Sécurité OT et ICS

Qu'est-ce que l'OT par rapport aux systèmes ICS, SCADA ou IIoT ?

Qu'est-ce que la technologie opérationnelle (OT) ?

L'OT correspond au matériel et aux logiciels qui peuvent détecter ou provoquer des changements dans le monde physique en contrôlant ou surveillant les équipements, les processus et les événements. L'OT couvre un vaste éventail de solutions, notamment les vannes, les pompes, les disques, les capteurs, les machines, les robots et les systèmes de contrôle industriels. Ces solutions permettent d'exécuter des opérations sur les sites de production, les réseaux éléctriques, les installations de captage, traitement et distribution de l'eau, les plateformes de pétrole et de gaz, les réseaux de transport et les autres secteurs.

Qu'est-ce qu'un système de contrôle industriel (ICS) ?

Un système ICS gère, automatise et contrôle les processus physiques au sein des opérations industrielles. Il dirige les ressources OT en fonction de la logique exécutée par les terminaux distants (RTU), les équipements électroniques intelligents (IED), les automates programmables industriels (PLC), les systèmes instrumentés de sécurité (SIS), les systèmes de contrôle distribués (DCS) ou les systèmes SCADA (Supervisory control and data acquisition), par exemple.

Qu'est-ce que l'Internet des objets industriel (IIoT) ?

L'IIoT fait référence aux solutions IoT conçues pour répondre aux besoins des opérations industrielles et aux contraintes spécifiques des environnements difficiles où la chaleur, la poussière, les moisissures ou les vibrations peuvent être problématiques. Les solutions IIoT collectent, surveillent et analysent les données des opérations industrielles pour améliorer les fonctionnalités de résolution des problèmes et de maintenance, renforcer l'efficacité, réduire les coûts et optimiser la sécurité.

L'IoT industriel (IIoT), qu'est-ce que c'est ? >

Qu'est-ce que la sécurité ICS ?

La sécurité ICS protège les contrôleurs et les ressources OT contre les cybermenaces, tout en assurant la continuité, l'intégrité et la sécurité des opérations dans les réseaux industriels et les infrastructures essentielles. La sécurité ICS, la sécurité OT et la sécurité IoT industrielle sont des termes différents qui répondent au même objectif : protéger les équipements des environnements industriels automatisés et les réseaux opérationnels contre les cybermenaces.

Pourquoi la sécurité OT est-elle importante ?

Les systèmes de contrôle industriels et les technologies opérationnelles sont omniprésents : dans les réseaux de distribution de l'électricité, du gaz et de l'eau ; pour l'exécution des centrales électriques et des infrastructures essentielles ; pour l'automatisation des lignes de production des usines ; et pour l'exploitation des infrastructures de transport, comme les réseaux routiers et ferrés. Les cyberattaques ciblant les réseaux industriels et les infrastructures stratégiques peuvent considérablement affecter les entreprises, leurs clients et le grand public. On peut citer par exemple des interruptions des opérations (qui peuvent résulter en un arrêt de la production et une perte de revenus), des dommages aux installations, des risques de blessures pour les collaborateurs, des catastrophes écologiques, des problèmes de conformité réglementaire et des responsabilités civiles ou pénales.

Quels sont les défis liés à la cybersécurité OT ?

Les ressources ICS et OT étaient généralement isolées du reste de l'entreprise et d'Internet. À mesure que le numérique s'invite dans les entreprises et qu'elles déploient des technologies de l'industrie 4.0, il devient indispensable d'établir des communications fluides entre les réseaux IT, cloud et opérationnels, ce qui expose les ressources ICS et OT à de sérieuses cybermenaces.

Manque de visibilité

Certaines ressources OT étaient installées depuis des années ou des décennies et restent sans défense face au trafic malveillant comme les attaques DDoS et les exploits des vulnérabilités. Pire encore, la plupart des entreprises ne disposent pas d'un inventaire complet et actualisé des ressources OT à protéger. Il peut donc être difficile d'évaluer les risques comme les vulnérabilités critiques, l'exposition au trafic Internet et les mauvaises configurations qui pourraient octroyer un accès à un hacker.

Manque de contrôle

Les réseaux industriels n'étant souvent pas segmentés, les hackers peuvent facilement se déplacer latéralement sans être remarqués et le trafic malveillant peut se propager dans tout l'environnement. L'accès distant est largement utilisé, souvent avec des passerelles cellulaires ou des logiciels sur lesquels les équipes IT n'ont aucun contrôle. Les outils de sécurité utilisés par le département IT pour protéger l'entreprise ne peuvent pas analyser les protocoles de communication utilisés par les ressources ICS et OT. Les menaces sont donc particulièrement difficiles à détecter.

