La cybersécurité dans le secteur manufacturier

Sécuriser intégralement la chaîne numérique du début jusqu’à la fin

Quel est l’impact de la numérisation sur l’industrie manufacturière? À notre époque contemporaine, où la numérisation est omniprésente, l’adoption des technologies numériques par l’industrie manufacturière est une épée à double tranchant. Tandis que l’automatisation, l’Internet des Objets (IdO) et l’infonuagique simplifient les opérations et stimulent l’efficacité, ils exposent également les fabricants à un éventail grandissant de cybermenaces. Les cyberattaques récentes et sans précédent contre des géants industriels comme Mondelez International, Clorox, Bridgestone Americas, Johnson Controls International PLC, Renault-Nissan-Mitsubishi Alliance, Colonial Pipeline, Applied Materials Inc., Norsk Hydro et JBS Foods Canada¹, accompagnées de violations de données et de pertes financières massives, nous rappellent brutalement qu’aucun fabricant n’est à l’abri de telles effractions perpétrées par des pirates informatiques. Afin que les fabricants puissent protéger leurs opérations, leurs données, leurs actifs, leurs clients et leurs réputations, ils doivent résolument opter pour une approche holistique de la cybersécurité, en s’attaquant aux vulnérabilités dans tous les domaines. C’est la raison pour laquelle le sujet de cette Infolettre du mois de juin 2024 gravite autour des stratégies visant à sécuriser l’infrastructure numérique de l’industrie manufacturière.

Avant d’approfondir notre sujet en question, prenons un peu de temps pour circonscrire brièvement la signification fondamentale du terme « industrie manufacturière ». Au sens large du terme, la fabrication désigne toute industrie qui fabrique des produits à partir de matières premières en utilisant du travail manuel ou des machines, et qui est en général accompli systématiquement par l’intermédiaire d’une division structurée du travail². Communément appelée Industrie 4.0, la 4^e Révolution industrielle annonce incontestablement une ère dotée d’un énorme potentiel d’innovation et de croissance dans le secteur manufacturier. Néanmoins, nous remarquons que cette nouvelle ère entraîne également de nouveaux risques et de nouveaux défis. Un tel constat est particulièrement évident dans l’actuel cyber-paysage manufacturier. Désormais, la cybersécurité dans l’industrie manufacturière fait référence aux pratiques et contrôles que les fabricants mettent en œuvre afin de protéger les informations confidentielles et d’assurer la sécurité, l’intégrité, la confidentialité et la disponibilité des données au sein de leurs réseaux, systèmes et processus industriels.

[1] Artic Wolf. 22^nd of March 2024. The Top 10 Manufacturing Industry Cyber Attacks. https://arcticwolf.com/resources/blog/top-8-manufacturing-industry-cyberattacks/

[2] Encyclopedia Britannica. https://www.britannica.com/technology/manufacturing

Sécurité SCI, sécurité TO, sécurité CSAD et sécurité SNCC : au cœur de la production manufacturière

Quelles sont les nouvelles pratiques efficaces de cybersécurité au cœur de la production manufacturière? La sécurité du Système de contrôle industriel (SCI), la sécurité des Technologies opérationnelles (TO), la sécurité du Contrôle de surveillance et d’acquisition des données (CSAD) et la sécurité du Système numérique de contrôle-commande (SNCC) sont l’épine dorsale de l’industrie manufacturière, car elles contrôlent et surveillent les processus, opérations, prises de décisions et équipements. Leur compromission pourrait avoir des conséquences catastrophiques, comme le montre par exemple l’attaque du réseau électrique ukrainien en 2015, où des pirates informatiques – utilisant le logiciel malveillant BlackEnergy 3 – ont endommagé à distance les systèmes informatiques de trois (3) sociétés de distribution d’énergie et qui ont entraîné des pannes généralisées pour presque 225 000 clients en Ukraine¹. Maintenant, examinons succinctement ces concepts fondamentaux : sécurités SCI, TO, CSAD et SNCC.

