Overblog
Editer l'article Suivre ce blog Administration + Créer mon blog
Informatique et télecoms

Cyber sécurité informatique industrielle

25 Novembre 2020 , Rédigé par Informatelecom

Architecture type
 

 

La cyber sécurité consiste à protéger les investissements, la capacité de production, les personnes, et l’environnement, des attaques informatiques. Dans l’industrie, il est souvent beaucoup plus important d’empêcher la destruction des « actifs de support » (les serveurs, les systèmes industriels comme les automates et les processus contrôlés), que d’empêcher le vol, la perte ou la corruption des « actifs primaires » (l’information). Les priorités sont radicalement différentes.

 

Dans cette article, le terme système automatisé de contrôle des procédés industriels (ou, plus brièvement, système industriel) désigne un ensemble de moyens humains et matériels ayant pour finalité de contrôler ou commander des installations techniques (composées d’un ensemble de capteurs et d’actionneurs). Cela englobe les systèmes de contrôle-commande (énergie, transport, traitement de l’eau, industrie, etc.) mais aussi la gestion technique de bâtiment (GTB) ou ICS (Industrial Control System).

Le terme cyber sécurité est utilisé afin d’éviter tout risque de confusion avec le terme « sécurité » qui, dans le monde industriel, peut avoir d’autres significations que celles liées à la sécurité des systèmes d’information comme la sécurité des biens et des personnes par exemple.

Classes de cyber sécurité et mesures associées

Trois classes existent en fonction de leurs besoins de sécurité. Cette classification peut être appliquée à un site dans son ensemble, à une partie plus spécifique, ou à un système industriel réparti sur plusieurs sites.

Chaque classe intègre les mesures de la classe inférieure :

Classe 1 :
Il s’agit des systèmes industriels pour lesquels le risque ou l’impact d’une attaque est faible. L’ensemble des mesures préconisées pour cette classe doivent pouvoir être appliquées en complète autonomie.

Une chaîne de responsabilité de la cyber sécurité devrait être mise en place et couvrir l’ensemble des systèmes industriels.
Les systèmes industriels devraient faire l’objet d’une analyse de risque pour la cyber sécurité, même succincte.

Une cartographie physique, logique et des applications du système industriel devrait être rédigée.

L’ensemble des intervenants devrait être habilité.
Des audits réguliers devraient être mis en place. Ces audits pourraient être internes.
Une veille sur les vulnérabilités des produits utilisés, pour pouvoir les mettre à jour en cas de faille critique, devrait être mise en place.

Continuité d’activité : Un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA), même succinct, devrait être mis en place.

Les modes d’urgence devraient être mis en place et bien encadrés pour qu’ils ne constituent pas une vulnérabilité exploitable. Ils devraient être intégrés à l’analyse de risque et les procédures associées devraient être explicitées dans la PSSI (politique de sécurité des systèmes d’information). En particulier, la traçabilité des opérations devrait être préservée.

Un processus d’alerte même minimal devrait être mis en place.

Interconnexions réseau
Systèmes industriels : Les systèmes industriels de classe 1 devraient être cloisonnés entre eux à l’aide de pare-feu. Un équipement labellisé devrait être utilisé pour réaliser l’interconnexion.
Système d’information de gestion : Le système industriel doit être cloisonné du système d’information de gestion à l’aide d’un pare-feu. Un équipement labellisé devrait être utilisé pour réaliser l’interconnexion.
Réseau public : Les systèmes industriels qui ne le justifient pas impérativement ne devraient pas être exposés sur Internet. Le cas échéant, des mesures devraient être prises afin de s’assurer qu’ils ne sont accessibles qu’aux personnes autorisées. Les risques engendrés par une telle solution devraient être identifiés clairement.

Des procédures claires devraient être définies et des moyens de protection devraient être mis en place pour encadrer les opérations de télédiagnostic, télémaintenance et télégestion. Pour les opérations de télédiagnostic comme pour les opérations de télémaintenance, il est recommandé d’utiliser des produits labellisés.

