Cybersécurité : quels sont les risques et comment se protéger ?

Informatisés et interconnectés, les systèmes industriels sont de plus en plus exposés aux cyberattaques. Quels sont les risques et comment développer une stratégie de cybersécurité efficace pour se protéger ? Vincent Nicaise, responsable Partenariat Industriel et Ecosystème chez l’éditeur de logiciels de cybersécurité Stormshield, revient sur ces enjeux de premier plan.

Attaques informatiques, la pression monte

Une cyberattaque porte atteinte à un système informatique à des fins politiques, criminelles ou pour nuire à l’activité de la cible. Le ransomware, ou rançongiciel, est un logiciel malveillant qui chiffre le contenu d’un ordinateur ou d’un serveur. Les attaquants exigent le paiement d’une rançon pour fournir la clé de déchiffrement. « Une cyberattaque de type rançongiciel peut s’introduire par une simple tentative de fishing (ou hameçonnage) sur un PC : un collaborateur clique sur un lien corrompu et l’ensemble des postes se trouvent ensuite atteints. Il existe d’autres types d’attaques mais le rançongiciel est celui qui se développe le plus ces dernières années », explique Vincent Nicaise.

Si Internet est un vecteur majeur de risque, les attaquants peuvent aussi passer par des entreprises sous-traitantes pour atteindre plusieurs industries. Une certitude : le nombre d’attaques informatiques est en hausse. Selon le « Panorama de la menace informatique 2021 » de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), les intrusions dans des systèmes d’information ont augmenté de 37% en 2021 par rapport à 2020. La digitalisation du secteur de l’industrie contribue largement à la forte hausse du risque cyber.

« A une époque, certaines usines étaient isolées. Elles sont maintenant interconnectées pour gagner en performance, ce qui les rend plus vulnérables. Nous constatons également une professionnalisation des cyberattaquants. Chaque offensive comprend plusieurs étapes et auparavant, un groupe seul pouvait mener l’opération. Aujourd’hui, les cybercriminels se spécialisent en fournisseurs de services et proposent leurs compétences sur une ou plusieurs étapes de l’attaque », précise Vincent Nicaise.

La diversité des risques encourus

Les risques d’une cyberattaque sont de différents ordres. L’intrusion des réseaux bureautiques est à l’origine de plusieurs dommages : vol de données, perte de chiffre d’affaires, engagement de la responsabilité civile du dirigeant. En plus de ces risques généraux, d’autres s’appliquent exclusivement aux environnements industriels :

·         Les dommages matériels : « Dans le cas d’une cimenterie, le four utilisé est prévu pour fonctionner selon des plages de températures élevées mais si l’utilisation devient hors norme, l’impact sur le matériel peut être désastreux », souligne Vincent Nicaise.

·         Les dommages corporels : « Citons l’exemple d’une prise de contrôle de l’aiguillage de voies de chemin de fer qui pourrait permettre une collision de trains ».

·         L’impact environnemental : « Dans une station d’épuration, le rejet des eaux usées dans une rivière ou un parc peut impliquer une pollution des milieux naturels. »

Ainsi, en portant atteinte à l’activité d’une industrie, la cyberattaque peut générer des dommages pour l’ensemble d’une population ou d’un secteur géographique. « L’environnement numérique est aujourd’hui un théâtre de guerre au même titre que la terre, l’air ou la mer, analyse Vincent Nicaise. Historiquement, cette menace était centrée sur les infrastructures critiques, c’est-à-dire les ministères, la défense, les opérateurs de services essentiels (transports, énergie, eau…), les opérateurs d’importance vitale dont l’indisponibilité menacerait la sécurité ou survie de la nation. Depuis l’attaque mondiale de ransomware « WannaCry » en 2017, on constate que tous les environnements industriels sont désormais ciblés. La motivation n’est plus politique mais aussi et surtout criminelle ».

Déployer la cybersécurité pour se protéger

Face au risque croissant d’attaque informatique, les industriels s’emparent du sujet et mettent en place des stratégies en cybersécurité. « Le premier impératif est de réaliser une analyse de risque pour identifier les dangers et leurs probabilités d’occurrence. Ensuite, il est important de réaliser une cartographie du réseau industriel pour s’assurer de connaitre et de maîtriser l’ensemble du réseau à protéger. Ces étapes franchies, il convient de mettre en place les solutions de cybersécurité qui permettront la protection du réseau en fonction des risques identifiés. Dans le cas d’un industriel ayant plusieurs usines à travers le monde, on pourra par exemple faire le choix de sécuriser un site particulièrement critique puis d’élargir le dispositif aux autres », détaille Vincent Nicaise.

Les éditeurs de logiciels spécialisés en sécurité informatique proposent des solutions pour les différents domaines d’activité. « Des pare-feux (firewall) permettent par exemple de sécuriser les échanges entre l’IT et l’OT ou encore de segmenter les réseaux qui sont pour la plupart « à plat » et où tous les équipements peuvent communiquer entre eux sans restriction ». Un poste de travail peut également être protégé afin d’éviter tout chiffrement ou l’insertion d’un malware par une clé USB, par exemple. La solution à mettre en œuvre est avant tout technique mais un logiciel seul ne sera pas en mesure de sécuriser l’ensemble d’un réseau informatique.« La pluralité de solutions complémentaires est nécessaire et cela passe aussi par la mise en place d’un processus et d’une organisation clairement définis. Tous les sites industriels peuvent être sécurisés, même s’ils ont 20 ou 30 ans ».

Investir dans une stratégie adaptée

La sensibilisation aux bonnes pratiques de la cybersécurité, pour les équipes internes mais également pour les sous-traitants, est cruciale pour limiter au maximum les failles permettant aux attaquants de s’infiltrer dans un système. « Les entreprises s’appuient sur les responsables de la sécurité des systèmes d’information (RSSI). Le rôle de ces experts s’étend désormais aux environnements industriels. Or, la conception, le fonctionnement et l’exploitation de ces systèmes sont très différents. Ces réseaux sont bien souvent situés dans des environnements contraints (tunnel, carrière, bâtiment, etc.), dans des usines qui tournent en 24/7, avec des automates parfois conçus il y a plus de 10 ou 20 ans et dépourvus de tout mécanisme de sécurité », explique Vincent Nicaise.

Pour se protéger, certains groupes créent des postes dédiés à la cybersécurité industrielle. Dans d’autres cas, on assiste à une montée en compétences de la RSSI ou des automaticiens, en charge des usines. Les réponses peuvent donc être multiples, adaptées à chaque environnement industriel, mais la mise en place d’une organisation dédiée aux enjeux de la cybersécurité, le déploiement de moyens techniques et le respect des bonnes pratiques sont requis.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) recommande de dédier au moins 5 % du budget informatique à la cybersécurité. « Le niveau de maturité des industriels augmente mais les investissements ne sont pas toujours suffisants. Débloquer des budgets dédiés à la cybersécurité est pourtant nécessaire. Elle ne permet pas de produire plus vite mais en cas d’attaque, elle évite un arrêt de production, des dommages réels et des coûts », conclut Vincent Nicaise.