Nous suivre Industrie Techno

Assises de la sécurité 2015 : Usine du futur, le casse-tête de la cybersécurité

Assises de la sécurité 2015 : Usine du futur, le casse-tête de la cybersécurité

© DR

Toujours plus connectée, l'usine du futur rejoint le monde IT et s'expose ainsi aux cyberattaques, allant du cyberespionnage au cybersabotage. Comment sécuriser les sites industriels tout en préservant les rythmes de production ? Quelles bonnes pratiques adopter ? Quelles solutions intégrer ? Comment développer une approche « secure by design » ? Ces interrogations ont fait l'objet de nombreux débats lors des Assises de la sécurité qui se sont déroulées la semaine dernière à Monaco. Décryptage.

Intelligente, numérisée, automatisée… L’usine du futur (l’équivalent français du concept d’usine 4.0, né en Allemagne) devient de plus en plus connectée et s’ouvre aux protocoles du monde de l’Internet. Grâce à cette convergence entre le monde de l’IT et le monde de l’OT, l’usine 4.0 devient plus productive mais aussi plus vulnérable aux cyberattaques. Comment sécuriser les sites industriels tout en préservant les rythmes de production ? Quelles bonnes pratiques adopter ? Quelles solutions intégrer ? Ces interrogations ont fait l’objet de nombreux ateliers et tables rondes lors des Assises de la sécurité 2015 qui se sont déroulées à Monaco du 30 septembre au 2 octobre. La rédaction d’Industrie & Technologies fait le point sur ces nouveaux enjeux.

 L’hygiène informatique avant la techno

Les experts du secteur sont unanimes. Face à ces nouvelles menaces, la priorité ne doit pas être donnée aux solutions technologiques, mais à l’hygiène informatique, à l’organisation et à la formation. « On constate, par exemple, que de nombreuses machines fonctionnent encore avec le mot de passe par défaut entré par le constructeur », déplore Jérôme Robert de l’entreprise Lexsi. L’objectif consiste donc à partager des bonnes pratiques au sein de l’entreprise, en incitant, par exemple, les automaticiens à établir une cartographie complète de leur réseau. L’autre enjeu réside dans la formation. Dans cette optique, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié en février dernier un guide pour une formation sur la cybersécurité des systèmes industriels. « L’idée est de donner des lignes directrices pour les organismes de formation qui voudraient mettre en place une formation d’initiation à la cybersécurité industrielle », précise Stéphane Meynet, chef de projet sécurité des systèmes industriels à l’Anssi.

Adapter les solutions du monde IT au monde OT

La seconde étape vise à transposer les solutions du monde bureautique au monde industriel en tenant compte des contraintes spécifiques de ce dernier. L’objectif consiste donc à concilier deux mondes aux règles bien distinctes : « Le temps de l’IT est un temps très court alors que le temps industriel est un temps très long, les machines ont des durées de vie de 20, 30, 40 ans. Dans l’IT, des mises à jour s’effectuent en permanence alors que sur un site industriel, l’arrêt d’une machine peut fortement endommager le matériel» note Jérôme Robert. Chez Schneider Electric une équipe dédiée s’assure ainsi que les solutions issues du monde de la gestion puissent s’appliquer au monde industriel sans dégrader les performances de l’outil de production. Tous les outils ne peuvent d’ailleurs être transposés. C’est par exemple le cas des antivirus. « Leurs mises à jour régulières posent le problème de la disponibilité de l’outil de production. Les faux-positifs constituent également un risque d’éteindre le système par la mise en quarantaine d’un fichier essentiel au bon fonctionnement de l’appareil », explique Fabrice Tea, spécialiste de la cybersécurité et des réseaux industriels chez Schneider Electric. Autre exemple avec le pare-feu. « La traversée d’un pare-feu classique peut rallonger de quelques millisecondes le temps de communication entre deux éléments. Or, un système industriel est déterministe », poursuit Fabrice Tea.