Un système de gestion des journaux d’événements des différents équipements présents dans le réseau devrait être mis en place. Une politique de gestion des événements devrait également être définie.

Il est recommandé de traiter les risques relevés lors de l’analyse de risque jusqu’à ce que l’entité responsable estime les risques résiduels acceptables.

Classe 2 :
Il s’agit des systèmes industriels pour lesquels le risque ou l’impact d’une attaque est significatif. Il n’y a pas de contrôle étatique pour cette classe de système industriel mais l’entité responsable doit pouvoir apporter la preuve de la mise en place des mesures adéquates en cas de contrôle ou d’incident.

Une chaîne de responsabilité de la cyber sécurité doit être mise en place et couvrir l’ensemble des systèmes industriels.
Les systèmes industriels doivent faire l’objet d’une analyse de risques suivant une méthode choisie par l’entité responsable.

Une cartographie physique, logique et des applications du système industriel doit être rédigée.
La cartographie doit être revue régulièrement (la fréquence sera définie par l’entité responsable) et à minima à chaque modification apportée au système industriel.

L’ensemble des intervenants doit être habilité.
Des audits réguliers doivent être mis en place. Ces audits devraient être réalisés par des prestataires externes.
Un processus de veille devrait être mis en place afin de :
— Se tenir informé des vulnérabilités identifiées sur les produits et technologies mis en œuvre dans les systèmes industriels.
— Se tenir informé de l’évolution des mécanismes de protection.

Continuité d’activité : Un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA) devrait être mis en place. Son efficacité devrait être testée de manière régulière.

Mode d’urgence : Il n’y a pas de mesure supplémentaire pour cette classe.

Un processus de gestion de crise devrait être mis en place. Il devrait être testé régulièrement pour vérifier son efficacité.

Interconnexions réseau
Systèmes industriels : Les systèmes industriels de classe 2 devraient être cloisonnés entre eux à l’aide de pare-feu. Un équipement labellisé devrait être utilisé pour réaliser l’interconnexion. L’interconnexion d’un système industriel de classe 2 et d’un système industriel de classe 1 devrait être unidirectionnelle vers le système de classe 1. Un équipement labellisé devrait être utilisé pour réaliser l’interconnexion.
Système d’information de gestion : L’interconnexion devrait être à sens unique depuis le système industriel vers le système d’information de gestion.
Dans le cas contraire, l’ensemble des flux vers le système industriel de classe 2 devraient être clairement définis et limités. Les risques associés devraient être identifiés et évalués.
L’interconnexion doit être réalisée avec un équipement de sécurité comme un pare-feu. Celui-ci devrait être labellisé.
Réseau public : Les systèmes industriels qui ne le justifient pas impérativement par un besoin opérationnel ne doivent pas être connectés à un réseau public. Le cas échéant, ils ne devraient pas être exposés sans protection et les risques engendrés par une telle solution devraient être identifiés clairement. L’interconnexion devrait être unidirectionnelle vers le réseau public.
Un équipement labellisé devrait être utilisé pour réaliser l’interconnexion.

Les opérations de télémaintenance ou de télégestion sont fortement dé- conseillées. Le cas échéant, l’équipement utilisé devrait garantir l’authenticité et l’intégrité de la communication. Cet équipement devrait être labellisé.

Des moyens de détection d’intrusion devraient être déployés en périphérie des systèmes industriels et sur les points identifiés comme critiques qui comprennent notamment :
— Les interconnexions avec Internet (y compris la télémaintenance).
— Les interconnexions avec le système d’information de gestion.
— Les points de connexion spécifiques vers l’extérieur (Wi-Fi industriel par exemple).
— Sur les réseaux d’automates jugés sensibles.
Les moyens de détection utilisés devraient être labellisés.

Les systèmes industriels doivent être homologués par l’entité responsable. L’homologation, dans ce cas, relève d’un principe déclaratif.

Lire la suite

Partager cet article

Repost0
Pour être informé des derniers articles, inscrivez vous :

Commenter cet article