Cybersécurité pour fabricants : Les essentiels selon Pat Toth

Le nombre de cyberattaques continue d'augmenter, et les cybercriminels deviennent plus déterminés. Les entreprises se retrouvent à essayer de naviguer dans des directives techniques confuses dans un paysage numérique en évolution rapide. Les petits fabricants ne pensent souvent pas que leurs entreprises sont à risque. Après tout, pourquoi quelqu'un voudrait-il cibler un petit fabricant rural quand il y a de plus grandes entreprises à cibler ?

Pour comprendre ce qui se passe et découvrir ce que les fabricants ont vraiment besoin de savoir sur la cybersécurité, je me suis assis avec Pat Toth. Pat est informaticienne au NIST Manufacturing Extension Partnership avec plus de 30 ans d'expérience en cybersécurité et a travaillé sur de nombreux documents de guidance NIST en cybersécurité.

Question : Les fabricants sont-ils vraiment à risque de cyberattaques par rapport aux autres industries ? Si oui, pourquoi ?

Pat : Selon le Département américain de la Sécurité intérieure, l'industrie manufacturière est la deuxième industrie la plus ciblée basée sur le nombre de cyberattaques signalées.

Je pense que les petits fabricants sont particulièrement vulnérables car ils sont vus comme des points d'entrée faciles dans des chaînes d'approvisionnement plus grandes. Pensez-y ainsi : Si vous êtes un criminel et planifiez de cambrioler un bâtiment, allez-vous essayer de cambrioler un bâtiment avec équipement de surveillance, système d'alarme et gardes, ou êtes-vous plus susceptible de cibler un bâtiment qui n'a aucune de ces caractéristiques de sécurité en place ? C'est généralement le second, c'est pourquoi les cybercriminels ciblent spécifiquement les fabricants. Malheureusement, beaucoup de petites entreprises n'ont pas de mesures de sécurité appropriées en place parce que ces entreprises ne pensent pas être des cibles.

Les cybercriminels peuvent s'intéresser à votre propriété intellectuelle (PI) ou ils peuvent vouloir accéder à des informations sur qui vous travaillez avec ou qui vous employez. La violation de données clients de Target en 2013 est l'un des exemples les plus connus de cela. Leur fournisseur de système CVC a été délibérément ciblé par des cybercriminels car les pirates savaient qu'ils pouvaient accéder aux systèmes de Target via ce fournisseur CVC. La violation de données a entraîné le vol d'informations de carte de crédit de millions de personnes.

Question : Étant donné que les petites et moyennes entreprises manufacturières (PMEM) sont souvent des cibles de choix, mais ont aussi souvent des ressources limitées, que peuvent faire ces PMEM ?

Pat : Cela peut sembler compliqué et probablement un peu accablant, mais il y a des choses que les PMEM peuvent faire qui sont à faible ou aucun coût et faciles à mettre en œuvre.

Tout se résume vraiment à mettre des politiques en place et à éduquer les employés. Diverses études ont trouvé que les employés sont l'un des points les plus vulnérables dans la sécurité de chaque entreprise. La plupart des employés ne sont simplement pas conscients de ce qu'ils doivent surveiller et comment identifier un incident cyber potentiel ou réel avant qu'il ne soit trop tard. Les entreprises doivent communiquer régulièrement pour aider les employés à comprendre les tactiques des cybercriminels et le rôle critique qu'ils jouent dans la prévention des incidents cyber.

Par exemple, votre entreprise devrait avoir une politique en place pour l'utilisation des médias sociaux sur le lieu de travail. Certains employés s'attendront à accéder aux médias sociaux pendant la journée de travail. Il y a un exercice d'équilibre auquel les entreprises font face — permettre aux employés d'accéder aux médias sociaux et protéger leurs systèmes. Alors comment procédez-vous ? Vous mettez une politique en place. La politique pourrait être que vous n'autorisez pas l'utilisation des médias sociaux sur les systèmes de l'entreprise. Peut-être fournissez-vous un réseau séparé, semi-public, pour que les gens accèdent aux médias sociaux tout au long de la journée sans exposer votre entreprise aux risques. Quelle que soit votre politique, assurez-vous que vos employés en sont conscients, comprennent pourquoi elle existe et les conséquences potentielles si la politique est violée.

Question : C'est bien d'entendre qu'il y a des solutions sans ou à faible coût que les fabricants peuvent mettre en œuvre. Si une entreprise est prête à améliorer sa cybersécurité, par où devrait-elle commencer ?

Pat : Commencez par regarder le Cadre de cybersécurité NIST et NISTIR 7621 Small Business Information Security: The Fundamentals. Le Cadre de cybersécurité consiste en des normes, directives et meilleures pratiques pour gérer les risques liés à la cybersécurité. Il fournit une approche priorisée, flexible et rentable pour protéger les systèmes. Small Business Information Security: The Fundamentals est basé sur le Cadre de cybersécurité et fournit une vue d'ensemble plus gérable pour les décideurs d'entreprise qui n'ont pas de formation technique. Il se concentre également sur la façon d'évaluer et de prioriser les fonctions de sécurité.

Pour vous lancer, voici un bref résumé de ce que vous trouverez dans le Cadre.

La première étape est Identifier. Identifiez l'information la plus précieuse pour votre entreprise. C'est l'information qui, si elle est perdue ou modifiée, arrêterait vos opérations. Par exemple, disons que vous êtes un fabricant alimentaire et que vous faites des cookies aux pépites de chocolat en utilisant la recette de votre grand-mère. Cette recette est vitale pour votre entreprise et doit être protégée contre le vol ou la modification pour que votre entreprise puisse continuer.