[1] CISA – Cybersecurity & Infrastructure Security Agency – America’s Cyber Defense Agency. 20^th July 2021. Cyber-Attack Against Ukrainian Critical Infrastructure. https://www.cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01

Survol de la sécurité du Système de contrôle industriel (SCI)

La sécurité du Système de contrôle industriel (SCI) s’applique au blindage des systèmes de contrôle industriel. Les environnements SCI comprennent une combinaison de matériel et de logiciels conçus pour superviser et gérer les machines et les processus dans une gamme d’industries. Les systèmes SCI sont intrinsèques au fonctionnement des centrales électriques, des installations de fabrication et d’autres infrastructures déterminantes. Les mesures de sécurité mises en place sont conçues pour protéger ces systèmes complexes contre les cybermenaces, en garantissant l’intégrité des données ainsi que la sécurité et le fonctionnement continuel des machines qu’ils contrôlent. Le cœur de la sécurité SCI réside dans la protection des systèmes et des réseaux qui font partie intégrante des opérations industrielles. Étant donné que les environnements et les systèmes de contrôle SCI sont étroitement reliés aux machines qu’ils gèrent, la sécurité n’est pas uniquement numérique. La sécurité du SCI englobe la garantie de la sécurité physique de l’environnement opérationnel. Avec l’avènement des réseaux et l’intégration de ces systèmes dans des écosystèmes informatiques plus étendus, le besoin de protocoles de sécurité robustes s’est intensifié. Chaque composante, allant des automates programmables (PLC) aux interfaces homme-machine (IHM), requière des mesures de sécurité distinctives pour atténuer les risques d’accès non autorisé, de violations de données et de dysfonctionnements du système. Une malversation de la sécurité des SCI ne met pas seulement en danger l’intégrité des données, mais elle peut également résulter à une perturbation des processus industriels, entraînant des arrêts opérationnels, des pertes financières et, pire encore, constituer des menaces pour la sécurité humaine. Les mécanismes de défense et les solutions de cybersécurité mis en place sont conçus pour être à la fois préventifs et réactifs. Cette approche garantit que les cybermenaces potentielles sont identifiées et réduites avant qu’elles ne puissent avoir un impact sur le système. Des mesures réactives demeurent prêtes à contenir et neutraliser les cybermenaces qui transgressent les périmètres de sécurité initiaux.

Comment protéger votre Système de contrôle industriel (SCI)?

Cette section est à la fois résumée et adaptée de deux (2) documents identifiés dans les notes^1,2 en bas de page ci-dessous . La protection du SCI est cruciale pour garantir la sûreté, la fiabilité et la sécurité des infrastructures indispensable. Voici quelques étapes faisables pour défendre le SCI contre les cybermenaces :

1. Évaluez les systèmes existants : évaluez votre infrastructure SCI actuelle pour détecter les vulnérabilités et les lacunes en matière de sécurité.
2. Documentez les politiques et procédures : établissez des directives claires pour la sécurité SCI, y compris les contrôles d’accès, l’intervention face aux incidents et le plan de reprise après sinistre.
3. Formez le personnel et les sous-traitants : formez le personnel aux meilleures pratiques de sécurité et sensibilisez-les aux risques potentiels.
4. Segmentez le système en zones : divisez le réseau SCI en zones isolées pour limiter les répercussions d’une faille de sécurité.
5. Contrôlez l’accès physique et logique : restreignez l’accès aux composantes SCI, à la fois physiquement et via les autorisations réseau.
6. Renforcez les différentes constituantes du système : configurez les appareils et les logiciels SCI en gardant à l’esprit la sécurité, en appliquant les correctifs et les mises à jour nécessaires.
7. Surveillez et entretenez le système : inspectez en permanence le trafic réseau, les règles d’accès et le comportement du système pour détecter des anomalies.
8. Testez et vérifiez le système : évaluez régulièrement la sécurité du SCI via des tests d’intrusion et des vérifications.

