Intégrer les systèmes hérités pour une transformation numérique fluide

La transformation numérique (DX) promet une compétitivité accrue, des processus optimisés et une rentabilité grâce aux mégadonnées, ainsi qu'une amélioration des relations avec les employés et les clients. La collecte de données est essentielle dans l'environnement axé sur les données du 21e siècle et nécessite des composants flexibles et interconnectés. Les entreprises auront besoin de personnes possédant les compétences spécialisées pour mettre en œuvre et optimiser tout cela. Au-delà de cela, chaque entreprise devra travailler avec ses plans DX uniques et son environnement informatique existant.

Les composants hérités peuvent limiter les efforts de DX

Les efforts de DX sont généralement divisés en trois phases : la numérisation (transition de l'analogique au numérique), la digitalisation (traitement et analyse des données numériques) et la transformation numérique (construction sur la digitalisation pour optimiser l'entreprise).

La première phase, la numérisation, peut être impactée par la dépendance aux composants hérités, en particulier au sein des environnements de systèmes de contrôle industriel (ICS). Le besoin de numériser l'information pour avancer avec les efforts de DX peut créer de nombreux défis entre les actifs informatiques (IT) et technologiques opérationnels (OT). Par exemple :

• Les organisations peuvent ne pas trouver d'individus ayant l'expertise pour maintenir ou modifier les composants des systèmes hérités.
• L'intégration avec les services cloud et d'autres systèmes peut être difficile avec des composants hérités qui ne prennent pas en charge les dernières technologies de communication comme Transport Layer Security (TLS) version 1.3 ou Simple Message Block (SMB) version 3.
• Le déploiement d'appareils intelligents, également appelés Internet des objets (IoT) ou Internet industriel des objets (IIoT), peut être limité par la segmentation de réseau héritée (par exemple, le modèle Purdue de fabrication intégrée par ordinateur montré dans la Figure 1) pour isoler les composants ICS de l'environnement d'entreprise et d'Internet afin de réduire les risques posés par les virus et les acteurs malveillants.

La réalité de la DX avec les systèmes hérités

Pourquoi tout le monde ne met-il pas à niveau tous ses appareils pour réaliser les avantages de la DX ? De nombreuses raisons. Il est difficile de trouver des conseils pratiques pour la planification et la prise de décisions DX. De plus, les ressources financières et le personnel pour soutenir les composants mis à niveau peuvent manquer. Au sein des environnements ICS, il est difficile de valider la sécurité des appareils mis à niveau, donc un autre obstacle est de faire correspondre le niveau de confiance que les gens ont pour les composants hérités.

Essayer de répondre aux priorités DX d'une entreprise en utilisant des composants hérités peut aboutir à des implémentations hybrides qui impactent la sécurité, la disponibilité et la cybersécurité. Par exemple, la création d'un système ponté ou multi-homé qui connecte les composants hérités aux infrastructures de collecte de données ou aux services cloud pourrait résoudre les problèmes de connectivité et de partage de données (voir Figure 2). Cependant, cela peut annuler les protections établies par l'isolement du réseau et les contrôles de communication pour protéger les composants hérités.

Connecter les composants hérités pour soutenir la collecte de données DX sans affecter les capacités opérationnelles ou la sécurité nécessite une planification minutieuse. Dans certains cas, une approche hybride pourrait fonctionner où les appareils envoient des données vers des systèmes sur site résidant aux niveaux 2 et 3 du modèle Purdue, par exemple un historien de données ou un système edge.

Cela peut permettre l'accès à des flux de données approuvés sans se connecter directement aux composants ou réseaux OT sensibles. Dans l'ensemble, trouver la méthode la plus sûre pour atteindre les objectifs DX tout en protégeant les personnes, les processus et la technologie n'est pas facile et nécessite un effort collaboratif entre les membres du personnel IT et OT.

Considérations de cybersécurité pour la DX

Les changements dans l'environnement doivent prendre en compte à la fois la cybersécurité et les objectifs DX pour minimiser les risques organisationnels. Le NIST SP 800-37 Rév. 2, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy fournit des conseils pour établir une approche de gestion des risques pour les organisations. Un aspect clé est d'avoir un programme de cybersécurité. Une idée fausse que j'entends souvent est que la cybersécurité est un problème informatique ou qu'il s'agit d'un problème technologique. Bien que nous aimerions que ce soit vrai, la réalité est que la cybersécurité s'étend à toute l'organisation. Le NIST Framework for Improving Critical Infrastructure Cybersecurity et le NISTIR 8183 Rév. 1, Cybersecurity Framework Version 1.1 Manufacturing Profile, sont des guides qui peuvent aider les organisations à aborder les défis ou à définir et mettre en œuvre un programme de cybersécurité de manière méthodique et cohérente. Avec un programme de cybersécurité et de gestion des risques en place, les organisations peuvent évaluer les changements dans l'environnement pour vérifier qu'ils atteignent leurs objectifs DX tout en minimisant les risques de cybersécurité. S'il y aura toujours un risque, la clé est pour les organisations de trouver l'équilibre qui minimise les risques tout en répondant aux exigences organisationnelles, réglementaires et de cybersécurité.

Comme mentionné précédemment, les composants hérités peuvent ajouter de la complexité à la mise en œuvre de la DX et de la cybersécurité. Une planification et des tests minutieux chaque fois que possible sont fortement recommandés. S'appuyant sur le NISTIR 8183, le NIST a également publié le Cybersecurity Framework Manufacturing Profile Low Impact Level Example Implementations Guide pour fournir une approche plus quantitative pour déterminer l'impact sur les performances des environnements ICS lors de la mise en œuvre de contrôles de cybersécurité courants basés sur les conseils et recommandations du NIST SP 800-82 Rév. 2, Guide to Industrial Control Systems (ICS) Security.

Le réseau national MEP™ peut vous aider à planifier et mettre en œuvre la DX

Plus d'interconnexions soutenant une collecte de données rapide et précise sont nécessaires pour atteindre les objectifs DX et l'approche de chaque entreprise dépendra des types de composants hérités dans l'environnement. Bien que la mise à niveau des composants hérités serait idéale, la réalité est que de nombreuses entreprises doivent soutenir la DX avec leur technologie existante. Lors de la planification, les organisations doivent soigneusement équilibrer la façon d'intégrer leurs processus et appareils existants tout en protégeant leurs personnes, données et appareils.

La mise en œuvre de la DX peut être une tâche intimidante, mais elle est gérable avec une planification minutieuse, une collaboration entre le personnel IT et OT de l'entreprise et l'utilisation de ressources précieuses telles que les publications NIST et le réseau national MEP.

Le réseau national MEP peut aider les entreprises à trouver le bon équilibre grâce à la planification stratégique et offrir des conseils pour les investissements DX. Contactez le centre MEP de votre État pour plus d'informations sur les services offerts à travers le pays et à Porto Rico.