Les environnements de technologie opérationnelle (OT) ont évolué rapidement, mais de nombreuses hypothèses concernant leur sécurité n'ont pas changé.
Alors que les systèmes industriels sont de plus en plus connectés et intégrés aux technologies de l'information, les idées dépassées créent un risque réel. Ces idées fausses ne sont pas seulement des risques théoriques. Elles sont activement exploitées par les acteurs de la menace, ce qui contribue aux perturbations opérationnelles, aux problèmes de sécurité et à une surveillance réglementaire accrue.
Voici quelques-unes des idées fausses les plus courantes qui continuent à mettre les environnements OT en danger, et les raisons pour lesquelles il faut y remédier.
Cette hypothèse est encore profondément ancrée dans de nombreuses organisations, bien qu'elle soit de plus en plus déconnectée de la réalité.
Historiquement, les systèmes OT ont été conçus pour fonctionner de manière isolée, souvent à l'abri des réseaux externes. Cela constituait une couche de protection naturelle. Toutefois, les exigences opérationnelles modernes ont modifié ce modèle. L'accès à distance pour la maintenance, l'intégration avec les systèmes informatiques pour l'analyse des données et l'adoption de technologies connectées au nuage ont tous introduit de nouvelles voies dans les environnements OT.
Il en résulte que la plupart des environnements OT ne sont plus isolés de manière significative.
Les acteurs de la menace sont bien conscients de ce changement. En fait, la majorité des cyberincidents industriels commencent maintenant dans les environnements informatiques avant de se déplacer latéralement dans les systèmes OT. Cela met en évidence un point critique. La frontière perçue entre les technologies de l'information et les technologies de l'information est souvent plus faible que ne le croient les organisations.
S'appuyer sur l'idée d'isolement peut conduire à un sous-investissement dans la segmentation, la surveillance et le contrôle d'accès. Cela crée un faux sentiment de sécurité qui retarde les améliorations nécessaires.
Pour y remédier, les organisations doivent passer de l'hypothèse à la validation. Cela signifie qu'elles doivent tester activement la segmentation, comprendre comment les systèmes sont connectés et identifier où l'exposition existe dans la pratique, et pas seulement dans la conception.
L'isolement n'est plus un contrôle. La visibilité et la segmentation le sont.
Une approche courante dans les grandes organisations consiste à étendre les cadres de sécurité informatique existants aux environnements OT. Si cette approche peut sembler efficace, elle ne tient souvent pas compte des différences fondamentales entre les systèmes informatiques et les systèmes de télécommunications.
Cela pose un problème car les contrôles qui sont efficaces dans les environnements informatiques, tels que l'analyse agressive des vulnérabilités ou l'application fréquente de correctifs, peuvent ne pas convenir dans les environnements terrestres. Dans certains cas, ils peuvent introduire de l'instabilité ou des temps d'arrêt.
En outre, les environnements OT comprennent souvent des systèmes anciens qui n'ont pas été conçus dans une optique de sécurité moderne. Ces systèmes peuvent ne pas prendre en charge les contrôles standard, ce qui nécessite d'autres approches, et l'application de stratégies "IT-first" sans adaptation peut entraîner des lacunes que les attaquants sont en mesure d'exploiter.
De nombreuses organisations partent du principe qu'un cyberincident dans leur environnement OT serait immédiatement visible. Dans la pratique, c'est rarement le cas.
L'un des défis les plus importants en matière de sécurité OT est la visibilité limitée. De nombreuses organisations ne disposent pas d'un inventaire complet et actualisé de leurs actifs OT, ce qui rend difficile la compréhension de ce qui existe dans l'environnement à un moment donné.
Sans cette base, la surveillance devient fragmentée. Des alertes peuvent être générées, mais sans contexte, elles sont difficiles à interpréter. Dans certains cas, la surveillance peut être inexistante pour certaines parties de l'environnement.
Cela permet aux acteurs de la menace d'opérer sans être détectés. Ils peuvent se déplacer latéralement, élever leurs privilèges et établir une persistance sans déclencher d'alarmes immédiates. La détection dans le domaine des technologies de l'information ne se limite pas au déploiement d'outils. Il s'agit de comprendre ce qui est normal et d'identifier quand quelque chose s'écarte de cette ligne de base.
