Cybersécurité industrielle : quelles mesures techniques et organisationnelles mettre en place ?
La protection des systèmes industriels ne repose pas uniquement sur l’installation de solutions techniques. Elle nécessite également une organisation adaptée, des responsabilités clairement définies et des procédures compatibles avec les contraintes de production, ainsi qu’une mise en œuvre cohérente des mesures de sécurité.
induportals-media-publishing.com
Les mesures à prendre du point de vue organisationnel pour assurer la protection des systèmes informatiques industriels
La cybersécurité industrielle doit être considérée comme un enjeu de gestion des risques à part entière. Elle nécessite l’implication de la direction, qui doit définir les responsabilités, dégager les ressources nécessaires et veiller à ce que les mesures de protection soient maintenues dans la durée.
La désignation d’un responsable chargé de coordonner la cybersécurité des systèmes industriels constitue une première étape. Cette fonction doit permettre de rapprocher les équipes de production, les automaticiens, les spécialistes des systèmes d’information, les responsables métier et, si nécessaire, les services juridiques ou des experts externes. Une coordination entre ces acteurs est indispensable pour concilier les exigences de sécurité avec les contraintes d’exploitation.
L’entreprise doit également disposer d’une connaissance précise de son architecture réseau, des équipements interconnectés et des raisons justifiant chaque communication. Cette visibilité facilite l’identification des points d’accès vulnérables et la définition des mesures de protection adaptées.
La formation des personnels constitue un autre volet essentiel. Les opérateurs, techniciens de maintenance, intégrateurs et administrateurs doivent connaître les risques associés à leurs interventions, les pratiques à éviter et les procédures à suivre en cas d’incident.
Les exigences de cybersécurité doivent aussi être intégrées aux contrats avec les fournisseurs et les prestataires de maintenance. Il est notamment nécessaire de préciser les modalités d’accès distant, les responsabilités en matière de mise à jour, la gestion des vulnérabilités et les conditions d’intervention sur les équipements.
Enfin, les procédures doivent tenir compte des contraintes propres à la production industrielle. L’installation d’un correctif ou la modification d’un système de contrôle peut perturber un procédé en fonctionnement continu. Les interventions doivent donc être planifiées et évaluées en fonction de leurs conséquences potentielles sur la disponibilité et la sûreté des installations. Les mises à jour ne doivent pas être différées sans analyse, mais leur déploiement doit être organisé en fonction des risques et des contraintes opérationnelles.
Outils ou processus à mettre en œuvre pour garantir le niveau de sécurité attendu
La protection des systèmes industriels repose sur une combinaison de mesures techniques et organisationnelles, adaptée aux risques identifiés. Elle commence par le contrôle des accès physiques et logiques aux équipements, aux postes de programmation et aux outils de configuration. La gestion des identités et des habilitations doit limiter les accès aux seules personnes et fonctions autorisées.
Le cloisonnement des réseaux constitue une autre mesure importante. La segmentation permet de séparer les environnements selon leur fonction et leur niveau de criticité, tandis que des pare-feu contrôlent les communications entre les zones. La définition de règles de filtrage adaptées aux protocoles industriels peut compléter cette architecture.
Lorsque le blocage de certains flux risque de perturber le procédé, des sondes de surveillance passive peuvent analyser les communications et signaler les comportements suspects sans intervenir directement sur le trafic. Des systèmes de détection d’intrusion peuvent également contribuer à repérer les activités anormales. Ces outils complètent les mesures de prévention, mais ne les remplacent pas.
Les systèmes de sécurité doivent être correctement configurés, administrés et surveillés. Les alertes doivent être analysées par des personnes désignées, selon des procédures définies. La maintenance des équipements de sécurité, la gestion des correctifs et la vérification régulière du fonctionnement des dispositifs sont indispensables.
La protection ne doit pas être réduite à l’installation d’un antivirus ou d’un pare-feu. Elle suppose une défense en profondeur, reposant sur plusieurs mesures complémentaires : limitation des accès, segmentation, surveillance, sauvegardes adaptées, gestion des vulnérabilités et préparation à la reprise d’activité.
La démarche doit enfin intégrer la gestion des incidents. Même lorsque les mesures préventives sont en place, un incident reste possible. L’entreprise doit savoir comment réagir, quelles fonctions maintenir ou rétablir en priorité et comment coordonner les équipes concernées. Des exercices de crise permettent de tester cette organisation et d’identifier les points à améliorer.
L’ensemble de ces mesures doit s’inscrire dans un cycle d’amélioration continue : analyse des risques, mise en œuvre des protections, vérification de leur efficacité, correction des écarts et réévaluation périodique des risques résiduels.
L’installation d’équipements conformes aux profils de protection de l’ANSSI suffit-elle à garantir un niveau de sécurité suffisant ?
Les profils de protection, les certifications et les qualifications permettent de définir ou de vérifier des exigences de sécurité applicables à certains équipements ou services. Ils peuvent contribuer à sélectionner des composants dont les fonctions de sécurité ont été évaluées selon des critères définis.
Le recours à des équipements certifiés ou qualifiés ne garantit cependant pas, à lui seul, la sécurité de l’installation. Un pare-feu peut être conforme aux exigences applicables tout en se révélant inefficace si ses règles de filtrage sont mal définies. De même, un composant correctement conçu ne protège pas l’ensemble du système si l’architecture réseau présente des faiblesses ou si les procédures d’exploitation sont inadaptées.
Le choix des équipements doit donc s’inscrire dans une réflexion globale sur l’architecture de l’installation. Il faut notamment examiner les interconnexions entre les systèmes, séparer les zones les plus sensibles et contrôler les communications sans fil ainsi que les accès de maintenance.
La mise en œuvre, la configuration, l’exploitation et la maintenance jouent un rôle déterminant dans le maintien du niveau de sécurité. Les compétences des intégrateurs et des prestataires intervenant sur les installations sont également importantes.
Les référentiels français de l’ANSSI et les normes internationales ne remplissent pas tous la même fonction. Les recommandations et profils de sécurité de l’ANSSI peuvent contribuer à la sélection de produits adaptés au contexte français. La série IEC 62443 fournit, pour sa part, un cadre international couvrant notamment les programmes de sécurité des exploitants, les prestataires, l’évaluation des risques et les exigences techniques applicables aux systèmes industriels.
Il convient aussi de distinguer les niveaux de sécurité de la série IEC 62443 des niveaux SIL (Safety Integrity Level) de la norme IEC 61508. Les premiers concernent la capacité à faire face à des menaces de cybersécurité ; les seconds portent sur l’intégrité de sécurité des systèmes réalisant des fonctions de sécurité. Ces niveaux ne sont pas équivalents et ne doivent pas être confondus.
Quel que soit le référentiel retenu, les exigences doivent être adaptées à la criticité des installations et aux risques auxquels elles sont exposées. L’efficacité dépend de la cohérence de l’architecture et de l’ensemble des mesures mises en œuvre, et non de la seule conformité d’un équipement.
L’efficacité de ces mesures dépend autant de leur adéquation aux risques que de leur configuration, de leur exploitation et de leur maintenance. Les industriels peuvent s’appuyer sur des spécialistes externes, des référentiels et des formations pour renforcer leurs compétences et inscrire la cybersécurité dans la durée.
Publié par Youssef Belgnaoui, rédacteur pour Induportals.
