Atlas Tool Works renforce sa cybersécurité pour répondre aux standards DoD

Cet article est paru à l'origine sur Industry Week. Article invité de David Boulay, Président d'IMEC, partenariat public-privé engagé à stimuler la croissance par l'excellence d'entreprise, membre du MEP National Network^TM.

Comment le Manufacturing Extension Partnership en Illinois a aidé Atlas Tool Works à répondre aux directives du Department of Defense.

Atlas Tool Works est une petite entreprise familiale fournissant usinage spécialisé et tournage de pièces à tolérances serrées, fabrication de tôle de précision, estampage métallique, et assemblages complexes ingénierisés. Elle compte 72 employés, et une longue histoire d'engagement pour la qualité et l'amélioration continue.

La direction d'Atlas savait qu'elle devait améliorer sa cybersécurité. L'entreprise, faisant partie de la chaîne d'approvisionnement du Department of Defense américain, devait se conformer aux standards minimaux de sécurité du Defense Federal Acquisition Regulation Supplement (DFARS) ou risquer de perdre ses contrats DoD. Les dirigeants ont aussi réalisé qu'améliorer la cybersécurité globale protégerait la confidentialité, l'intégrité et la disponibilité de l'information.

Comprendre les exigences

Sans personnel IT à temps plein, Atlas Tool Works avait besoin de support pour décrypter les guidelines, faire une évaluation, identifier les écarts, et exécuter les améliorations avant la date limite de conformité du 31 décembre 2017.

Atlas a contacté l'Illinois Manufacturing Excellence Center (IMEC), son représentant local pour le Manufacturing Extension Partnership (MEP), pour assistance.

En utilisant le NIST Cybersecurity Self-Assessment Handbook comme guide, les membres de l'équipe IMEC ont travaillé avec Atlas pour décrypter et décomposer les exigences de sécurité en étapes compréhensibles.

« Les [exigences de sécurité] étaient ambigües quant à comment elles s'appliquaient à nous spécifiquement », dit Zach Mottl, chief alignment officer pour Atlas. « Ça semblait ouvert, donc on ne savait pas par où commencer. »

Ensemble avec Atlas et son fournisseur IT contractuel, IMEC a déterminé qu'Atlas n'était qu'à 40 % de conformité avec les guidelines de cybersécurité. Ils ont alors élaboré un plan d'amélioration — pour configuration réseau, politiques et procédures, exigences systèmes IT, règles et formation main-d'œuvre — et un calendrier d'implémentation pour assurer la conformité totale avant la date limite.

« Passer par ce processus était génial pour notre organisation », dit Mottl. « C'est tout sur le développement de bonnes habitudes. En fabrication il y a beaucoup de procédures comme ISO pour les opérations, mais on oublie les processus liés aux systèmes d'information. »

« Les exigences de cybersécurité concernent la gestion du risque, la protection des données, empêcher les intrusions, et notifier les bonnes personnes quand des choses arrivent. Comme petite entreprise, on crée souvent des contournements pour simplifier notre travail, surtout dans les pratiques administratives. Mais avec la conformité DFARS, c'est inacceptable et on comprend maintenant à quel point c'est essentiel pour la sécurité de notre entreprise. »

Atlas a exécuté le plan d'implémentation et répond maintenant aux exigences. Les changements clés suite à l'évaluation incluaient : serrures de salle serveur avec protection par code, changements de paramètres sur serveur et routeur pour tracer qui accédait aux fichiers, création d'un log serveur pour enregistrements forensiques. L'entreprise a aussi mis à jour son matériel et logiciel, ajouté un chiffrement email plus strict, et offert de la formation à la main-d'œuvre pour comprendre le nouveau langage et les précautions de sécurité.

Mottl a ajouté : « Adresser les exigences de conformité DFARS était important pour nous rendre plus robustes et sécurisés. Je sais que toutes les entreprises en bénéficieraient, pas juste les contractants défense. »

Résultats

• Conformité cybersécurité passée de 40 % (évaluation initiale) à 100 % en six mois
• Conformité totale aux exigences DFARS Cybersecurity
• Sensibilisation et participation accrues du personnel aux programmes de sécurité de l'information et signalements

David Boulay est Président d'IMEC, partenariat public-privé engagé à stimuler la croissance par l'excellence d'entreprise.

IMEC est le représentant officiel du MEP National Network en Illinois. Le MEP National Network est un partenariat public-privé unique qui aide les PME manufacturières à générer des résultats business et prospérer dans l'économie actuelle axée sur la technologie. Le MEP National Network comprend le Manufacturing Extension Partnership (NIST MEP) du National Institute of Standards and Technology, les 51 centres MEP dans les 50 États et Porto Rico.