Évaluer la Sécurité de Votre Réseau d'Atelier : Êtes-vous Prêt ?

Ce n'est peut-être pas une priorité, mais les ateliers de mécanique et les fabricants de taille moyenne doivent penser à la cybersécurité IT/OT, surtout pour la fabrication de pièces militaires et de défense. Les réglementations sont là. Êtes-vous prêt ?

Est-il suffisant d'acheter les dernières machines et technologies d'outillage comme les machines 5 axes, d'embaucher et former des apprentis et nouveaux machinistes, de produire des pièces et de suivre les plannings de maintenance ? Avec des capteurs intelligents et une infrastructure plus basée sur Internet utilisée par les employés sur le terrain, il y a tant de technologie dans et autour des machines et des salles de contrôle de la plupart des ateliers.

La gestion de la sécurité est désormais un vrai problème et elle inclut la gestion de tous les systèmes et comportements des employés. Pour les ateliers qui fabriquent des pièces pour l'industrie de la défense, la sécurité est une question de conformité majeure avec de vraies conséquences sur l'activité.

« La réalité pratique aujourd'hui est que les petits et moyens fabricants tournent à plein régime, les commandes arrivent, et le plus gros problème est de trouver et retenir les talents — la plus grande contrainte pour sortir les produits. Compte tenu de toutes les décisions que les fabricants doivent prendre chaque jour, la cybersécurité n'est pas haute sur leur radar », déclare Elliot Forsyth, vice-président des opérations commerciales au Michigan Manufacturing Technology Center, dans un article pour Advanced Manufacturing.

Nous discutons avec des initiés de l'industrie sur l'état de la sécurité dans la fabrication d'aujourd'hui — et où elle se dirige.

Cyberattaques Industrielles : Fuites de Données, Cyberespionnage et Plus

Internet est un outil fantastique et une aubaine pour les affaires. Mais c'est aussi un lieu d'activité criminelle où fraude, rançon, vol et manipulation de systèmes arrivent trop souvent.

La fabrication n'a pas été épargnée par les problèmes de sécurité. Les secteurs industriels, y compris le pétrole et le gaz et les infrastructures critiques comme les centrales électriques et nucléaires, doivent aussi renforcer leur sécurité. En 2018, des entreprises pétrochimiques ont été piratées en Arabie saoudite dans l'intention de saboter les opérations et provoquer des explosions.

C'est un cas extrême, bien sûr, mais cela peut arriver. La majorité des incidents de sécurité visent les informations financières et la propriété intellectuelle.

« C'est un espace très peu sécurisé », dit John Livingston, PDG de Verve Industrial Protection. « La plupart des fabricants ignorent généralement le problème ou n'ont pas les ressources en interne [pour le gérer]. … D'un côté, beaucoup comptent sur les services cloud et de l'autre, ils s'appuient sur d'anciens systèmes d'exploitation dans leurs environnements qui ne sont pas corrigés. »

En 2018, il y a eu 352 incidents de sécurité dans la fabrication et 87 d'entre eux ont eu une divulgation de données confirmée, selon le « 2019 Data Breach Investigations Report » de Verizon, l'une des études les plus complètes publiées annuellement.

« Pour la deuxième année consécutive, les attaques à motivation financière surpassent le cyberespionnage comme raison principale des violations dans la fabrication, et cette année par un pourcentage plus significatif (40 % de différence) », concluent les auteurs du rapport Verizon. « Si c'était dans la plupart des autres secteurs, cela ne vaudrait pas la peine d'être mentionné car l'argent est la raison de la grande majorité des attaques. Cependant, la fabrication a connu un niveau plus élevé de violations liées à l'espionnage que les autres secteurs ces dernières années. »

Si l'objectif est la production de pointe et la fabrication de pièces, il ne fait guère de doute que la technologie joue un rôle central pour aider les entreprises à atteindre leurs objectifs. La collecte et la surveillance d'informations précises sur les machines deviennent plus critiques pour atteindre une performance optimale.

Les ateliers sont souvent connectés à Internet, et les applications que les employés utilisent, y compris le courriel, les sites web et les applications mobiles, peuvent toutes être l'ouverture dont les attaquants ont besoin pour accéder aux informations des employés et de l'entreprise ou à la propriété intellectuelle. Ces informations pourraient inclure des bibliothèques de spécifications de pièces qu'un fabricant d'équipement d'origine voudrait hors de portée des concurrents et qu'un gouvernement ne voudrait pas que d'autres nations aient.