Le secure by design

Pour surmonter ces écueils, Schneider Electric a co-développé un pare-feu industriel avec Stormshield afin d’introduire la dimension « cybersécurité » dès la conception du produit. Une démarche que beaucoup nomment le « secure by design ». Dans cette optique, Schneider Electric a également co-développé avec Thales, la diode Elips-SD, qui permet de réaliser des interconnexions unidirectionnelles de manière à ce qu’il ne soit pas possible de conduire une attaque depuis le monde bureautique vers le monde industriel. Sur ce point, Stéphane Joguet, responsable risque et sécurité du SI de Daher est catégorique : « La sécurité ne doit pas être perçue comme un centre de coûts mais comme une valeur ajoutée. Il faut penser la sécurité dès la conception du service ou du produit afin de pouvoir garantir que le produit livré soit sécurisé ». Toutefois, pour élever ce niveau de sécurité, les donneurs d’ordres doivent détailler davantage leurs besoins en la matière. « Dans les cahiers des charges, il y a très peu d’exigences sur la cybersécurité. Les donneurs d’ordres sont très timides car ils ne connaissent pas l’offre disponible », regrette Stéphane Meynet de l’Anssi.

Le « secure by design » passe donc par une collaboration renforcée entre les experts de la sécurité d’un côté et les automaticiens de l’autre. « Il y a de réels progrès. On commence à voir des équipes, composées d’informaticiens et d’automaticiens, qui interviennent sur des sujets, des incidents » constate Stéphane Meynet. « Jusqu’à présent, les systèmes industriels étaient en dehors des périmètres des DSI. On peut imaginer, qu’à l’avenir, ces systèmes industriels intègrent la DSI afin d’avoir une vision unique au niveau des enjeux » estime, de son côté, Stéphane Joguet de Daher.

A défaut de protéger, miser sur la détection

Ces solutions « secure by design » s’appliqueront aux nouveaux systèmes industriels. Mais qu’en est-il des anciens systèmes industriels dont l’architecture ne peut recevoir de tels dispositifs ? Encore une fois, les experts répondent à l’unisson : l’accent doit être porté sur la détection et la prévision. Spécialiste de la Threat Intelligence, Lexsi applique également cette approche de renseignements aux environnements Scada. « On décrit à nos clients les techniques d’attaques observées afin qu’ils puissent anticiper une attaque qui les concerne. Cela leur permet également de prioriser les différentes mesures de sécurité qu’ils doivent prendre » explique Jérôme Robert.

Si la question de la sécurité était au cœur de toutes les discussions, Lionel Gervais, directeur marketing d’Airbus Defence & Space, n’a pas manqué de souligner que cette connectivité était aussi synonyme d’opportunités et de productivité. Il a ainsi affirmé : « Chez Airbus nous voulons diviser par deux les coûts de production et les temps de cycles des avions d’ici les dix prochaines années ». De son côté, Daher entend également miser sur la connectivité pour capter plus d’informations et ainsi optimiser les cycles de maintenance de son avion. « Il faut toutefois s’assurer que cette liaison ne soit pas une porte d’entrée à des vulnérabilités » conclut Stéphane Joguet. 

Bienvenue !

Vous êtes désormais inscrits. Vous recevrez prochainement notre newsletter hebdomadaire Industrie & Technologies

Nous vous recommandons

Méga piles à hydrogène, batteries stationnaires, jumeau numérique… les meilleures innovations de la semaine

Méga piles à hydrogène, batteries stationnaires, jumeau numérique… les meilleures innovations de la semaine

Quelles sont les innovations qui vous ont le plus marqués au cours des sept derniers jours ? Cette semaine, vous avez apprécié[…]

Avec les progrès de ses cellules à hétérojonction de silicium, le CEA croit à un photovoltaïque nouvelle génération en Europe

Avec les progrès de ses cellules à hétérojonction de silicium, le CEA croit à un photovoltaïque nouvelle génération en Europe

Sur le FIRA, la robotique agricole dévoile son bestiaire

Sur le FIRA, la robotique agricole dévoile son bestiaire

Hydrogène de France produira d'ici à 2022 des piles à combustible de 1 MW basées sur la techno de Ballard

Hydrogène de France produira d'ici à 2022 des piles à combustible de 1 MW basées sur la techno de Ballard

Plus d'articles