L'intégration de contrôles de sécurité de pointe dans des environnements industriels dépendant de technologies opérationnelles (OT) peut s'avérer difficile. Les réseaux OT sont souvent isolés et manquent de connectivité de par leur conception. Un grand nombre d'appareils industriels dépendent de l'ancien site software pour fonctionner correctement, et il est courant que les systèmes industriels reposent sur des réseaux plats avec peu ou pas de segmentation.
Heureusement, des professionnels de la cybersécurité et des experts en la matière du monde entier ont collaboré à l'élaboration de lignes directrices pour la sécurisation des environnements OT, publiées dans la norme CEI 62443 de la série de normes CEI 62443
PKI joue un rôle majeur dans la modernisation des environnements industriels. Un nombre réduit de technologies permet de mettre en place des dispositifs de sécurité plus efficaces et plus adaptables, de l'authentification au contrôle d'accès. Découvrez comment PKI et IEC 62443 peuvent renforcer votre sécurité.
Que fait la norme IEC 62443 ?
La norme CEI 62443 fournit des orientations pour la mise en œuvre et le maintien de systèmes d'automatisation et de contrôle industriels (IACS) sécurisés. Comme les besoins et les exigences peuvent varier considérablement d'un environnement OT à l'autre, la CEI 62443 prescrit quatre niveaux de sécurité différents pour répondre aux besoins de toute organisation, indépendamment de sa sophistication ou de sa maturité.
- Niveau de sécurité 1 : Protection contre les violations occasionnelles ou accidentelles
- Niveau de sécurité 2 : Défense contre les violations intentionnelles avec des moyens simples
- Niveau de sécurité 3 : Protection contre les menaces sophistiquées
- Niveau de sécurité 4 : Défense contre les APT et les menaces de niveau État-nation
De nombreuses organisations et environnements dépendront des directives de niveau 2 et 3 pour sécuriser leurs systèmes, mais il est important de se rappeler que chaque niveau de sécurité peut être appliqué partiellement si nécessaire. Les responsables d'OT devront procéder à une analyse approfondie des risques avant d'élaborer un plan d'application de la norme 62443 dans leur environnement.
La norme IEC 62443 ne recommande pas de produits spécifiques pour sécuriser les IACS, mais elle suggère des pratiques de sécurité fondamentales, qui vont de concepts tels que l'authentification des utilisateurs et le contrôle de l'accès physique à des systèmes de surveillance avancés et à des audits réguliers. Au lieu d'adhérer exclusivement à un niveau de sécurité, les organisations sont encouragées à emprunter des conseils à chaque niveau lorsque cela répond le mieux à leurs besoins en matière de sécurité.
PKIRôle de la Commission européenne dans la CEI 62443
La cryptographie à clé publique, c'est-à-dire l'utilisation de paires de clés asymétriques, de certificats et de signatures numériques, constitue une solution universelle pour de nombreuses suggestions de la norme CEI 62443, en particulier dans des domaines tels que :
- Authentification de l'utilisateur
- Contrôle d'accès
- Software validation
- Communications cryptées
Par exemple, la partie 4-2 de la norme CEI 62443 (qui vise à renforcer chaque élément de l'IACS contre les cybermenaces) met l'accent sur des mécanismes d'authentification robustes, tant pour les appareils que pour les utilisateurs. Elle insiste également sur la nécessité d'assurer la confidentialité des communications et l'intégrité des données, deux principes de sécurité que le site PKI est parfaitement à même de mettre en œuvre.
Par exemple, signature de code vérifie l'authenticité de software, des microprogrammes et des mises à jour. Étant donné que de nombreux dispositifs IACS peuvent fonctionner sous une version non prise en charge de software, il est conseillé aux organisations de réduire au minimum software dans l'environnement et de n'autoriser que les paquets autorisés.
PKI peuvent également être utilisés pour attribuer et vérifier les identités des appareils et les autoriser entre eux, éliminant ainsi la nécessité d'un contrôle d'accès basé sur les informations d'identification. De plus, l'émission, le renouvellement et la révocation des certificats qui permettent ces fonctions sont un jeu d'enfant avec la bonne solution PKI .
Qu'il s'agisse d'authentifier des appareils, de contrôler l'accès aux ressources entre eux, de signer des mises à jour autorisées ou de crypter des données avec des suites de chiffrement de pointe, une solution robut PKI peut avoir un impact considérable sur votre posture de sécurité OT.
