Pourquoi la collaboration et le partage des responsabilités combattront les cybermenaces dans la technologie opérationnelle

Il y a quelques mois, un gang de cybercriminels appelé Darkside a mis les systèmes de Colonial Pipeline hors ligne pendant près d’une semaine, provoquant des achats de panique et des pénuries de carburant. Peu de temps après, le Health Service Executive (HSE) en Irlande a été touché par un groupe de ransomware appelé Conti qui a brouillé les systèmes informatiques et causé des perturbations majeures dans de nombreux hôpitaux.

L’importance de lutter contre les attaques contre les infrastructures critiques a été encore soulignée par le récent sommet d’une journée avec les États-Unis et la Russie, où le président Biden a remis à Vladimir Poutine, son homologue russe, une liste de 16 secteurs d’infrastructures critiques qui doivent être « interdits » de cyber-attaques.

Pourquoi devriez-vous vous soucier de la cybersécurité OT ?

De telles attaques soulignent l’importance de protéger les technologies opérationnelles. La technologie opérationnelle (OT) fait référence à la collection de matériel et de logiciels qui aident à surveiller, gérer et contrôler les périphériques physiques. Les OT sont largement utilisés dans les infrastructures critiques, les industries, les entreprises et les maisons – des exemples d’OT sont les ascenseurs, les systèmes d’automatisation de la sécurité, les systèmes de contrôle industriel, les systèmes de gestion de vol, les systèmes de surveillance du trafic.

Les systèmes technologiques opérationnels sont déployés dans un large éventail de secteurs à forte intensité d’actifs, effectuant une grande variété de tâches allant de la surveillance des infrastructures critiques (IC) au contrôle des robots sur un site de fabrication. L’OT est utilisé dans une variété d’industries, notamment la fabrication, le pétrole et le gaz, la production et la distribution d’électricité, l’aviation, la marine, le rail et les services publics. Alors que les OT interagissent et affectent le monde physique, les cyberattaques contre les OT sont des menaces pour la sécurité du monde réel.

La lutte contre les menaces grâce à une planification robuste de la cybersécurité nécessite une approche collaborative. Que vous soyez un décideur, un expert technique, un responsable du secteur privé ou simplement un utilisateur, vous avez un rôle à jouer pour assurer la sécurité des OT. Pour mieux protéger les technologies opérationnelles et les chaînes d’approvisionnement contre les cyberattaques, les responsabilités doivent être partagées et cartographiées pour garantir la sécurité des OT.

Responsabilités des utilisateurs :

• Pratiquez la cyber-hygiène
  En cybersécurité, on dit souvent que l’humain est le maillon le plus faible de la chaîne de la cybersécurité. La raison de cette attribution est que les mauvaises pratiques d’hygiène en matière de cybersécurité et la faible sensibilisation des employés à la cybersécurité sont préjudiciables à la cybersécurité d’une organisation, avec environ 90 % des entreprises à risque en raison de mauvaises pratiques d’hygiène en matière de cybersécurité. Les mauvaises pratiques en matière de cyber-hygiène peuvent inclure l’utilisation de mots de passe faibles, le blocage des mises à jour cruciales sur les ordinateurs de travail, la proie des e-mails de phishing et de l’ingénierie sociale, etc. De plus, ce risque a augmenté avec le nombre croissant d’employés travaillant à domicile en raison de Covid-19. Les utilisateurs doivent comprendre les risques d’une mauvaise cyber-hygiène et pratiquer une bonne cyber-hygiène, souvent abordée par le biais d’une formation de sensibilisation à l’échelle de l’entreprise.
• Soyez vigilant
• Les utilisateurs peuvent cependant être une opportunité pour la cybersécurité. Lors de la cyberattaque contre l’installation de traitement de l’eau aux États-Unis, la cyberattaque a rencontré une réponse relativement rapide avant qu’aucun dommage ne se produise. Un employé a remarqué que quelqu’un contrôlait son ordinateur à distance. Bien qu’il l’ait congédié pendant cinq heures et demie, pensant que c’était son superviseur, il s’est inquiété lorsqu’il a vu différents programmes s’ouvrir et que les niveaux d’hydroxyde de sodium ont été modifiés. Ce cas illustre que les utilisateurs peuvent aider à sonner l’alarme sur les cyberattaques lorsqu’ils remarquent que quelque chose d’étrange se produit dans leurs systèmes, et un élément clé de ceci est de rester vigilant et attentif à de tels événements. Une réponse rapide et une escalade des cyberincidents sont essentielles pour limiter les dégâts des cyberattaques, et les réponses peuvent être accélérées si les utilisateurs connaissent les signes avant-coureurs, ce qu’il faut faire et qui contacter en cas de cyberincidents.

