NIST SP 800-82 :

Vue d'ensemble

La norme NIST SP 800-82, révision 3, intitulée « Guide de sécurité des technologies opérationnelles (OT) », constitue le document de référence phare du NIST en matière de sécurisation des systèmes de contrôle industriels (ICS), des systèmes SCADA, des systèmes de contrôle distribués et de la catégorie plus large des technologies opérationnelles (OT), y compris l'automatisation des bâtiments et les systèmes de contrôle d'accès physique. La révision 3 a élargi le champ d'application au-delà des ICS classiques pour couvrir l'ensemble des technologies opérationnelles connectées, reflétant ainsi l'intégration croissante entre les réseaux informatiques (IT) et les réseaux opérationnels (OT). 

Concrètement, ce guide applique les familles de contrôles de la norme NIST SP 800-53 aux environnements OT, avec une couche spécifique à l'OT présentée à l'annexe F qui indique aux professionnels quels contrôles s'appliquent tels quels, lesquels nécessitent une adaptation aux contraintes industrielles et lesquels ne s'appliquent pas. Les familles « Protection des systèmes et des communications » (SC) et « Identification et authentification » (IA) comportent les obligations cryptographiques directes : le chiffrement des données, l’authentification des appareils et des utilisateurs, ainsi que la mise en place de pratiques formelles de gestion des clés adaptées à des environnements qui fonctionnent souvent pendant 15 à 25 ans. 

Pourquoi est-ce important ? 

Pourquoi est-ce important ? 

La norme NIST SP 800-82 constitue le principal guide du NIST utilisé par les agences fédérales pour sécuriser les environnements OT et sert largement de référence lors de la mise en œuvre des exigences du cadre de gestion des risques (RMF) du NIST. Elle est fréquemment utilisée comme référence lors des évaluations de cybersécurité menées par les opérateurs d'infrastructures critiques, les régulateurs sectoriels et les assureurs cyber, pour évaluer la maturité en matière de sécurité OT, même en dehors du secteur fédéral. 

En quoi cela s'applique-t-il à la cryptographie ? 

La norme NIST SP 800-82 aborde la cryptographie principalement à travers les familles de contrôles « Protection des systèmes et des communications » et « Identification et authentification », adaptées aux équipements existants des technologies opérationnelles (OT) et à leurs contraintes de disponibilité. Les principaux domaines de contrôle ayant des implications cryptographiques directes sont les suivants : 

Préparation à l'audit 

Les évaluations au titre de la norme NIST SP 800-82, qu'elles soient menées en interne, réalisées par un responsable fédéral habilité ou examinées par un client ou un assureur, mettent l'accent sur la preuve que les contrôles spécifiques aux technologies opérationnelles (OT) sont effectivement mis en œuvre, et pas seulement documentés. Les principaux domaines sur lesquels les examinateurs se penchent sont les suivants : 

• Inventaire des actifs OT et des éléments cryptographiques :L'organisation a-t-ellerépertorié tous les dispositifs OT, leurs capacités cryptographiques et l'état actuel de leurs certificats ou clés ? 

• Mappage des contrôles superposés :L'organisation a-t-elledocumenté quels contrôles SC et IA de la norme NIST SP 800-53 s'appliquent tels quels, s'appliquent avec des modifications ou ne sont pas applicables, conformément à la superposition décrite à l'annexe D ? 

• Mesures compensatoires pour les appareils hérités : pourles appareils qui ne prennent pas en charge nativement l'PKI e ou l'authentification forte, des mesures compensatoires ont-elles été identifiées et documentées ? 

• Gestion des certificats d'accès à distance :les sessions d'ingénierie à distance et celles menées avec les fournisseurs utilisent-ellesdes certificats uniques et révocables plutôt que des identifiants partagés ? 

• Vérification de la signature du micrologiciel :L'organisation est-elle en mesure dedémontrer que les mises à jour du micrologiciel sont signées cryptographiquement et que cette vérification est effectuée avant leur déploiement ? 

• Documentation relative au cycle de vie des clés :les procédures de génération, de rotation et de révocation des clés sont-ellesdocumentées et appliquées de manière cohérente par l’ensemble des fournisseurs et intégrateurs de systèmes de contrôle industriel (ICS) ? 

TRANSMETTEZ CELA À LA DIRECTION

La norme NIST SP 800-82 est désormais la référence utilisée par les auditeurs fédéraux, les autorités de régulation des infrastructures critiques et les assureurs spécialisés dans la cybersécurité pour évaluer notre programme de sécurité des technologies opérationnelles (OT). La plupart de nos équipements n’ont jamais été conçus pour authentifier leur identité ou vérifier l’origine d’une commande de type « command », et combler cette lacune est précisément ce que la norme NIST SP 800-82 nous demande de faire.

Si nous ne parvenons pas à démontrer que les postes de travail techniques, les fournisseurs distants et les automates programmables (PLC) s’authentifient à l’aide d’identifiants réels et révocables plutôt que de mots de passe partagés, nous serons la cible la plus vulnérable du secteur. C’est un programme documenté et vérifiable qui permettra de satisfaire les clients fédéraux, les autorités de régulation du secteur et les assureurs après le prochain incident, et non un simple document de politique qui n’a jamais été testé.