Manque de collaboration

Dans de nombreuses entreprises, le directeur de la sécurité des systèmes d'information (RSSI) et les équipes IT portent ensemble la responsabilité de la cybersécurité, mais ils sont rarement experts en technologies de contrôle des processus et des opérations. Les équipes OT sont parfois tentées d'interdire l'accès à leurs réseaux, mais le manque de confiance et de collaboration entre les départements OT et IT peut avoir un effet dévastateur sur la sécurité d'une entreprise.

Dans quelle mesure la sécurité OT diffère-t-elle de la sécurité IT ?

La cybersécurité IT et la cybersécurité OT ont beaucoup de points communs, comme la nécessité d'assurer une protection contre les malwares, de bloquer le trafic malveillant, de contrôler l'accès aux ressources et d'éliminer les vulnérabilités. Toutefois, la nature physique des environnements OT crée des spécificités dont il faut tenir compte pour élaborer une stratégie de sécurité des technologies opérationnelles.

Les équipes OT donnent la priorité à la disponibilité, plutôt qu'à la confidentialité.

Dans l'univers IT, la confidentialité, l'intégrité et la disponibilité des données sont primordiales. Même si le vol de données est une menace pour les environnements OT, la priorité est donnée à la disponibilité de la production. Imaginez l'impact d'une coupure du réseau électrique, de l'extinction des feux de signalisation ou de la fermeture d'un pipeline. Redémarrer un ordinateur ou déconnecter un équipement suspect sont des gestes fréquents dans le domaine IT, mais ces pratiques peuvent générer des risques majeurs dans le monde physique et impliquer des pertes considérables de revenus pour les entreprises.

Les ressources OT répondent à un cycle de vie différent.

Les cycles de vie des systèmes OT (15 à 30 ans, voire plus) sont bien plus longs que ceux des systèmes IT (3 à 5 ans). Parfois, les ressources sont si anciennes que les correctifs de sécurité ne sont plus disponibles. Si des correctifs sont disponibles, leur installation n'est pas simple. Les ressources font partie de processus stratégiques qui sont rarement, voire jamais interrompus. Les procédures utilisées par le département IT dans leur environnement ne sont tout simplement pas compatibles avec le domaine OT.

Des comportements normaux peuvent être des cyberattaques.

Alors que les intrusions liées aux malwares sont les menaces les plus courantes dans les environnements OT, certaines attaques plus sophistiquées se contentent de modifier les paramètres de base de processus industriels pour perturber leur fonctionnement. La détection des modifications apportées aux processus industriels implique de décoder le trafic réseau industriel et de savoir exactement quelle est la situation normale pour déterminer la légitimité des commandes envoyées.

Les ressources OT utilisent des protocoles de communication spécifiques.

Pour identifier les ressources OT, comprendre leurs comportements et détecter des anomalies, vous devez décoder la charge utile des paquets et analyser le contenu des communications. Il est donc indispensable de vous équiper de protocoles de décodage comme Modbus, S7, Profinet, EtherNet/IP, CIP, NTCIP, CC-Link, IEC104/101/61850, DNP3 et OPC pour protéger vos réseaux industriels et vos infrastructures essentielles. Les solutions de sécurité IT ne disposent habituellement pas de ces fonctionnalités et ont besoin d'outils de sécurité OT pour profiter d'une visibilité sur les environnements opérationnels.

Qu'est-ce que le modèle Purdue pour la sécurité ICS ?

L'architecture Purdue Enterprise Reference Architecture (PERA) a été développée par Purdue Laboratory for Applied Industrial Control (PLAIC) de l'université de Purdue dans les années 1990. Elle a ensuite été intégrée dans le standard international ANSI/ISA-95 de l'International Society of Automation (ISA).

