Cybersécurité industrielle : quels sont les risques et comment les évaluer ?

La connexion des équipements industriels aux réseaux informatiques facilite la supervision, la maintenance et l’exploitation des données de production, mais elle expose également les installations à des cybermenaces. L’évaluation des risques permet de déterminer les mesures de protection adaptées aux caractéristiques et aux contraintes de chaque environnement industriel.

  induportals-media-publishing.com

La mise en réseau des équipements industriels élargit la surface d’attaque des entreprises. La convergence entre les technologies de l’information (IT), qui concernent notamment les données et les applications de gestion, et les technologies opérationnelles (OT), qui surveillent et pilotent les procédés physiques, crée de nouvelles voies d’accès aux installations.

Les conséquences potentielles d’une cyberattaque dépassent le vol ou la divulgation d’informations. Une intrusion peut entraîner l’arrêt de la production, la modification des paramètres d’un procédé, la fabrication de produits non conformes ou des dommages matériels. Dans certaines situations, une compromission peut également affecter les fonctions contribuant à la sécurité des personnes ou à la protection de l’environnement.

L’espionnage industriel constitue une autre menace, notamment lorsque les systèmes contiennent des données confidentielles ou des secrets de fabrication. Les rançongiciels peuvent, quant à eux, rendre des données ou des applications indisponibles et perturber les opérations. Leur propagation vers les systèmes industriels est particulièrement préoccupante lorsque les réseaux bureautiques et de production sont insuffisamment cloisonnés.

La multiplication des capteurs, actionneurs et équipements connectés dans le cadre de la numérisation des processus industriels renforce ces enjeux. Les automates programmables, les logiciels de supervision et les autres composants informatisés peuvent présenter des vulnérabilités, y compris lorsqu’ils sont conçus pour fonctionner dans des environnements industriels spécifiques.

Les conséquences dépendent toutefois de la nature de l’installation, de son architecture, de ses fonctions et des mesures de protection existantes. Les entreprises doivent donc évaluer leurs risques à partir de leurs propres équipements et scénarios d’attaque, plutôt que considérer toutes les connexions comme présentant le même niveau de danger.

L’interdiction de toute connexion des équipements industriels à un réseau extérieur est-elle le meilleur moyen de se protéger des cyberattaques ?

L’isolement complet des systèmes industriels, désigné par le terme air gap, permet de réduire leur exposition aux attaques provenant des réseaux extérieurs. Il ne constitue cependant pas une garantie absolue. Même un système isolé doit généralement recevoir des mises à jour, être configuré ou faire l’objet d’interventions de maintenance. Ces opérations peuvent nécessiter des clés USB, des consoles de programmation ou des ordinateurs portables, autant de vecteurs potentiels d’introduction de logiciels malveillants.

Les besoins de supervision, de collecte de données et de maintenance à distance rendent également certaines interconnexions nécessaires. Des connexions temporaires ou permanentes peuvent ainsi être utilisées par les fabricants et les prestataires pour intervenir sur les équipements. Si elles sont insuffisamment contrôlées, elles peuvent constituer des points d’entrée vers le réseau industriel, voire vers d’autres systèmes de l’entreprise.

La question n’est donc pas seulement de connecter ou non les équipements, mais de maîtriser les communications entre les différents environnements. Les accès distants doivent être identifiés, authentifiés, limités aux besoins réels et surveillés. Ils peuvent notamment être désactivés lorsqu’ils ne sont pas nécessaires. L’authentification multifacteur et des mécanismes d’authentification adaptés aux équipements peuvent renforcer le contrôle des accès.

La séparation des réseaux bureautiques et industriels reste pertinente, à condition d’être accompagnée de mesures de filtrage et de surveillance des flux. Une interconnexion maîtrisée peut être préférable à des échanges ponctuels par des supports amovibles dont l’utilisation n’est pas contrôlée.

L’isolement physique demeure néanmoins une mesure de réduction du risque utile lorsque les besoins opérationnels le permettent. Il doit être considéré comme une composante d’une stratégie de défense, et non comme un substitut à l’ensemble des mesures de cybersécurité.

Quelles méthodes peut-on mettre en œuvre pour évaluer les risques encourus par les systèmes informatiques industriels ?

L’évaluation des risques commence par l’identification des équipements, des logiciels, des communications et des fonctions nécessaires au fonctionnement de l’installation. Cette cartographie doit couvrir les ressources informatiques industrielles, y compris les équipements anciens, les connexions de maintenance et les composants qui ne figurent pas toujours dans les inventaires officiels.

Il convient ensuite d’analyser les vulnérabilités des systèmes et les conséquences potentielles de leur exploitation. Cette démarche suppose notamment d’identifier les attaquants susceptibles de viser l’installation, leurs objectifs et les moyens dont ils disposent.

Les systèmes doivent être évalués en fonction de leur rôle dans le procédé industriel. Une défaillance affectant un équipement secondaire n’aura pas nécessairement les mêmes conséquences que celle d’un automate pilotant une ligne de production fonctionnant en continu. L’analyse doit aussi considérer les interactions entre les systèmes informatiques, les équipements physiques et les fonctions de sécurité.

Les scénarios doivent prendre en compte la confidentialité des informations, la disponibilité des équipements, l’intégrité des données et des commandes, ainsi que les éventuelles conséquences sur les personnes, les biens et l’environnement. L’entreprise peut ensuite hiérarchiser les risques en fonction de leur vraisemblance et de leur gravité, puis définir les mesures de traitement adaptées.

Plusieurs référentiels permettent de structurer cette démarche. La norme ISO/IEC 27005:2022 fournit des recommandations pour la gestion des risques liés à la sécurité de l’information. La méthode EBIOS Risk Manager, développée par l’ANSSI et actualisée en 2024, permet notamment de construire des scénarios de risque en tenant compte de l’écosystème métier et technique de l’organisation.

Dans l’environnement industriel, la série IEC 62443 propose également des exigences adaptées aux systèmes d’automatisation et de contrôle industriels. La partie IEC 62443-3-2:2020 traite notamment de l’évaluation des risques, de la délimitation des zones et des conduits de communication et de la définition des niveaux de sécurité cibles.

Ces méthodes doivent être adaptées aux caractéristiques de l’installation. L’analyse de cybersécurité peut également être intégrée aux études de risques industriels existantes, notamment HAZOP ou LOPA, lorsque cela est pertinent. Ces méthodes ne sont toutefois pas interchangeables : elles répondent à des objectifs différents et doivent être articulées de manière cohérente.

Une fois les risques identifiés et hiérarchisés, l’entreprise doit définir les mesures de protection adaptées à ses installations. Celles-ci reposent notamment sur l’organisation interne, le contrôle des accès, la segmentation des réseaux et la surveillance des systèmes industriels.

Publié par Youssef Belgnaoui, rédacteur pour Induportals.

  Demander plus d’information…