La deuxième étape est Protéger. Vous avez discuté avec les gestionnaires et le personnel et utilisé ces retours pour identifier l'information la plus importante pour votre entreprise. Maintenant, il est temps de décider ce qui doit être fait pour protéger correctement cette information. Cette étape dépend largement des menaces et vulnérabilités spécifiques à votre entreprise. Les petites entreprises qui travaillent simplement avec les clients par interaction en face-à-face ou par téléphone n'auront pas autant à protéger que les entreprises qui font des affaires par e-mail et portails web. Cela dépend vraiment de votre environnement d'exploitation quant à la protection que vous devez mettre en place.

La troisième étape est Détecter. Vous devez être capable de détecter quand un incident cyber s'est produit. Vous devriez avoir des systèmes anti-logiciels espions, antivirus et de détection d'intrusion à jour en place. Vous devriez également considérer votre espace physique. Considérez des choses comme savoir si vous devez être alerté quand des gens accèdent à des zones où ils ne devraient pas. Qu'un incident soit numérique ou physique, il est important de savoir quand l'incident s'est produit et à quoi la ou les personnes ont eu accès.

La quatrième étape est Répondre. Quand un incident cyber se produit, votre entreprise devra répondre rapidement pour atténuer les dommages potentiels. Vous devez avoir un plan en place avant qu'il ne se passe quelque chose. Le plan doit inclure qui est responsable et qui doit être contacté quand quelque chose se produit. De plus, les employés doivent savoir comment accéder au plan pendant et en dehors des heures de bureau.

Souvenez-vous de l'école primaire quand nous pratiquions des exercices d'incendie quelques fois par an ? Tout comme ces exercices d'incendie, votre entreprise devrait pratiquer régulièrement sa réponse aux incidents cyber pour que les employés sachent exactement quoi faire si un incident cyber se produit.

La cinquième et dernière étape est Récupérer. Vous devriez effectuer des sauvegardes régulières pour pouvoir récupérer vos systèmes. Ces sauvegardes devraient être stockées dans un emplacement séparé ou dans le Cloud. Vous devez tester vos sauvegardes. Si vous ne testez pas vos informations de sauvegarde, vous ne pouvez pas être sûr que vous pourrez récupérer complètement d'un événement. La fréquence à laquelle vous décidez de tester vos sauvegardes devrait être basée sur la vitalité de l'information pour les opérations de l'entreprise.

Ce n'est pas une situation « taille unique », et vous devez décider ce qui fonctionne pour votre entreprise et sa culture. Pour une entreprise, tester une fois par an pourrait suffire. Pour une autre, il pourrait falloir tester une fois par semaine. Ce n'est pas une réponse facile à entendre, mais cela nécessite vraiment d'examiner vos systèmes pour voir où vous êtes vulnérable, connaître les menaces auxquelles vous faites face et comment vous allez les contrer.

Question : Disons que mon entreprise a mis en place des mesures de sécurité appropriées et a créé un plan de réponse : Qu'est-ce qui vient ensuite ?

Pat : Ce n'est pas une activité « une fois pour toutes ». Vous ne pouvez pas écrire un plan de réponse et le mettre sur une étagère. Cela devrait être un document vivant. Tout le monde doit connaître votre posture de cybersécurité et comment vous pouvez continuer à l'améliorer.

Chaque fois que vous achetez un nouvel équipement ou que vous embauchez un nouvel employé, vous devez penser à la façon dont ces activités impactent votre sécurité. Pour les petites entreprises, cela peut être difficile. Bien trop souvent, je vois des cas où une entreprise a grandi rapidement et oublie que tout le monde n'a pas besoin d'accéder à chaque information. Cela peut prendre du temps, mais la direction doit passer en revue une liste d'employés et voir ce qu'ils devraient et ne devraient pas avoir accès. Quelqu'un sur le terrain de l'usine n'a pas besoin d'accéder aux informations de paie. Définir les rôles et mettre en œuvre la séparation de ces rôles peut être difficile, mais est nécessaire pour protéger votre entreprise des menaces cyber.

Je pense que la cybersécurité et la qualité ont beaucoup de similitudes en termes d'adoption. Beaucoup d'entreprises étaient lentes à adopter des systèmes de qualité comme ISO 9000. Un composant majeur de la qualité est l'état d'esprit dans une entreprise. La cybersécurité n'est pas reléguée à juste la personne IT ou la personne en charge du cyber — chaque employé à chaque niveau de l'entreprise a une forme de responsabilité. La cybersécurité doit faire partie de la culture d'une entreprise — tout comme la qualité — pour être efficace.

Questions : Où puis-je trouver des informations pour éduquer mes travailleurs sur les choses qu'ils peuvent faire pour réduire le risque cyber de l'entreprise ?

Pat : Allez sur la page web des ressources de cybersécurité NIST MEP. Sur cette page, vous trouverez un certain nombre de ressources incluant un outil d'auto-évaluation simple que vous pouvez utiliser (basé sur le Cadre de cybersécurité NIST) pour auto-évaluer le niveau de risque cyber de votre entreprise. L'auto-évaluation peut vous aider à déterminer où sont les faiblesses de votre entreprise et où concentrer les ressources pour les améliorer. Nous ne suivons pas vos informations ni ne conservons les résultats. Après avoir passé l'évaluation, vous recevrez un score pour savoir où sont vos faiblesses par rapport à vos efforts de cybersécurité. Vous pouvez également contacter l'un des 51 Centres MEP, situés dans les 50 États et à Porto Rico, qui font partie du MEP National Network™ pour des questions ou de l'assistance.