Kipsecu

Devenez Acteur de la Sécurité du Web

img

La sécurité informatique industrielle, c’est quoi ?

/
/
/
191 Views

Le monde de l’industrie est aujourd’hui confronté à un enjeu de taille : la sécurisation de leurs automates et systèmes d’information et plus généralement l’ensemble des équipements nécessaires au bon fonctionnement de la production, où la moindre faille peut se révéler critique en cas d’attaque.

Les impacts d’un piratage sur un système industriel peuvent être critiques pour l’organisation victime de l’attaque mais également pour les populations et l’environnement en cas d’accident industriel majeur.  C’est pourquoi les entreprises doivent mettre en œuvre une politique de sécurité des systèmes industriels.

sécurité informatique industrielle

Les objectifs de la sécurité informatique industrielle

Avant les années 2000, les systèmes d’information en milieu industriel n’étaient pas connectés à Internet. Les équipements de production n’étaient pas accessibles de l’extérieur, les virus n’étaient pas aussi répandu qu’aujourd’hui et de fait les automates et systèmes d’information industriels étaient peu vulnérables à une attaque informatique.

Depuis les années 2000-2010, les entreprises misent sur le développement des nouvelles technologies pour optimiser leurs productions. Les systèmes industriels sont de plus en plus connectés aux systèmes d’information de gestion, qui eux-mêmes sont connectés à internet.

réseau informatique industrie

Le problème réside dans le fait que l’informatique industrielle repose souvent sur des systèmes propriétaires peu sécurisés et non adaptés à des menaces venant de l’extérieur. Or, dans le cas où un système informatique industriel serait relié à un réseau qui serait lui-même connecté à internet, il convient de considérer que le système industriel serait soumis aux mêmes vulnérabilités qu’un réseau ordinaire.

 

La sécurité informatique industrielle vise à limiter les risques d’infection virale des équipements industriels et ainsi protéger les systèmes d’importance vitale pour l’entreprise et son environnement.

 

Quels sont les composants à protéger dans un système industriel ?

D’une manière générale, l’informatique industrielle peut se résumer aux éléments suivants :

  • Les systèmes embarqués
  • Les logiciels de contrôle et de supervision (SCADA)
  • Les systèmes numériques de contrôle – commande
  • Les automates programmables industriels (API – PLC)
  • Les capteurs et les actionneurs
  • Les logiciels de GPAO et de MES
  • Les logiciels d’ingénierie et de maintenance

En quoi la sécurité informatique industrielle doit être adaptée par rapport à une informatique de gestion ?

informatique industrielle connectée

 

Le contexte d’une informatique en milieu industriel diffère de celui d’une informatique de gestion sur de nombreux points. C’est pourquoi la gestion de la sécurité informatique d’une industrie doit être différente de celle appliquée sur des systèmes d’information plus « conventionnels ».

 

L’objectif d’un système d’information industriel est différent d’un système informatique de gestion

Quand un système d’information classique se contente de collecter, stocker et traiter des données, le système d’information industriel a pour objectif de piloter des équipements physiques parfois critiques ainsi que de gérer des procédés.

Les contraintes sont plus fortes en informatique industrielle

Les principales contraintes d’un système d’information de gestion sont généralement liées aux contraintes métiers ainsi qu’aux exigences de disponibilité, d’intégrité et de confidentialité (DIC).

Les systèmes industriels sont également soumis à des exigences dites de « temps réel », à une obligation du sureté due aux dangers que peut représenter le dysfonctionnement d’un équipement mais également à une obligation de disponibilité forte, résultante d’une activité ininterrompue (24h/24 – 7j/7).

Le personnel n’a pas les mêmes qualifications

Les systèmes d’information de gestion sont généralement conçus et maintenus par des informaticiens formés et sensibilisés aux problématiques de sécurité informatique alors que les systèmes industriels sont plutôt gérés par des automaticiens ou des électrotechniciens, moins rompus à la mise en place d’une sécurité de leur système d’information.