Le modèle Purdue est un cadre permettant de segmenter les réseaux ICS (systèmes de contrôle industriels) des réseaux d'entreprises et d'organiser les systèmes en fonction de leurs rôles sur le réseau industriel :

• Niveau 0 (zone de traitement) : contient des équipements qui interagissent avec le monde physique (capteurs, déclencheurs, machines).
• Niveau 1 (zone de contrôle) : contient des équipements intelligents qui envoient des commandes aux équipements du niveau 0 ; englobe les automates programmables industriels (API), les terminaux distants (RTU), les équipements électroniques intelligents (IED) et les systèmes instrumentés de sécurité (SIS).
• Niveau 2 (zone de surveillance) : contient des systèmes qui contrôlent et surveillent le processus physique, comme les systèmes de contrôle distribués (DCS), les systèmes de contrôle et d'acquisition de données (SCADA) et les interfaces homme-machine (HMI).
• Niveau 3 (zone des opérations) : agit comme le data center du réseau opérationnel et héberge les systèmes chargés d'orchestrer le processus industriel ; englobe les systèmes de pilotage de la production (MES) et les historiques de données.
• Niveaux 4 et 5 (zone de l'entreprise) : englobe le réseau d'entreprise IT classique, qui regroupe les systèmes de l'entreprise, comme la planification des ressources d'entreprise (ERP) et les serveurs de messagerie, notamment les ordinateurs des utilisateurs et autres fonctions associées.

Même si le modèle décrit six niveaux fonctionnels, il divise les opérations d'assistance industrielle en trois domaines clés :

1. La zone de l'entreprise (niveaux 4 et 5) englobe les environnements contrôlés par l'IT, dont les data centers d'entreprise, le LAN, le WAN et l'hébergement des applications commerciales.
2. La zone démilitarisée industrielle (IDMZ) est un tampon entre les environnements essentiels ou les systèmes de production et le réseau d'entreprise. Tous les services partagés entre la zone industrielle et la zone de l'entreprise se trouvent dans la zone IDMZ.
3. La zone de sécurité industrielle (niveaux 0 à 3) contient les systèmes opérationnels stratégiques, comme la zone des cellules/zones, où les communications sont fréquentes et sur la base d'une faible latence ou en temps réel.

Quels sont les standards de cybersécurité OT ?

Cadre de cybersécurité du NIST (CSF)

Le cadre de cybersécurité (CSF) est un ensemble de recommandations et bonnes pratiques de cybersécurité de l'Institut national des normes et de la technologie (NIST). Il utilise un modèle simple reposant sur cinq fonctions clés pour vous aider à structurer votre approche : identification, protection, détection, réponse et récupération.

Lire le livre blanc sur le cadre de cybersécurité du NIST (PDF) >

SP 800-82 du NIST

La publication spéciale 800-82 du NIST, Guide sur la sécurité des technologies opérationnelles (OT), présente en détail l'OT et met en avant les topologies système classiques, les vulnérabilités et menaces courantes ainsi que les contre-mesures de sécurité nécessaires pour gérer les risques associés.

Lire le guide sur la sécurité OT du NIST (PDF) >

ISA99/IEC 62443

L'International Society of Automation (ISA) et l'International Electrotechnical Commission (IEC) ont collaboré pour créer une série de standards de sécurité OT connus sous le nom de ISA99 et IEC 62443. Cette série définit les méthodologies utilisées pour évaluer les risques, développer des composants sécurisés, concevoir une architecture réseau industrielle sécurisée et déterminer le niveau de maturité de chaque exigence de sécurité.

Lire le livre blanc ISA/IEC-62443-3-3 >

NERC CIP

Le programme de conformité, d'audit et de création de rapport North American Electric Reliability Corporation Critical Infrastructure Protection (NERC CIP) permet aux fournisseurs d'électricité aux États-Unis et dans les pays contigus d'assurer la cybersécurité de leurs systèmes.

Lire le livre blanc sur la conformité du NERC CIP >

Directive EU NIS/NIS2

La directive NIS (Network and Information Security) est une législation en matière de cybersécurité appliquée dans les pays membres de l'Union européenne. Son objectif est d'optimiser la sécurité et la résilience des infrastructures essentielles et de répertorier les exigences de sécurité, les obligations de signalement et les mesures de surveillance strictes.

Lire le livre blanc sur la conformité NIS2 (PDF)

Quelles sont les bonnes pratiques de sécurité OT ?

Étant donné que les réseaux opérationnels reposent sur des technologies IT, la sécurité OT exige les mêmes solutions de cybersécurité que les réseaux IT, comme la sécurité au niveau du périmètre, la protection des terminaux, l'authentification multifacteur et la formation des équipes. Il convient de mettre en place des mesures spécifiques pour prendre en charge la nature particulière des environnements OT. Cisco Industrial Threat Defense, la solution Cisco de sécurité OT, vous aide à renforcer votre état de sécurité OT.

