La menace croissante : cyberattaques sur robots industriels et leurs implications

Historiquement, les robots n'étaient que des machines programmables bêtes qui répétaient la même tâche encore et encore. Ils n'avaient pratiquement aucune capacité de sensing de leur environnement. Et certainement pas de prise de décision autonome.

Avec l'avènement du machine learning et des systèmes intelligents, tout change. Maintenant, les concepteurs dotent leurs appendices mécaniques de toutes sortes d'intelligence. Et ça ne fait que s'améliorer. Pour les économistes, ces tendances sont extrêmement excitantes : un futur où les robots feraient la grande majorité des emplois manuels, libérant la main-d'œuvre pour d'autres tâches, boostant la productivité comme rien d'autre dans l'histoire humaine.

Cependant, il y a des inquiétudes, principalement des experts en cybersécurité. Ils craignent que les tendances actuelles mènent à un monde où les hackers peuvent pirater les robots aussi facilement que les serveurs cloud, mais avec des conséquences bien plus dévastatrices pour le bien-être humain.

Risque croissant, nécessité de connectivité cloud

Le risque de cyberattaques liées aux robots monte depuis longtemps. Les entreprises doivent connecter leurs robots au cloud pour partager informations et réagir aux données temps réel. La quatrième révolution industrielle repose sur ce processus. Les robots doivent faire plus que des tâches spécifiques : ils doivent fluctuer avec l'offre et la demande, travailler dans des environnements plus flexibles. Aujourd'hui encore, la plupart des robots restent derrière des écrans en plexiglas en usine.

On voit le développement de nombreux types de cobots : robots travaillant autour des humains. Ces bots ont des servomoteurs spéciaux qui coupent s'ils rencontrent trop de résistance, leur permettant d'effectuer certaines tâches sans menace pour les opérateurs humains. Cependant, si des cybercriminels ciblent les robots industriels, cela pourrait changer. On pourrait voir des travailleurs blessés — voire tués — par des acteurs malveillants opérant à distance.

Les fabricants doivent relever le défi

Le futur des robots connectés arrive, qu'on le veuille ou non. La concurrence le rendra inévitable. La question pour les fabricants : comment commencer à se préparer à la menace maintenant ? Les cyberattaques ne partiront pas. En fait, les enjeux seront bien plus élevés si les criminels prennent le contrôle de systèmes physiques.

Première étape : sécuriser l'IoT contre les menaces. Actuellement, pas de protocoles standards — très similaire aux débuts d'internet. Cela signifie qu'on verra probablement des failles de sécurité médiatiques et préoccupantes dans un futur proche. Heureusement, certaines organisations essaient de mettre des standards en place. L'IEC 62443, par exemple, tente d'adresser à la fois les systèmes autonomes et leurs systèmes de contrôle, assurant qu'ils ont chacun un élément d'ingénierie cybersécurité standard. Des démarches similaires dans l'automobile, qui pourrait passer aux systèmes autonomes dans la prochaine décennie.

Consulter les standards existants

Que peut faire l'entreprise moyenne pour se protéger ? Première étape : consulter l'IEC 62443 pour voir quels standards sont déjà en place pour protéger les travailleurs près de machines connectées. Les acheteurs de pièces d'automatisation industrielle doivent garder à l'esprit leurs devoirs envers leurs travailleurs.

Les standards clarifient que les menaces de l'automatisation diffèrent de celles de la seule sécurité de l'information. Les entreprises ne devraient pas s'inspirer exclusivement de l'ISO 27001 pour concevoir leurs réponses. Si la confidentialité des données reste un enjeu dans un environnement riche en robots, éviter les dommages physiques est maintenant la préoccupation primordiale.

Il existe plusieurs stratégies adoptables. Mais les standards sont encore en développement. Un code IEC complet n'est pas attendu avant mi-année, ce qui rend la situation confuse pour toute entreprise cherchant à améliorer l'automatisation. Une partie du problème : la robotique vient en ligne si vite et les capacités s'améliorent considérablement. Il y a 5 ans, l'idée qu'un robot fasse des backflips ou danse semblait improbable. Maintenant ça arrive. Et les créateurs de standards doivent continuellement réviser leur travail pour tenir compte des nouvelles capacités et paradigmes.

Intégrer la cybersécurité dans le cycle de développement produit

Selon les standardisateurs et professionnels de certification produit, toute entreprise engagée dans des processus d'automatisation doit intégrer les préoccupations cybersécurité dans son cycle de développement. Première étape : cibler la sécurité informationnelle, assurant que les systèmes sont aussi robustes que possible contre l'intrusion cyber. Ensuite : considérer la sécurité physique des dispositifs, possiblement en fournissant des arrêts d'urgence mécaniques qui outrepassent les instructions digitales.

En fin de compte, les entreprises doivent concevoir des robots qui ne peuvent pas blesser les gens, même s'ils perdent le contrôle digital des dispositifs. Les robots ne sont pas la seule partie de l'écosystème qui doit suivre ces protocoles. Puces IC, sous-systèmes, modules logiciels et puces IC doivent aussi embarquer. S'ils ne font pas partie de l'approche, ils pourraient représenter un point faible dans les défenses, permettant une entrée pour faille de sécurité.

Construire une culture de sécurité

Les professionnels développant ces standards soulignent que la plupart des entreprises ne sont pas conscientes des dangers. La majorité des dirigeants C-suite comprennent parfaitement les risques purement digitaux, mais ne sont pas prêts pour l'IoT — qui est potentiellement un danger bien plus grand.

La solution, selon ceux travaillant sur les standards de cybersécurité robotique : changer la culture d'entreprise. Les leaders du secteur aimeraient voir les dirigeants C-suite d'entreprises industrielles agir vite pour sensibiliser aux enjeux cybersécurité IoT et améliorer les efforts de certification. Les applications IoT vont probablement exploser de manière inimaginable sur la prochaine décennie. Mais pour l'instant, la sécurité joue le rattrapage, comme avec le mouvement vers le cloud. Finalement, les marques ont compris pourquoi c'était important, mais seulement après beaucoup de douleur et pertes.

Cette fois, les enjeux sont plus élevés. Des gens pourraient potentiellement se blesser, donc le vieux modèle break-fix doit partir. La prévention est maintenant le but du jeu.