes entreprises » vise à fournir un point de départ pour les PME, particulièrement celles qui gèrent des processus industriels et emploient un certain niveau d'automatisation. Les exemples spécifiques incluent les PME des secteurs chimique, de l'eau ou du traitement des eaux usées.

S'il est généralement admis que la sécurité des systèmes de technologie opérationnelle (OT) nécessite des mesures différentes ou supplémentaires par rapport à la sécurité des systèmes IT à usage général, il est également vrai que les petites entreprises peuvent avoir des difficultés à mettre en œuvre une grande partie des conseils disponibles.

Les normes et pratiques sont souvent basées sur l'hypothèse que des ressources d'ingénierie et d'exploitation sont disponibles pour définir, implémenter et surveiller la technologie, les processus métier et les contrôles associés. Malheureusement, ce n'est souvent pas le cas. Les petites opérations ne sont généralement pas dotées en personnel pour inclure de tels rôles. Il est plus courant d'avoir des rôles de personnel largement définis, avec le support et l'exploitation des systèmes IT comme seule partie des responsabilités d'un individu. Les petites entreprises peuvent même ne pas être pleinement conscientes des risques auxquels elles font face ou qu'elles peuvent contracter des services liés à la cybersécurité. Ce guide vise à identifier les contrôles essentiels qui doivent être établis.

Les PME doivent comprendre leur risque de cybersécurité et agir pour le réduire, tout comme elles le font pour les autres risques d'entreprise. L'absence d'incidents précédents, ou la croyance que l'organisation n'est pas une cible probable, ne constitue pas une justification suffisante pour ignorer ce problème.

Les PME peuvent être exposées à une grande variété de menaces, y compris les hackers amateurs et professionnels, les militants écologistes, les employés ou sous-traitants mécontents, et même les États-nations ou terroristes. De plus, de nombreux incidents de cybersécurité résultent d'accidents ou d'actions non intentionnelles. Une entreprise n'a pas besoin d'être une cible spécifique pour être affectée.

La conséquence pour une PME peut varier énormément selon la nature des opérations et les vulnérabilités de chacune. Il est essentiel que les vulnérabilités sous-jacentes soient reconnues et que ces vulnérabilités soient atténuées pour minimiser la probabilité d'événements potentiellement désastreux.

Le livre blanc fournit des conseils basés sur des cadres et normes bien établis. Des références supplémentaires doivent être faites à ces cadres et normes, en se concentrant sur les recommandations du document.

La gestion de la cybersécurité n'est pas une activité ponctuelle. Comme la gestion de la qualité et de la sécurité, la gestion de la cybersécurité est une activité continue où l'amélioration continue doit être faite afin de gérer les risques.

TÉLÉCHARGER LE LIVRE BLANC

En savoir plus sur les ressources supplémentaires en cybersécurité via les articles suivants :

Cybersécurité - Ce n'est qu'une pièce d'un système complet de sécurité de l'information

Capacités pour combattre les cyberattaques industrielles

Ce livre blanc et résumé exécutif ont été publiés à l'origine par l'International Society of Automation (ISA), partenaire stratégique de l'IMEC. En savoir plus sur www.isa.org.