Industrie 4.0
L'industrie 4.0 représente la transformation numérique du secteur industriel. Elle a pour noble objectif de créer un réseau interconnecté d'appareils et de systèmes avec des données en temps réel et des analyses avancées. Cette transformation promet une amélioration de l'efficacité, de la productivité et de la vitesse de prise de décision.
La sécurité dans l'industrie 4.0 dépend de la confiance et de l'identité. La confiance garantit que chaque interaction au sein du réseau implique des entités authentifiées et autorisées, tandis que l'identité fournit les moyens d'établir, de vérifier et de maintenir ces relations de confiance.
La mise en œuvre de ces contrôles s'accompagne d'un certain nombre de défis. un certain nombre de défis en raison de la compatibilité entre les systèmes existants et des environnements très variables. Chaque installation industrielle a des exigences et des contraintes uniques, ce qui complique le déploiement de mesures de sécurité normalisées.
Complexité technique
L'obtention d'une couverture organisationnelle complète nécessite l'expertise d'architectes de sécurité chevronnés. Les professionnels doivent envisager tous les angles possibles et posséder une connaissance approfondie des techniques et processus opérationnels spécifiques utilisés.
Chaque installation industrielle est unique, ce qui rend irréaliste la mise en œuvre de mesures de sécurité standardisées. Le défi consiste à concevoir un cadre de sécurité qui soit à la fois complet et adaptable aux diverses opérations industrielles.
Gestion des volumes de certificats
L'introduction de PKI dans les organisations axées sur l'OT entraînera une nouvelle série de défis en matière de gestion, comme la gestion des certificats.
La mise en œuvre uniforme de la gestion des certificats est difficile en raison de la diversité et de l'obsolescence des appareils. Les certificats non suivis peuvent provoquer des pannes et ajouter à la complexité. Quel que soit l'outil choisi, il doit centraliser la gestion des certificats dans un hub universel offrant une sécurité et une cohérence plus fiables.
En outre, les solutions PKIaaS peuvent ne pas être compatibles avec tous les dispositifs et systèmes OT. Pour garantir cette compatibilité, les organisations ont besoin d'approches personnalisées et d'une collaboration étendue avec les fournisseurs afin d'assurer une intégration et un fonctionnement transparents.
PKI expertise
La gestion efficace du site PKI requiert plus qu'un simple savoir-faire opérationnel ; elle exige une vision globale, une conception stratégique et une planification à long terme.
Les partenariats et les services peuvent aider à combler le manque d'expertise, car les experts du site PKI sont chers et difficiles à trouver. Les partenaires stratégiques peuvent vous aider à créer une feuille de route et votre équipe interne peut suivre le guide. Vous pouvez également confier l'intégralité de PKI à un service géré PKI .
Poser les bases de la cybersécurité des SCI
L'introduction de PKI dans le monde industriel établit une couche fondamentale de confiance et de sécurité. Alors que les organisations cherchent à appliquer le cadre de la CEI 62443-4-2, l'adoption d'une approche progressive est pratique et nécessaire pour une mise en œuvre efficace.
Voici un aperçu de chaque phase :
- Focus sur les systèmes et les utilisateurs à haut risque: Commencez par identifier et sécuriser les systèmes et les utilisateurs les plus à risque dans l'environnement des systèmes de contrôle industriel (ICS). En protégeant d'abord les parties les plus vulnérables du réseau, le risque global de cybermenaces est considérablement réduit.
- Mettre en œuvre une approche progressive: Commencez par évaluer les mesures de sécurité actuelles et identifiez les lacunes. Ensuite, mettez en œuvre les solutions PKI adaptées aux besoins spécifiques. Cette stratégie d'amélioration progressive facilite la gestion et l'adaptation aux nouveaux défis au fur et à mesure qu'ils se présentent. Au fur et à mesure de l'achèvement de chaque phase, l'organisation peut s'appuyer sur ses succès.
- Intégrer PKI et s'aligner sur la norme IEC 62443-4-2: S'aligner sur les meilleures pratiques de la CEI 62443-4-2 aide les organisations à répondre aux exigences réglementaires et garantit que les mesures de cybersécurité sont à jour avec les normes de l'industrie.
Établir les bases de la cybersécurité ICS avec PKI est une entreprise de taille. Si vous êtes prêt à découvrir comment Keyfactor peut vous aider à naviguer sur PKI automation et à aligner vos opérations ICS sur la norme IEC 62443, contactez-nous - notre équipe est prête à vous aider.
