Évaluation des facteurs de risque en cybersécurité OT : Guide pour les ingénieurs en automatisation

On dit souvent : « Internet est un mauvais quartier ». Et si cela semble vrai, il existe de nombreux autres risques et menaces dont les ingénieurs en automatisation doivent être conscients et qui peuvent affecter les systèmes informatiques utilisés dans l'automatisation et le contrôle.

La technologie opérationnelle, ou OT, désigne le matériel et les logiciels physiques utilisés pour surveiller et contrôler les équipements, processus et infrastructures industriels. Ce sont les éléments avec lesquels nous, ingénieurs en automatisation, travaillons au quotidien.

Cet article examine de près les facteurs de risque en cybersécurité OT et comment vous pouvez réduire ces risques.

Les infrastructures critiques, telles que les centrales énergétiques, les barrages, les parcs éoliens, ainsi que les usines de fabrication critiques, doivent être conscientes des nombreuses menaces auxquelles leurs systèmes font face. Par exemple, les menaces peuvent provenir d'un employé mécontent qui infecte sciemment le réseau avec un virus.

Les menaces peuvent également provenir de sources externes, telles qu'Internet. Chacun de ces types de menaces pourrait causer des dommages significatifs à l'infrastructure OT de l'usine.

Contre quels risques vos systèmes doivent-ils se protéger ? Faire simplement ce que font les autres ou employer de manière hasardeuse du matériel et des logiciels de cybersécurité ne suffit pas à garantir la sécurité.

Une approche systématique de la cybersécurité est une étape vitale requise pour éliminer les risques et rendre vos systèmes plus sûrs.

Fondamentaux de l'évaluation des risques en cybersécurité OT

L'évaluation des risques OT est définie comme le processus systématique d'identification, d'évaluation et de priorisation des menaces et vulnérabilités. Il existe plusieurs caractéristiques uniques aux environnements OT qui diffèrent des environnements IT.

Parmi celles-ci figurent la prévalence des systèmes hérités (legacy), les exigences de disponibilité 24/7, et les intégrations physiques aux machines, actionneurs et capteurs qui composent le processus de fabrication.

Les évaluations de risques doivent impliquer toutes les parties prenantes concernées, y compris le personnel des opérations, de l'ingénierie, de l'IT et de la direction. Comme mentionné précédemment, cette évaluation des risques doit suivre une approche systématique pour réussir.

Examinons donc les cinq étapes impliquées dans cette évaluation.

Identification et inventaire des actifs

Lorsqu'une compagnie d'assurance est sollicitée pour assurer votre maison, elle veut savoir ce qu'il y a dans la maison pour savoir ce qui pourrait être perdu, ou en d'autres termes, ce qui est à risque de perte ou de dommage. Il en va de même pour les évaluations de risques en cybersécurité.

L'inventaire et la cartographie de tous vos actifs OT est la première étape critique. Tout doit être listé dans l'inventaire, y compris le matériel tel que les automates (PLC), les systèmes SCADA et les postes HMI. Cet inventaire doit inclure tous les logiciels et firmwares installés sur vos systèmes OT.

Ces actifs peuvent ne pas sembler physiques par nature, mais ils sont à risque et constituent les actifs les plus faciles à infecter pour les pirates.

Nous devons également inclure les équipements réseau tels que les commutateurs et le câblage. Et n'oubliez pas les connexions externes telles que les ports de données fournis pour l'accès fournisseur ou les connexions pour la maintenance à distance.

Un inventaire complet est crucial pour permettre à l'équipe d'évaluation des risques de comprendre pleinement ce qu'on appelle le « paysage des menaces » (threat landscape).

Des éléments manquants, tels que les ports de données fournis pour l'accès fournisseur, peuvent être des voies faciles d'infection du système, même si ce n'est pas fait de manière malveillante.

Identification des menaces et vulnérabilités

Une fois que nous avons listé tous nos actifs, nous connaissons tous les éléments qui pourraient être attaqués. Ensuite, nous devons identifier les types de menaces que nos systèmes pourraient subir.

Ces menaces peuvent être des menaces internes provenant d'initiés, telles que le détournement de fonds ou des mauvaises configurations involontaires de commutateurs réseau permettant de contourner les exigences d'authentification utilisateur.