L’environnement d’une usine est hostile pour un matériel informatique

Poussières, écarts de température, projections, … le matériel informatique en milieu industriel doit être conçu pour résister aux dangers de son environnement. De plus, la durée de vie d’un automate étant généralement plus importante que celle d’un simple ordinateur ou serveur, pour des questions de rentabilité, les efforts devront être d’autant plus conséquents pour le préserver d’une panne.

Les technologies et composants d’un équipement industriel ne sont pas sécurisés par défaut

machine industrielle informatisée

Les systèmes informatiques industriels sont certes robustes pour résister à des conditions physiques difficiles mais n’intègrent pas ou peu de protections logiques pour faire face aux infections virales.

Les systèmes ne sont pas standards car adaptés selon le contexte et la grande durée de vie des équipements conduit à la multiplication de différents systèmes au sein d’un même réseau.

Tout cela conduit à des matériels ou logiciels obsolètes, difficiles à maintenir et très vulnérables face à une attaque informatique.

 

Ce qu’il ne faut surtout pas faire en sécurité informatique industrielle

 

Penser qu’un réseau industriel isolé d’internet est sûr

clé usb industrie

Si le réseau industriel est relié de près ou de loin au réseau de gestion, alors les risques sont identiques.

Une infection virale peut être transmise physiquement via un périphérique externe (une clé USB par exemple), ou via la console de maintenance des équipements.

Enfin, un réseau industriel totalement isolé du net devient de plus en plus rare, du fait de l’interconnexion de plus en plus fréquente avec des logiciels de gestion.

 

Sous-estimer l’argent nécessaire à la sécurité informatique industrielle

Vous l’entendez souvent, la sécurité ne peut pas être rentable, c’est un centre de coût et de fait, les entreprises ont tendance à dépenser le minimum sur ce poste.

Il faut savoir que la mise en place de protections informatiques dans un système industriel coûte moins cher lorsqu’elle est anticipée et prise en compte dès le début d’un projet. Il convient également de prendre en compte l’impact financier d’une panne ou d’un accident majeur pour estimer le degré d’investissement nécessaire sur ce type de dépense.

 

Dans quelques années, les cotisations des assureurs prendront en compte le niveau de protection informatique dans le calcul de leurs cotisations. Il sera alors plus aisé de calculer un ROI (retour sur investissement) pour l’entreprise.

 

Sous-estimer la portée et les impacts d’une attaque informatique en milieu industriel

hack navire millitaire

La sureté est omniprésente dans l’industrie. En effet, un accident lors de la manipulation d’une machine ou les menaces terroristes sont pris au sérieux car potentiellement très graves.

Les risques liés à la sécurité informatique sont souvent mal évalués car méconnus des salariés de l’entreprise. Rappelons-nous que fin 2016, de nombreuses usines dans le monde (dont Renault en France) ont arrêté leur production plusieurs jours suite à une infection par le Ransomware Wannacry. Mi-2017, des navires de guerre américains sont rentrés en collision avec d’autres bateaux, probablement suite à une cyberattaque, entraînant la mort de plusieurs marins.

 

Conclusion : Les menaces informatiques qui pèsent sur les systèmes industriels sont moins visibles et impactent plus longuement ces derniers, qui mettront alors plus de temps à s’en remettre.

 

Comment se protéger d’une attaque informatique en milieu industriel ?

Nous verrons dans un prochain article les différentes façons de se protéger d’une infection sur un équipement industriel et les menaces qui pèsent sur ce dernier. Nous  vous détaillerons également la méthodologie conseillée pour réaliser une analyse de risque sur votre informatique industrielle.

 

Notre blog et notre équipe d’experts en sécurité informatique a pour vocation d’aider les internautes à se protéger des menaces présentes sur le web.

Pour aller plus loin, vous pouvez découvrir notre article sur Le Social Engineering, une escroquerie répandue dans le monde de l’entreprise

  • Facebook
  • Twitter
  • Google+
  • Linkedin
  • Pinterest

Leave a Comment

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

It is main inner container footer text