Responsabilités des gestionnaires du secteur privé :

• Remplacez les anciens systèmes hérités
  Les OT peuvent représenter des coûts d’investissement importants – ils peuvent être coûteux et durer très longtemps. Cela contraste avec les technologies de l’information et les logiciels, qui sont constamment remplacés par de nouvelles versions ou de nouveaux logiciels. Finalement, les entreprises qui fournissent une assistance logicielle et des correctifs pour les OT peuvent cesser de fournir une assistance pour concentrer leurs ressources sur les nouvelles itérations de leurs produits. Cela signifie que les vulnérabilités connues peuvent ne pas être corrigées dans ces systèmes OT hérités, et que ces systèmes continuent de fonctionner avec des vulnérabilités pouvant entraîner des cyberincidents. Par exemple, certains systèmes OT hérités fonctionnent sous Windows 95 sans option de mise à niveau, de remplacement ou ne peuvent le faire qu’à un coût élevé. De plus, les anciens systèmes OT peuvent ne pas avoir été conçus avec la cybersécurité à l’esprit. Les organisations ont besoin d’un plan ou d’une procédure de cycle de vie d’entreprise pour atténuer ce risque pour les OT.
• Les investissements dans la cybersécurité sont indispensables
  Investir dans la cybersécurité n’est pas facultatif. Les considérations de cybersécurité peuvent être négligées par les organisations moins matures qui abordent la numérisation pour récolter les avantages mais ne parviennent pas à gérer les risques. Le raisonnement que certaines organisations peuvent avoir est que la cybersécurité est un coût, pas un investissement, et ne parvient pas à allouer des ressources suffisantes à la cybersécurité. Ce raisonnement n’est pas vrai – la cybersécurité est un atout, à la fois pour protéger votre entreprise des coûts des cyberattaques, et pour renforcer la confiance des clients dans vos produits et services et stimuler les ventes.

Responsabilités des experts techniques :

• S’adapter aux nouveaux systèmes OT
  De plus en plus, les systèmes OT intègrent des aspects des technologies de l’information (TI) pour tirer parti des nouvelles technologies émergentes telles que le Big Data et l’IA et augmenter l’efficacité. Cependant, traditionnellement, les équipes qui s’occupent des systèmes OT le font d’un point de vue opérationnel, alors que la cybersécurité peut être la responsabilité des équipes informatiques. Dans les organisations qui intègrent de nouveaux systèmes OT convergés, les équipes OT et IT doivent effectuer une formation croisée pour comprendre comment les systèmes de chacun fonctionnent afin de mieux gérer et protéger ces systèmes.

Responsabilités des décideurs :

• La politique est essentielle pour garantir un régime de cybersécurité solide
• Une lourde responsabilité incombe à la fois aux décideurs politiques au sein des gouvernements et au sein des organisations privées pour la cybersécurité de l’OT. Les gouvernements devraient s’efforcer de sensibiliser les entreprises à l’importance de la cybersécurité OT et faciliter la mise en œuvre de politiques de cybersécurité OT qui s’inspirent des meilleures pratiques et directives internationales et régionales. Ces politiques devraient également être élaborées en consultation avec les parties prenantes privées, publiques et techniques pour clarifier les besoins et les préoccupations des parties prenantes. De telles politiques ne doivent pas être trop normatives pour permettre aux entreprises d’adopter les mesures de cybersécurité dont elles ont besoin – la cybersécurité n’est pas une « taille unique » et doit être adaptée aux besoins organisationnels.
• D’un autre côté, les décideurs politiques des organisations doivent se conformer aux normes fixées par leurs gouvernements, pas simplement pour des raisons de conformité, mais avec une compréhension claire des risques de leur organisation et des outils nécessaires. En outre, les décideurs doivent se préparer à l’éventualité de cyberincidents avec des procédures de réponse, d’atténuation et de signalement appropriées.

Une responsabilité partagée

En un mot, tout le monde a la responsabilité de protéger la cybersécurité OT, et cette chaîne de responsabilité est cruciale pour que toutes les parties prenantes de l’OT comprennent pour un régime de cybersécurité OT plus robuste. Comme l’ont montré les récentes attaques coloniales sur les pipelines et les services de santé, la sécurisation de l’OT ne conduit pas seulement à un cyberespace plus sécurisé, mais contribue également à renforcer la sécurité dans le monde réel dans un monde de plus en plus numérisé.

Kenn Yee, Partenariat d’accès