Équilibrer la sécurité et l'interconnectivité dans l'industrie manufacturière

Dans l'industrie manufacturière, les opérations étaient autrefois cloisonnées en fonction de l'emplacement, la sécurité étant axée sur la restriction de l'accès physique aux machines. Les dispositifs d'interface homme/machine destinés à contrôler les opérations dans une usine ou un établissement se trouvaient au même endroit que les machines elles-mêmes, et chaque usine ou établissement était situé dans des zones déconnectées les unes des autres.

Mais cette époque est révolue depuis longtemps, car les machines sont de plus en plus gérées par software et des processus automatisés. Et comme les chefs d'entreprise ont besoin d'informations actualisées et exploitables sur les machines et leur environnement physique pour gérer et améliorer les opérations mondiales, les usines doivent être connectées à l'internet.

Ce nouveau paradigme présente plusieurs avantages en termes d'efficacité, notamment la maintenance prédictive, la normalisation des processus et d'autres formes d'automatisation, mais ces avantages s'accompagnent de défis. Avec la croissance exponentielle des appareils dans l'Internet des objets ( Internet des objets (IoT)il faut trouver un équilibre entre l'interconnectivité entre plusieurs sites et le temps de fonctionnement des machines et la fluidité des opérations sur site.

Cette interconnectivité signifie que bon nombre des principes directeurs de la sécurité des entreprises doivent désormais être appliqués au secteur manufacturier. Même les questions de compétence sont sujettes à débat, car la question de savoir si la technologie de fabrication relève de l'informatique ou de l'informatique embarquée dépend d'un certain nombre de facteurs. 

Le secteur de la fabrication est responsable de la construction de la technologie utilisée dans d'autres domaines. Cette technologie devenant de plus en plus complexe, les machines utilisées pour la construire doivent l'être également. L'ajout de connexions entre les machines à travers le monde ouvre un nombre croissant de vecteurs d'attaque qui peuvent être exploités.

Les enjeux de la sécurité industrielle ne pourraient être plus élevés : Lorsqu'une usine tombe en panne, les pertes financières pour l'organisation peuvent être calculées en termes de temps et de production, de sorte que chaque violation potentielle de données peut souvent avoir un prix concret.

Le fait d'avoir des opérations et des données réparties sur plusieurs sites, voire dans des pays ayant des niveaux de réglementation différents, peut poser des difficultés aux entreprises qui tentent de mettre en œuvre une approche cohérente de la sécurité des actifs, et l'arrivée de nouveaux partenaires ajoute encore à la complexité de la situation. Si l'on ajoute à cela la migration rapide vers l'hébergement dans le nuage software, le renforcement de la sécurité devient la tâche numéro un de tout fabricant.

Avec une énorme quantité d'investissements en capital poussant la fabrication vers de plus en plus d'automatisation, les vulnérabilités potentielles en matière de sécurité sont souvent négligées, car de nombreux dispositifs IIoT partagent des informations avec les systèmes de contrôle. Selon l Agence pour la cybersécurité et la sécurité des infrastructures (CISA), l'automatisation des systèmes de contrôle industriels entraîne un risque accru d'exploitation des vulnérabilités par des acteurs menaçants.

De nombreuses fonctions essentielles étant désormais automatisées, un certain nombre d'attaques ont été menées avec succès contre l'industrie manufacturière en utilisant diverses méthodes, notamment le déni de service et les attaques de type "Man-in-the-Middle". les attaques de type "Man-in-the-Middle". De nombreuses entreprises ne sont pas du tout préparées et certaines d'entre elles utilisent encore des protocoles non cryptés, tels que FTP, Telnet et HTTP.

Selon certains rapports, l'industrie manufacturière est le secteur le plus ciblé par les cyberattaquesnotamment par les ransomwares. À mesure que la production augmente pour répondre à la reprise économique post-pandémie dans le monde, nous pouvons nous attendre à ce que cette tendance s'accentue.

Les conséquences d'une violation de données dans l'industrie manufacturière peuvent souvent être plus graves que dans d'autres secteurs. Si une usine est victime d'une cyberattaque, cela peut immédiatement coûter des millions de dollars à l'entreprise, non seulement en raison de la baisse de productivité des travailleurs - comme c'est le cas dans toute organisation - mais aussi de l'arrêt du processus de production, qui a un impact direct sur les résultats. En raison de ce lien direct et immédiat avec le chiffre d'affaires, les systèmes de production sont une cible lucrative pour les ransomwares.

Que peuvent donc faire les entreprises manufacturières pour sécuriser leurs systèmes de contrôle industriel face à l'assaut croissant des menaces de sécurité ?

