Chiffres-clés :
• Les cyberattaques industrielles ont augmenté de 34% en 2022, selon un sondage mené par Kaspersky ICS.
• Dans 47% des cas de cyberattaques industrielles, les environnements OT et les systèmes de contrôle industriels (ICS) sont également touchés selon une enquête réalisée par Pollfish.
• Les cyberattaques sur les infrastructures de production bondiront de 70 % en 2025, selon les projections d'une étude menée par Kaspersky, Accenture et Orange.
1. Les attaques contre l'industrie en hausse
En matière de cybersécurité industrielle (OT), il y a un avant et un après Stuxnet. Conçu pour perturber les plans de développement nucléaire iraniens, ce virus qui s'est propagé dans le monde entier en 2010 avait profité d'une faille humaine pour endommager durablement des milliers de centrifugeuses d'enrichissement d'uranium au sein de la centrale nucléaire de Natanz.
Depuis, le niveau de sensibilité des entreprises industrielles face aux risques de cybersécurité s’est considérablement accru. Les attaques menées sur les systèmes industriels défraient régulièrement la chronique :
En 2017, le malware Triton visant les installations pétrolières de la société Petro Rabigh, en Arabie Saoudite, aurait pu causer de nombreux dégâts : morts en cas d’explosion, pollution maritime, ou encore flambée du prix du baril...
L’année passée, le réseau informatique de la société Maersk à Copenhague s’effondre rendant inopérants 17 ports dans le monde. Il s’agit de la crise la plus monumentale de l’histoire de l’informatique maritime. En cause ? Le virus NotPetya. Ce même virus coûtera à la société Saint-Gobain 250 millions d’euros de dommages.
Une recrudescence de cyberattaques sur les systèmes industriels qui n’épargne personne, surtout pas les PME et les ETI. Souvent moins structurées en termes de gouvernance numérique, elles présentent davantage de vulnérabilités face aux attaques. Des vulnérabilités qui peuvent être exploitées par des attaquants qui visent de grands groupes en ciblant leurs prestataires. Or, « une PME sur deux fait faillite dans les 18 mois suivant une cyberattaque » affirmait il y a peu Jean-Noël Barrot, Ministre délégué auprès du ministre de l'Économie, des Finances et de la Souveraineté industrielle et numérique, chargé du Numérique.
Le défi est de taille, comme l’indique l’ANSSI dans son guide de la cybersécurité des systèmes industriels « comme l’ensemble de la société, les industries ont bien souvent intégré le numérique au fil de l’eau et sans stratégie initiale, des systèmes hétérogènes s’interconnectant avec comme soucis majeurs la productivité, l’efficacité et la sûreté – mais rarement la sécurité... »
2. Enjeux de la cybersécurité industrielle
a. L’industrie 4.0 ou la quatrième révolution industrielle
Automatisation accrue, maintenance prédictive, auto-optimisation des améliorations de processus, efficacité et réactivité accrues vis-à-vis des clients, l’industrie 4.0 est une évolution majeure de l’industrie synonyme de fabrication intelligente, de productivité et de transformation numérique des opérations industrielles. Rendue possible grâce à l’émergence des nouvelles technologies, telles que l’Internet des objets (IoT), l’analytique, l’IA, le Big Data, la robotique et l’automatisation ; L’industrie 4.0 profite également aux cyberattaquants…
b. De multiples vecteurs d'attaques et de vulnérabilités
Des systèmes industriels ou « Industrial Control System » (ICS) de plus en plus connectés, interconnectés et complexes qui ont rarement intégré une approche « secure by design », laissant exposées de nombreuses vulnérabilités.
A cela s’ajoute une inertie générale, tant pour la mise à jour des systèmes que pour leur sécurisation car « la priorité des industriels est la disponibilité de leurs outils de production au détriment de la confidentialité ou de l’intégrité des données. Ils ne veulent pas que leur activité soit interrompue. Tout arrêt ou transformation/amélioration du système informatique par de nouveaux programmes ou processus est considéré comme une perte d’argent », indiquait Renaud Lifchitz, Directeur scientifique de Holiseum au magazine Techniques de l’Ingénieur en décembre 2022.
Parallèlement aux ICS, la Gestion Technique de Bâtiment (GTB), qui regroupe les systèmes tels que la ventilation, la vidéoprotection, l’approvisionnement en eau, le contrôle d’accès sécurisé, etc. des installations industrielles peut également représenter une cible de choix pour les attaquants.
Autant de portes d’entrée pour des individus malfaisants qui peuvent mener leurs opérations n’importe où dans le monde et, pourquoi pas, au sein des installations industrielles elles-mêmes.
c. Les dommages potentiels
Une cyberattaque industrielle peut avoir de lourdes conséquences comme par exemple :
- Dommages humains ou sur les outils de production
- Pertes financières : l’interruption de la production industrielle peut engendrer des pertes de chiffre d’affaires significatives. Par ailleurs, une production non conforme suite à un process de fabrication compromis peut également représenter un coût important.
- Dégâts environnementaux : une prise de contrôle malveillante des équipements peut générer la défaillance des installations (ouverture de vannes de produits polluants par exemple) et provoquer la pollution du site et de l’environnement.
- Extorsion de données : perte / divulgation du fichier clients, de secrets de fabrication, etc.