« Les fabricants doivent entreprendre une évaluation des risques de leurs opérations », dit Koushik Subramanian, conseiller stratégique au Centre National pour la Cybersécurité dans la Fabrication, dans un article pour Advanced Manufacturing. « Le risque peut être technique — trouvé dans les machines, contrôles ou logiciels, et aussi dans le personnel, les pratiques et les processus. Le risque prend de nombreuses formes différentes, mais le plus courant vient des cyberattaques où des individus ou groupes malveillants essaient de s'infiltrer dans les systèmes en exploitant le maillon le plus faible : les gens. C'est la raison pour laquelle le phishing et les rançongiciels sont si populaires et pourquoi les attaques sont en hausse. »

Pour les petits ateliers, la gestion des ordinateurs signifie souvent faire appel à des sociétés informatiques extérieures, aussi appelées sociétés « IT », pour aider. Pour les fabricants de taille moyenne et grande, cela peut signifier une forme hybride de personnel IT interne et d'aide supplémentaire de sociétés externes pour les problèmes technologiques plus complexes.

« La plupart de l'industrie traverse cette phase de sensibilisation », dit Livingston. « Ils commencent à comprendre qu'il y a un problème. Mais ils se demandent : "Comment puis-je maîtriser un monde qui n'a jamais vraiment été géré comme une infrastructure basée sur Internet auparavant ?" »

Vous avez une question technique ? Demandez à l'équipe technique Métal de MSC sur le forum.

Agents de Changement : Normes, Financement Étatique et Services Tiers

Le National Institute of Standards and Technology est l'organisme qui régule les infrastructures critiques et établit les règles pour les industries aérospatiale et de défense. En 2016, le NIST a publié le SP 800-171, qui contient les règles pour « Protéger les informations non classifiées contrôlées dans les systèmes et organisations non fédéraux ».

Les normes comportent des contrôles de sécurité stricts qui peuvent affecter les OEM et les sous-traitants de la défense de toutes tailles. Si une entreprise n'est pas en conformité, elle ne pourra probablement pas soumissionner sur les travaux.

« Pour la plupart des fabricants qui ne sont pas dans les infrastructures critiques, perdre une journée de productivité à cause d'un problème de sécurité n'est pas une urgence nationale, mais cela nuit à leur résultat net », dit Scott Sawyer, directeur technique de Paperless Parts. « C'est là que cela entre vraiment en jeu : la propriété intellectuelle. Le Département de la Défense se soucie vraiment de ce domaine. »

Cela impacte les fabricants de toutes tailles.

« Même les entreprises de 100 à 200 personnes ont du mal avec cela », dit Sawyer. « Du jour au lendemain, elles doivent comprendre comment elles vont devenir conformes. »

Comment les entreprises font-elles face ? Celles qui essaient de conserver des contrats ou d'en attirer de nouveaux avec l'industrie de la défense font appel à des consultants — et mettent en place des programmes de sécurité. Les économies étatiques et locales peuvent être affectées négativement par ce genre de réglementations. Cela peut coûter cher. Alors des organisations offrent du financement pour aider les entreprises à devenir conformes aux normes de sécurité via des partenariats d'extension manufacturière (MEP).

Pour en savoir plus sur les efforts du Département de la Défense et le NIST, regardez cette vidéo.

C'est une bonne nouvelle pour ceux qui restent au fait du problème de sécurité, mais la plupart des fabricants sont encore dans le noir. Surtout les petits ateliers, explique Sawyer.

« Certains ont un faux sentiment de sécurité. Ils pensent ne pas être à risque parce qu'ils sont petits et hors des sentiers battus et que leur emplacement physique est rural, ils n'ont pas beaucoup d'employés et ils gardent un profil marketing bas », dit Sawyer. « Mais, vous savez, c'est exactement en quelque sorte ce qui pourrait en faire une cible. Ils sont une cible plus facile qu'un Lockheed Martin, Raytheon ou Northrop Grumman parce qu'ils n'ont pas la sécurité. »

Ces grandes entreprises sont des cibles, mais elles sont aussi beaucoup plus sophistiquées dans la gestion des spécifications classifiées et de la sécurité physique, explique Sawyer. Sawyer le sait — il a travaillé dans l'industrie de la défense pendant plusieurs années avant de passer à la fabrication.

Les entreprises de défense éduquent leurs employés à ne pas parler de leur travail quand ils quittent l'usine. Beaucoup sont priés de cacher leur badge une fois partis. Mais même ces efforts n'ont pas empêché des attaquants motivés d'accéder à d'importantes propriétés intellectuelles.

« Si vous croyez en la fabrication américaine, et que vous êtes patriote, une partie de cela devrait inclure le souci de la sécurité de l'information », dit Sawyer.

Comment votre atelier gère-t-il la sécurité aujourd'hui ? Êtes-vous en train de vous préparer ou en mode "l'ignorance est une bénédiction" ? Parlez-en sur le forum. [inscription requise]