Limiter les communications entre les domaines IT et OT

La première étape pour assurer la sécurité OT est de limiter l'accès logique au réseau OT. Il est fréquent de configurer un réseau IDMZ avec des pare-feu qui empêchent le trafic réseau de transiter directement entre les réseaux d'entreprises et OT. Le pare-feu IDMZ est la première ligne de défense à laquelle se heurtent les hackers qui essaient d'infiltrer le réseau. C'est également là que s'applique le principe du moindre privilège pour permettre aux services légitimes de traverser la frontière en toute sécurité.

Explorer Cisco Secure Firewall >

Conserver un inventaire détaillé des ressources OT

Vous ne pouvez sécuriser que ce que vous connaissez. Pour définir une stratégie de sécurité OT, il est indispensable d'établir un inventaire détaillé des ressources des technologies opérationnelles. La visibilité sur l'environnement OT vous permet d'identifier les risques comme les vulnérabilités logicielles, les ressources inconnues, les fuites de la zone IDMZ et les communications inutiles. Les entreprises peuvent ainsi comprendre la différence entre les attaques et les conditions transitoires ou le fonctionnement normal du réseau OT.

Explorer Cisco Cyber Vision >

Segmenter les réseaux OT en zones fiables plus petites

De nombreux réseaux industriels ont pris de l'ampleur au fil des années pour devenir de grands réseaux plats de couche 2. Il est désormais crucial de limiter les communications entre les ressources pour empêcher la propagation des attaques et éviter des interruptions dans toute l'infrastructure de production. Les standards de sécurité ISA/IEC-62443 recommandent de séparer les systèmes en groupes appelés « zones » qui communiquent les unes avec les autres via des canaux appelés « conduits ».

Pour utiliser des pare-feu afin de segmenter les zones, vous devez déployer des appliances de sécurité dédiées, modifier le câblage du réseau et gérer les règles de pare-feu. Heureusement, vous pouvez utiliser la segmentation logicielle pour appliquer des politiques de sécurité et créer des zones sécurisées sur le réseau industriel sans avoir à déployer et gérer des appliances de sécurité dédiées.

Explorer Cisco Identity Services Engine (ISE) >

Mettre en place un accès distant Zero Trust aux ressources OT

L'accès à distance est indispensable pour gérer et dépanner les ressources OT sans déplacements coûteux et chronophages sur site. Dans de nombreuses entreprises, les fabricants de machines, les sous-traitants chargés de la maintenance ou les équipes opérationnelles elles-mêmes ont installé des passerelles cellulaires ou des logiciels d'accès à distance hors du contrôle du département IT. En revanche, les réseaux privés virtuels (VPN) installés dans la zone IDMZ exigent la maintenance de règles de pare-feu complexes et ne peuvent pas accéder à des équipements limités par des systèmes NAT.

Les solutions d'accès réseau Zero Trust (ZTNA) attirent de plus en plus l'attention, car elles aident les entreprises à réduire les risques. Les solutions ZTNA correspondent à un service d'accès à distance sécurisé qui vérifie les utilisateurs et n'accorde un accès qu'à des ressources spécifiques en fonction des politiques liés aux identités et au contexte. Au départ, l'accès est refusé par défaut, puis un degré approprié de confiance est accordé progressivement. Toutefois, dans les environnements OT, la solution ZTNA doit être distribuée pour simplifier le déploiement à grande échelle et fournir un accès à toutes les ressources.

Explorer Cisco Secure Equipment Access (SEA) >

Offrir aux équipes de sécurité une visibilité globale sur les environnements IT et OT

Outre l'identification et la protection des ressources OT, la sécurité OT doit aussi détecter et gérer les événements de cybersécurité. La sécurité OT est souvent gérée dans un silo, ce qui empêche les analystes en cybersécurité de bénéficier d'une visibilité globale sur tout le paysage des menaces auquel fait face l'entreprise. Les équipes chargées des opérations de sécurité ont besoin de solutions qui leur permettent d'analyser facilement les éléments observables dans les domaines IT et OT et de lancer des workflows de remédiation pour empêcher une menace de traverser des domaines.

Explorer Cisco XDR >

Se préparer au pire

La réponse de cybersécurité idéale commence en même temps qu'une urgence. Les collaborateurs doivent être formés régulièrement aux bonnes pratiques en matière de cybersécurité dans toutes les entreprises. Préparer votre solution de sécurité OT implique également de tester votre défense, de créer des guides et de réaliser des exercices de simulation.

Explorer les services Cisco Talos de réponse aux incidents >