- Dégradation de l’image de l’industriel
- Engagement de la responsabilité civile, voire pénale des infrastructures critiques si mise en danger du consommateur.
d. Quels sont les systèmes industriels à protéger ?
Les « systèmes industriels » ou « Industrial Control System » (ICS) représentent l’ensemble des moyens informatisés et automatisés qui assurent le contrôle et le pilotage des procédés industriels. L’industrie et les infrastructures critiques sont autant de secteurs qui utilisent les ICS. Les systèmes industriels utilisent actuellement les technologies de l’information sans modération bien qu’ils n’aient pas été conçus pour parer aux menaces qu’elles induisent. Et une fois la menace présente sur le réseau IT, elle peut, du fait des interconnexions systèmes, infiltrer l’OT ...
Même si les ICS sont spécifiques à chaque installation, ils se composent généralement des systèmes industriels suivants :
- Automates Programmables Industriels (API ou PLC)
- Systèmes Numériques de Contrôle-Commande (SNCC) ;
- Systèmes Instrumentés de Sécurité (SIS)
- Capteurs et actionneurs (intelligents ou non)
- Bus de terrain
- Logiciels de supervision et de contrôle : SCADA
- Logiciels de gestion de production assistée par ordinateur (GPAO, MES)
- Logiciels d’ingénierie et de maintenance
- Systèmes embarqués.
En résumé, la menace cyber fait désormais partie du quotidien des entreprises industrielles, et pas seulement des grands groupes mais des PME et ETI également en les exposant à des risques humains, financiers et stratégiques conséquents. Une menace qui ne fera que prendre de l’ampleur au cours des prochaines années.Pourtant, de nombreuses sociétés du secteur industriel, faute de temps, d’outils et/ou de compétences, relèguent la cybersécurité au second plan et utilisent des outils de production peu voire pas sécurisés…
3. La SSI, ou comment Holiseum vous accompagne dans la sécurisation de vos actifs industriels
Les enjeux de la sécurité des systèmes d'information (SSI) sont considérables pour toutes les organisations industrielles. Holiseum, prestataire terrain expert et pure player de la cybersécurité industrielle et des infrastructures critiques vous accompagne dans l’audit de vos installations et dans le déploiement de votre plan de remédiations.
Le périmètre d’action de nos experts en cybersécurité industrielle :
1. Sensibilisation des personnels à la sécurité
2. Cartographie des installations et analyse de risque
3. Prévention : concept de la défense en profondeur
4. Surveillance des installations et détection des incidents
5. Traitement des incidents, chaîne d’alerte
6. Veille sur les menaces et les vulnérabilités
7. Les plans de reprise et de continuité d’activité :
- Gouvernance : Politiques de Sécurité des systèmes d’Information (PSSI) / PSSI industrielle / Plan de Reprise d’Activité (PRA) / Plan de Continuité d’Activité (PCA) / Disaster Recovery Plan (DRP) / Procédure de gestion des incidents et de gestion de crise
- Opérationnel : déclinaison des documents de gouvernance tels que les fiches réflexes, procédure de sauvegardes / restaurations, procédure de gestion du changement, etc.
- Organisationnel : déploiement d’Intégration de la Sécurité dans les Projets, de Third-Party Management (PAS, évaluation fournisseurs, etc.), gestion des risques
Pourquoi choisir Holiseum ?
- Une solide expertise en matière de cybersécurité OT / IoT / IIoT / IT
- Une expertise reconnue dans le domaine de la cybersécurité des systèmes de contrôle industriel (ICS) et de multiples expériences en matière de conformité aux réglementations relatives aux infrastructures critiques.
- Une approche globale de la cybersécurité (conseil, innovation, audit 360)
- Une approche innovante et des capacités d'ingénierie (ex. Security Box)
- Une expertise en matière d'évolutivité (expérience prouvée au sein d'un groupe industriel : 40+ personnes et 75 sites industriels sécurisés en 2 ans)
- Une connaissance établie de l'industrie au sein de divers environnements industriels (gaz, électricité, usine manufacturière, etc.) avec des missions de différentes natures (gouvernance, analyse de risques, audits, remédiation, opérations, etc.)
- Holiseum est qualifié PASSI par l’ANSSI (Autorité Nationale de Sécurité des Systèmes d’Information) sur l’ensemble des portées
- Holiseum est membre officiel d'HEXATRUST, consortium d'éditeurs français de confiance en cybersécurité, et est le seul membre qui propose une approche globale de la sécurité des sites industriels.
4. Bonnes pratiques
En complément d’un accompagnement réalisé par un prestataire terrain expert dans la sécurisation des actifs industriels, Holiseum vous recommande l’application de ces quelques bonnes pratiques afin d’assurer la protection de vos outils industriels :
- Contrôle d’accès physique aux équipements et aux bus de terrain
- Cloisonnement des réseaux
- Gestion des médias amovibles
- Gestion des comptes (accès logique, authentification)
- Gestion des sous-traitants
- Durcissement des configurations
- Surveillance, détection et gestion des journaux des événements et alarmes
- Gestion des configurations
- Sauvegardes / restaurations
- Documentation des procédures, processus et politiques
- Protection antimalware
- Mise à jour des correctifs (planification)
- Protection des automates (PLC)
- Stations d’ingénierie, postes de développement
.png){kind=small}