L'application de correctifs dans les environnements OT est souvent considérée comme une activité à haut risque. De nombreux systèmes sont sensibles au changement, et les mises à jour non testées peuvent avoir un impact sur la stabilité ou perturber les opérations. C'est pourquoi les organisations retardent souvent l'application des correctifs, voire les évitent complètement.
Cependant, cette approche introduit un autre type de risque.
Les systèmes non corrigés restent vulnérables aux exploits connus, dont beaucoup sont activement utilisés par les acteurs de la menace. Avec le temps, cela crée une accumulation d'exposition qui peut être difficile à gérer. Le défi n'est pas de savoir s'il faut patcher, mais comment le faire en toute sécurité.
Cela nécessite une approche structurée qui inclut le test des mises à jour dans des environnements contrôlés, la compréhension des dépendances du système et la programmation des changements de manière à minimiser l'impact opérationnel.
Il faut également de la visibilité. Les organisations doivent savoir quels systèmes sont vulnérables, quels correctifs sont applicables et quel est l'impact potentiel de ces correctifs.
Dans certains cas, des contrôles compensatoires peuvent être nécessaires lorsque l'application de correctifs n'est pas immédiatement possible. Il peut s'agir d'une segmentation du réseau, de restrictions d'accès ou d'une surveillance supplémentaire.
Éviter complètement les correctifs n'est pas une stratégie durable. La gérer efficacement l'est.
Dans de nombreux projets OT, la cybersécurité n'est souvent pas une considération primordiale lors de la phase de conception.
Au lieu de cela, les systèmes sont d'abord développés et déployés, puis les contrôles de sécurité sont introduits par la suite. Cette approche réactive est souvent source d'inefficacité, d'augmentation des coûts et de protection incomplète.
L'intégration de la sécurité dans un environnement existant est intrinsèquement plus complexe que sa mise en place dès le départ. Il peut être nécessaire de reconfigurer les systèmes, d'ajouter des contrôles supplémentaires et d'ajuster les processus opérationnels, et même dans ce cas, le résultat peut ne pas être optimal.
L'intégration de la sécurité au stade de la conception garantit qu'elle est alignée sur l'architecture dès le départ. Elle permet aux organisations de définir la segmentation des systèmes, la gestion des accès et la mise en œuvre de la surveillance avant le déploiement.
Cette approche permet également de se conformer à l'évolution des exigences réglementaires, qui prévoient de plus en plus l'intégration de la sécurité dans la conception des systèmes.
Pour les grandes organisations, où les projets couvrent plusieurs sites et parties prenantes, cela devient encore plus important.
La sécurité dès la conception n'est pas seulement une bonne pratique. C'est une nécessité pour construire des environnements OT résilients.
Il est facile de considérer la sécurité informatique comme un simple défi technique, mais les personnes et les processus sont tout aussi importants. De nombreux incidents de sécurité peuvent être attribués à des facteurs humains, qu'il s'agisse de mauvaises configurations, d'une mauvaise gestion des accès ou d'un manque de sensibilisation.
Dans les environnements OT, ce risque est amplifié. Les opérateurs, les ingénieurs et les équipes de maintenance interagissent directement avec les systèmes, souvent sous la pression du temps et dans le but de maintenir les opérations. En l'absence d'une sensibilisation ciblée et d'une gouvernance claire, même des contrôles bien conçus peuvent être contournés ou utilisés à mauvais escient.
Une sécurité OT efficace nécessite une approche holistique. Cela inclut une formation adaptée aux environnements industriels, afin que le personnel comprenne à la fois les risques et son rôle dans la gestion de ces risques.
Le problème sous-jacent à toutes ces idées fausses est le même. Les organisations pensent comprendre leurs risques, mais ne disposent pas de la visibilité, de la structure et de l'alignement nécessaires pour les gérer efficacement. Pour combler ce fossé, il faut changer d'approche. Passer de l'hypothèse à la validation. De la réactivité à la proactivité. Des contrôles isolés à la sécurité intégrée.
Les services de sécurité OT d'Integrity360 sont conçus pour soutenir cette transition. En combinant une expertise industrielle approfondie avec une approche holistique, nous aidons les organisations à identifier les expositions, à réduire les risques et à renforcer la résilience de leurs opérations.
Pour en savoir plus sur nos services de sécurité OT, contactez nos experts dès aujourd'hui.