Critères essentiels d'approvisionnement en dispositifs d'accès distant pour la sécurité industrielle

Les équipes opérationnelles gérant systèmes industriels s'appuient sur dispositifs d'accès distant et négligent souvent considérations non techniques/non commerciales à l'achat. L'histoire récente montre que l'origine du dispositif — et même de ses composants — importe bien plus qu'on ne le pense.

Attaques chaîne d'approvisionnement : menace sérieuse

Attaque ciblant éléments amont chaîne d'approvisionnement. Acheteur occasionnel (ex. commissionner équipement week-end) peut penser risque négligeable, mais il ne l'est pas. Populaires chez attaquants : infiltrer un fournisseur → accès multiples utilisateurs finaux. Exemples : Stuxnet (PLC enrichissement uranium), NotPetya (10 Md $ dégâts, via logiciel fiscalité), SUNBURST (backdoor 18 000 orgs, via SolarWinds). Récurrent, continuera (gain attaquant).

Attaques ICS via dispositifs d'accès distant

Pas théorique : déjà arrivé. 2014, malware Dragonfly infecte organisations via packages installation Talk2M d'Ewon (logiciel VPN pour équipements ICS). Rapport SANS Institute disponible.

Considérations avant achat

En l'absence d'expertise, regarder ce que font les experts. Exemple : Département de la Défense US. Interdit achat/utilisation dispositifs ou contractants utilisant dispositifs de certains fabricants étrangers (risques chaîne approvisionnement). Mémo DoD juillet 2020 public. Entreprise notable : Huawei Technologies (et filiales/affiliées), puces largement utilisées — y compris dans dispositifs accès distant (ex. Tosibox).

Enseignement : acheter national quand possible. Produits nationaux, conçus avec couches sécurité profondes, plus chers mais coût justifié — surtout pour accès distant systèmes industriels.

Au-delà risques chaîne approvisionnement, nombreuses considérations techniques/organisationnelles pour implémentation accès distant. Explorées dans groupe de travail OMAC (Organization for Machine Automation and Control) → « Practical Guide for Remote Access to Plant Equipment » recommandé.