Minimiser le risque cyber pour les entrepreneurs gouvernement et défense : stratégies éprouvées

Au milieu d'une crise mondiale, l'industrie manufacturière reste une partie critique de l'infrastructure américaine, particulièrement en matière de défense.

Le programme de défense nationale repose sur les ateliers pour fabriquer des pièces essentielles, et les ateliers dépendent à leur tour des contrats gouvernementaux pour alimenter leurs petites entreprises. Alors que les chaînes d'approvisionnement deviennent plus vulnérables et incertaines, il sera critique que les ateliers trouvent des moyens de devenir plus résilients, fiables et sécurisés.

Enjeux élevés de la cybersécurité

Les contrats gouvernementaux viennent avec des enjeux élevés pour les ateliers, surtout en ce qui concerne la cybersécurité. Malgré l'hébergement de données de fabrication hautement sensibles, la plupart des ateliers aujourd'hui sont en retard sur leur infrastructure de cybersécurité. Ils utilisent encore des systèmes sur site, des versions obsolètes de Microsoft Windows et Excel, et de grands serveurs de fichiers. Dans de nombreux cas, tout le monde sur le réseau peut accéder à n'importe quel fichier via un lecteur partagé — y compris les cybercriminels qui piratent l'atelier.

De nombreux petits ateliers supposent qu'ils ne seront pas une cible pour les cybercriminels, mais en réalité, les pirates sont plus susceptibles de voler des données sensibles s'ils croient que les ateliers sont moins protégés que les réseaux internes des fournisseurs militaires à la pointe de la technologie. Souvent, les pirates s'intéressent à voler des informations financières ou à utiliser les réseaux des ateliers pour des tactiques de phishing pour extraire des informations précieuses. En déployant des emails de phishing, les pirates peuvent exploiter une faiblesse sur le serveur et exécuter des attaques à travers des systèmes non protégés.

Bien que ce type de violation serait préjudiciable à tout atelier, en termes de coût, réputation et confiance, il peut être encore plus grave avec les contrats de défense. Si un employé d'atelier tombe dans un piège de phishing, et que le malware se propage à travers les contacts email de l'atelier pour atteindre des employés du gouvernement, des informations pourraient être compromises dans l'heure. Les ateliers doivent comprendre que les chances de ce type de violation ne sont pas minces ; selon une enquête Deloitte auprès de cadres du risque cyber manufacturier, quatre des dix principales menaces impliquent le comportement des employés.

Meilleures pratiques pour la sécurité des ateliers

Pour garantir que les clients de défense sont protégés, surtout dans le climat d'aujourd'hui, les ateliers ont besoin d'une stratégie moderne de cybersécurité. Voici quelques meilleures pratiques pour assurer la sécurité et le bien-être financier des ateliers.

Partager les données clients en toute sécurité

Alors que de nombreux ateliers ont des politiques sur la façon dont les données doivent être sécurisées au sein de leurs propres réseaux, ces politiques régissent rarement la façon dont les données sont transférées aux fournisseurs, comme le partage de fichiers de conception assistée par ordinateur (CAO). Cette zone grise met les ateliers en danger. Chaque fournisseur, partenaire et distributeur de matériaux doit également se conformer aux normes de cybersécurité, ce qui nécessite de mettre à jour la façon dont ils partagent les informations clients. Toute donnée envoyée par email doit être chiffrée. Sinon, quand les auditeurs frapperont à la porte, les ateliers pourraient se trouver en violation de contrat.

Les ateliers peuvent déployer des outils de collaboration pour partager des fichiers en toute sécurité avec des tiers, assurant que les données sont chiffrées à la fois en transit et au repos. L'accès partagé expire, donc il n'est pas disponible indéfiniment pour les tiers, et avec la technologie de visualisation cloud, les utilisateurs n'ont pas à télécharger les fichiers. Cette méthode non seulement réduit le risque, mais c'est aussi un moyen rentable d'améliorer la cybersécurité.

Respecter les directives fédérales

Les ateliers faisant du travail de défense doivent concentrer leurs efforts de conformité sur les pièces physiques et les données techniques. Plus spécifiquement, ils doivent se référer aux Règlements internationaux sur le trafic d'armes (ITAR) et aux contrôles à l'exportation, couvrant à la fois les pièces expédiées à l'étranger et les données techniques divulguées aux non-citoyens américains. Bien que les normes de cybersécurité spécifiques à la fabrication telles que NIST SP800-171B et ITAR ne soient pas appliquées par la loi, elles sont spécifiées dans les contrats de défense. Quand les entrepreneurs gouvernementaux évaluent les devis, ils peuvent (et devraient) considérer la conformité cybersécurité d'un atelier comme un facteur. Certains demanderont même de la documentation. Les entrepreneurs gouvernementaux sont sous leur propre pression pour garantir que leurs chaînes d'approvisionnement sont conformes, donc toutes les chaînes d'approvisionnement doivent se préparer à être auditées. C'est pourquoi, avec la possibilité d'amendes criminelles ou civiles, de nombreux fabricants font des investissements significatifs dans des consultants IT, des modernisations de systèmes et le financement d'État pour atteindre la conformité.

La cybersécurité est et continuera d'être un élément essentiel pour gagner et conserver les contrats gouvernementaux. Les cyberattaques, violations de données et malwares ne promettent qu'augmenter, tout comme le risque, la vulnérabilité et l'incertitude. Les ateliers doivent se protéger et protéger leurs clients pour réussir sur le marché, et aider à soutenir les industries manufacturières et de défense américaines.

Scott Sawyer est directeur technique et cofondateur de Paperless Parts.