Équilibrer la sécurité et l'interconnectivité dans l'industrie manufacturière

Dans l'industrie manufacturière, les opérations étaient autrefois cloisonnées en fonction de l'emplacement, la sécurité étant axée sur la restriction de l'accès physique aux machines. Les dispositifs d'interface homme/machine destinés à contrôler les opérations dans une usine ou un établissement se trouvaient au même endroit que les machines elles-mêmes, et chaque usine ou établissement était situé dans des zones déconnectées les unes des autres.

Mais cette époque est révolue depuis longtemps, car les machines sont de plus en plus gérées par software et des processus automatisés. Et comme les chefs d'entreprise ont besoin d'informations actualisées et exploitables sur les machines et leur environnement physique pour gérer et améliorer les opérations mondiales, les usines doivent être connectées à l'internet.

There are several efficiency advantages to this new paradigm, including predictive maintenance, process standardization, and other forms of automation, but with those advantages come challenges. With the exponential growth of devices in the Internet of Things (IoT), ensuring interconnectivity between multiple sites must be balanced with machine uptime and smooth operations onsite.

Défis en matière de sécurité dans l'internet industriel des objets (IIoT)

Cette interconnectivité signifie que bon nombre des principes directeurs de la sécurité des entreprises doivent désormais être appliqués au secteur manufacturier. Même les questions de compétence sont sujettes à débat, car la question de savoir si la technologie de fabrication relève de l'informatique ou de l'informatique embarquée dépend d'un certain nombre de facteurs. 

Le secteur de la fabrication est responsable de la construction de la technologie utilisée dans d'autres domaines. Cette technologie devenant de plus en plus complexe, les machines utilisées pour la construire doivent l'être également. L'ajout de connexions entre les machines à travers le monde ouvre un nombre croissant de vecteurs d'attaque qui peuvent être exploités.

The stakes for manufacturing security couldn’t be higher: When a factory goes down, financial losses to the organization can be calculated in terms of time and output, so each potential data breach can often be given a concrete price tag.

Le fait d'avoir des opérations et des données réparties sur plusieurs sites, voire dans des pays ayant des niveaux de réglementation différents, peut poser des difficultés aux entreprises qui tentent de mettre en œuvre une approche cohérente de la sécurité des actifs, et l'arrivée de nouveaux partenaires ajoute encore à la complexité de la situation. Si l'on ajoute à cela la migration rapide vers l'hébergement dans le nuage software, le renforcement de la sécurité devient la tâche numéro un de tout fabricant.

Les risques de l'automatisation

With a huge amount of capital investment driving manufacturing toward more and more automation, potential security vulnerabilities often get overlooked, as many IIoT devices share information with control systems. According to the Cybersecurity and Infrastructure Security Agency (CISA), automation of industrial control systems brings a greater risk of vulnerabilities being exploited by threat actors. 

With many crucial functions now automated, there have been a number of successful attacks on manufacturing using a variety of methods, including denial of service and Man-in-the-Middle attacks. Many companies are completely unprepared, and some of them are still using unencrypted protocols, like FTP, Telnet, and HTTP.

Les fabricants sont une cible

According to some reports, manufacturing is the industry most targeted by cyberattacks, especially by ransomware. As production ramps up in response to the world’s post-pandemic economic recovery, we can expect that this trend will become even more pronounced.

Les conséquences d'une violation de données dans l'industrie manufacturière peuvent souvent être plus graves que dans d'autres secteurs. Si une usine est victime d'une cyberattaque, cela peut immédiatement coûter des millions de dollars à l'entreprise, non seulement en raison de la baisse de productivité des travailleurs - comme c'est le cas dans toute organisation - mais aussi de l'arrêt du processus de production, qui a un impact direct sur les résultats. En raison de ce lien direct et immédiat avec le chiffre d'affaires, les systèmes de production sont une cible lucrative pour les ransomwares.

Stratégies d'atténuation des risques pour les usines connectées

Que peuvent donc faire les entreprises manufacturières pour sécuriser leurs systèmes de contrôle industriel face à l'assaut croissant des menaces de sécurité ?