Alors que l'industrie manufacturière s'adapte à un nouveau paysage de menaces, les contrôles de sécurité sont souvent appliqués de manière inégale ou ad hoc. Il en résulte un patchwork de contrôles qui présente forcément des vulnérabilités susceptibles d'être exploitées par les acteurs de la menace.

Pour que les entreprises manufacturières puissent sécuriser pleinement leurs actifs, elles doivent mettre en œuvre des initiatives de sécurité dans l'ensemble de l'organisation qui respectent aux normes de l'industrie et de l'entreprise. Lorsque de nouvelles menaces apparaissent, la normalisation permet aux dirigeants de l'entreprise de mettre en œuvre les mesures nécessaires et de renforcer la sécurité avant qu'une cyberattaque ne se produise.

Les systèmes de contrôle industriel étant de plus en plus dépendants de software et interconnectés, les fabricants doivent mettre en œuvre des procédures rigoureuses de signature de code. signature de code pour s'assurer que les systèmes de contrôle exécutant des microprogrammes n'autorisent l'exécution du code que si leur authenticité est vérifiée par des certificats sécurisés ou des clés privées.

Le code ne devrait pas pouvoir s'installer ou s'exécuter s'il n'est pas vérifié, depuis le déploiement initial de l'application jusqu'aux mises à jour et aux correctifs sur le site software . Les responsables informatiques de l'industrie manufacturière doivent faire preuve de diligence raisonnable pour déterminer quelles sont les sources de certificats fiables, tant internes que tierces.

Dans la conversation sur la signature de code, il existe un certain potentiel pour la mise en œuvre de l'apprentissage automatique et de l'intelligence artificielle afin de détecter et d'analyser les changements dans un environnement qui pourraient ne pas être immédiatement apparents pour le personnel. Mais si l'analyse des menaces par l'IA peut être un ajout prometteur à votre structure de sécurité, elle est essentiellement réactive dans sa forme actuelle et ne résout pas le problème des sources d'authentification auxquelles il faut faire confiance.

De nombreux fabricants construisent des machines en n'ayant à l'esprit que leur fonction première, et n'abordent les vulnérabilités potentielles que tardivement dans le processus de conception ou même après qu'un exploit s'est produit. Cela ne crée pas seulement un produit moins sûr, mais peut aussi être beaucoup plus coûteux, car les contrôles de sécurité doivent être adaptés à la machine de manière à maintenir la productivité.

Pour mettre en œuvre une stratégie de sécurité dès la conception, dans laquelle la sécurité des identités, la protection des microprogrammes et la gestion des correctifs sont mises en œuvre à chaque étape du processus de conception, réfléchissez aux points suivants :

• • Veillez à bien comprendre les principaux moteurs de l'entreprise (par exemple, le temps de fonctionnement de l'usine, la qualité du produit) et concevez la machine en fonction de ces objectifs. 
  • Apprenez à connaître vos représentants en matière de sécurité et impliquez-les dès le début du processus de conception. Ne leur demandez pas de sécuriser le produit une fois qu'il est presque terminé.
  • Tirer parti d'outils éprouvés en matière de gestion des clés et de la signature de code. Il n'est pas nécessaire de partir de zéro.
  • S'assurer que la machine est capable de s'adapter aux nouvelles technologies (par ex, informatique quantique) et à l'évolution des cybermenaces.

Cette approche permet non seulement de créer une machine plus sûre, mais aussi de faire en sorte que les contrôles de sécurité soient moins susceptibles d'entraver la productivité parce qu'ils sont mieux intégrés à la fonction de la machine.

Si l'automatisation dans l'industrie manufacturière peut être une énorme source de risques, elle peut aussi être un atout lorsqu'elle est correctement mise en œuvre. L'homme peut parfois être le maillon faible en matière de sécurité, et l'élimination des points de défaillance potentiels peut réduire considérablement votre surface d'attaque.

Pour vous tenir au courant des défis auxquels d'autres fabricants sont confrontés et de la manière dont ils les relèvent, consultez l'étude suivante IoT Enquête sur la sécurité des appareils en 2022 bpar Pulse et Keyfactor. En comprenant ce que les autres entreprises de votre secteur font (ou ne font pas) pour sécuriser leurs systèmes IIoT critiques contre les cybermenaces, vous pouvez commencer à mettre en place des stratégies pour éviter les pannes, maintenir la production et protéger la réputation de votre entreprise.

Pour en savoir plus sur la façon dont vous pouvez de nouveaux modèles commerciaux numériques grâce à des communications sécurisées dans l'usine connectée, regardez notre webinaire à la demande : Sécuriser l'usine connectée de demain.