Les menaces peuvent également être externes, provenant de sources Internet, de logiciels malveillants, de pirates ou d'acteurs d'État-nation ciblant des actifs précieux tels que les formulations et recettes.

On oublie souvent les vulnérabilités courantes qui peuvent survenir avec le matériel et les logiciels OT hérités, telles que l'absence de correctifs, l'authentification faible et les protocoles non sécurisés.

Analyse d'impact

Maintenant que nous connaissons notre paysage des menaces, nous devons évaluer les conséquences d'un système compromis suite à une attaque.

Ces conséquences peuvent prendre de nombreuses formes, telles que les risques de sécurité pour le personnel ou l'environnement, la perturbation de la production, les perturbations opérationnelles, les pertes financières, les dommages à la réputation et les violations réglementaires et de conformité.

Les conséquences auxquelles votre installation peut faire face dépendent de votre situation unique et peuvent inclure de nombreux autres risques.

Évaluation de la probabilité

L'étape suivante est la plus difficile — déterminer la probabilité que ces conséquences se réalisent réellement.

Déterminer la probabilité d'exploitation des vulnérabilités de votre système implique de prédire votre exposition aux menaces Internet, d'identifier les exploits connus et les capacités des adversaires, et, surtout, l'historique des incidents qui ont affecté des systèmes comme le vôtre.

Par exemple, Stuxnet était un virus pervasif et débilitant qui a attaqué le matériel d'un fournisseur spécifique. L'attaque de Colonial Pipeline était une cyberattaque par ransomware qui a entraîné un arrêt des opérations et d'importantes pénuries de carburant sur la côte Est. Qu'est-ce qui peut arriver à votre opération, et quelle est la probabilité que cela se produise ?

La Matrice de Risque

La dernière étape consiste à construire une Matrice de Risque pour chaque facteur de risque. La Matrice de Risque liste généralement l'impact d'une violation de cybersécurité contre la probabilité que cette violation se produise. Voici un exemple de matrice utilisant des seuils pour l'impact et la probabilité comme faible, moyen et élevé.

L'équipe d'évaluation des risques est responsable de déterminer la meilleure allocation de risque pour chaque case de la matrice. Votre équipe peut déterminer qu'une probabilité élevée d'occurrence avec un impact moyen qualifierait également comme un risque élevé. Les classements dépendent uniquement de votre situation unique.

Pourquoi générer cette matrice ? Elle permet d'identifier facilement les risques qui nécessitent une atténuation immédiate, tels que tous les éléments à haut risque, ainsi que ceux qui peuvent être reportés, tels que ceux à faible risque.

Les entreprises ont des budgets limités pour la cybersécurité, donc les problèmes à plus haut risque doivent être traités en premier.

Défis et considérations dans l'évaluation des risques OT

Ce processus n'est généralement pas facile. Des éléments tels que la compréhension de toutes les contraintes liées au correctif des systèmes hérités peuvent être difficiles. Il peut y avoir une visibilité limitée quant à la nature de certaines menaces.

Il peut y avoir des barrières organisationnelles à l'obtention de toutes les données nécessaires pour évaluer l'ampleur de certaines menaces. Il peut y avoir des risques liés à la chaîne d'approvisionnement et aux tiers qui sont inconnus.

Meilleures pratiques pour une évaluation des risques OT efficace

Il existe des meilleures pratiques pour surmonter certaines de ces contraintes et développer un profil de risque efficace. La plus importante est que toutes les parties prenantes soient impliquées et collaborent à l'évaluation.

Pour faciliter ce processus, de nombreuses normes et cadres sont disponibles pour guider les équipes dans le processus d'évaluation des risques, tels que NIST CSF et IEC 62443.

Une clé pour des programmes d'évaluation des risques de cybersécurité efficaces est de mettre à jour périodiquement l'évaluation en utilisant des données actuelles.

Conclusion

Les évaluations des risques de cybersécurité OT sont la base pour créer une défense efficace contre les menaces internes et externes. En impliquant toutes les parties prenantes dans le processus, l'image la plus complète des menaces et de la probabilité d'occurrence peut être déterminée et tracée dans une matrice de risque.

À partir de la matrice de risque, les décisions appropriées peuvent être prises pour déployer les défenses de cybersécurité. À mesure que les risques OT évoluent, il est important pour les installations d'être proactives et de mener des évaluations de risques continues comme base de leur programme de cybersécurité OT.