Normalisation des contrôles de sécurité

Alors que l'industrie manufacturière s'adapte à un nouveau paysage de menaces, les contrôles de sécurité sont souvent appliqués de manière inégale ou ad hoc. Il en résulte un patchwork de contrôles qui présente forcément des vulnérabilités susceptibles d'être exploitées par les acteurs de la menace.

For manufacturing organizations to fully secure their assets, they must implement security initiatives across the entire organization that adhere to industry and company standards. Whenever new threats arise, standardization enables company leadership to implement the necessary measures and tighten security before a cyberattack can take place.

Signature du code

Because industrial control systems are increasingly software-dependent and interconnected, manufacturers have to implement rigorous code-signing initiatives to ensure that any firmware-running control systems only allow code to execute if their authenticity is verified by secure certificates or private keys. 

Le code ne devrait pas pouvoir s'installer ou s'exécuter s'il n'est pas vérifié, depuis le déploiement initial de l'application jusqu'aux mises à jour et aux correctifs sur le site software . Les responsables informatiques de l'industrie manufacturière doivent faire preuve de diligence raisonnable pour déterminer quelles sont les sources de certificats fiables, tant internes que tierces.

Apprentissage automatique et IA

Dans la conversation sur la signature de code, il existe un certain potentiel pour la mise en œuvre de l'apprentissage automatique et de l'intelligence artificielle afin de détecter et d'analyser les changements dans un environnement qui pourraient ne pas être immédiatement apparents pour le personnel. Mais si l'analyse des menaces par l'IA peut être un ajout prometteur à votre structure de sécurité, elle est essentiellement réactive dans sa forme actuelle et ne résout pas le problème des sources d'authentification auxquelles il faut faire confiance.

Sécurité dès la conception

De nombreux fabricants construisent des machines en n'ayant à l'esprit que leur fonction première, et n'abordent les vulnérabilités potentielles que tardivement dans le processus de conception ou même après qu'un exploit s'est produit. Cela ne crée pas seulement un produit moins sûr, mais peut aussi être beaucoup plus coûteux, car les contrôles de sécurité doivent être adaptés à la machine de manière à maintenir la productivité.

Pour mettre en œuvre une stratégie de sécurité dès la conception, dans laquelle la sécurité des identités, la protection des microprogrammes et la gestion des correctifs sont mises en œuvre à chaque étape du processus de conception, réfléchissez aux points suivants :

• • Veillez à bien comprendre les principaux moteurs de l'entreprise (par exemple, le temps de fonctionnement de l'usine, la qualité du produit) et concevez la machine en fonction de ces objectifs. 
  • Apprenez à connaître vos représentants en matière de sécurité et impliquez-les dès le début du processus de conception. Ne leur demandez pas de sécuriser le produit une fois qu'il est presque terminé.
  • Leverage proven tools around key management and code-signing. You don’t have to start from scratch.
  • Make sure the machine is able to adapt to new technology (e.g., quantum computing) and evolving cyber threats.

Cette approche permet non seulement de créer une machine plus sûre, mais aussi de faire en sorte que les contrôles de sécurité soient moins susceptibles d'entraver la productivité parce qu'ils sont mieux intégrés à la fonction de la machine.

L'automatisation peut contribuer à la sécurité

Si l'automatisation dans l'industrie manufacturière peut être une énorme source de risques, elle peut aussi être un atout lorsqu'elle est correctement mise en œuvre. L'homme peut parfois être le maillon faible en matière de sécurité, et l'élimination des points de défaillance potentiels peut réduire considérablement votre surface d'attaque.

En savoir plus sur la sécurisation des appareils connectés dans les environnements de fabrication

To get up to date on the challenges other manufacturers are dealing with and how they are handling them, check out the IoT Device Security in 2022 Survey by Pulse and Keyfactor. By understanding what other companies in your industry are doing (or not doing) to secure their critical IIoT systems from cyberthreats, you can start to put strategies in place to prevent outages, maintain production, and protect your company’s reputation.

For additional insights into how you can enable new digital business models with secure communication in the connected factory, watch our on-demand webinar: Securing the Connected Factory of Tomorrow.