[1] Canadian Centre for Cybersecurity. Communications Security Establishment. Security Considerations for Industrial Control Systems. July 2021. https://www.publications.gc.ca/collections/collection_2021/cstc-csec/D97-1-00-050-2021-eng.pdf

[2] U.S. Department of Homeland Security. National Cybersecurity and Communications Integration Center (NCCIC). Seven Strategies to Defend ICS (Click for PDF).

Aperçu de la sécurité des Technologies opérationnelles (TO)

La sécurité des Technologies opérationnelles (TO) implique la mise en œuvre de mesures et de contrôles pour protéger les systèmes des Technologies opérationnelles (TO)contre les menaces de cybersécurité. Ces systèmes automatisent et gèrent les processus industriels équipés de logiciels spécialisés. Les systèmes TO jouent un rôle crucial dans la gestion des infrastructures primordiales. La convergence des Technologies de l’information (TI) et TO a augmenté le besoin de sécurité TO. Autrefois, les systèmes des Technologies opérationnelles (TO) étaient isolés et immunisés contre les menaces en ligne. L’intégration a abouti à une automatisation améliorée, mais également à une vulnérabilité accrue aux cybermenaces. Les actifs TO font désormais partie de réseaux complexes, les exposant à des cybermenaces telles que les attaques de logiciels malveillants et de rançongiciels. La sécurité dans ce domaine est compliquée par la diversité des systèmes TO, y compris les Systèmes de contrôle industriel (SCI) tels que les systèmes de Contrôle de surveillance et d’acquisition des données (CSAD)et les Systèmes numériques de contrôle-commande (SNCC). Les violations peuvent entraîner des conséquences désastreuses, notamment des arrêts opérationnels, des dommages physiques et des risques pour la sécurité du personnel, de l’environnement ou de la communauté. La compromission du système peut avoir de graves conséquences sur les opérations et les revenus d’une organisation. La sécurité TO intègre des technologies et des pratiques qui protègent les actifs et les informations, surveillent et contrôlent les appareils physiques TO et gèrent les processus et les événements. Par exemple, elle inclut diverses technologies et fonctions de sécurité, notamment des pare-feux de nouvelle génération, des systèmes de gestion des informations et des événements de sécurité, et un contrôle d’accès. Malgré les complexités introduites par la convergence des réseaux informatiques et TO, une sécurité TO efficace est possible grâce à une visibilité complète sur la surface d’attaque et à la mise en œuvre de politiques de sécurité adaptées aux exigences uniques de l’environnement TO. L’objectif de la sécurité TO demeure la protection des processus, des personnes et des profits tout en minimisant les vulnérabilités et les incidents de cybersécurité.

Comment protéger les Technologies opérationnelles (TO) ?

Cette section est un résumé des deux (2) documents répertoriés dans les notes^1,2 en bas de page ci-dessous .

Sécuriser les Technologies opérationnelles (TO) sur le lieu de travail est crucial pour prévenir les cybermenaces et maintenir la stabilité. Voici quelques bonnes pratiques :

1. Établissez une politique de sécurité claire : définissez des lignes directrices pour la sécurité de TO, y compris les contrôles d’accès, l’authentification et les procédures d’intervention face aux incidents.
2. Effectuez des évaluations régulières des risques : évaluez régulièrement les vulnérabilités et les risques dans les systèmes et réseaux TO.
3. Mettez en œuvre des contrôles de sécurité : utilisez des pare-feux, des systèmes de détection/prévention des intrusions et des contrôles d’accès.
4. Utilisez des Réseaux privés virtuels (RPV) et l’authentification multifacteur (AMF) pour l’accès au travail à distance.
5. Surveillez les activités suspectes : surveillez en permanence les systèmes et les réseaux TO pour détecter des signes d’accès non autorisé ou des anomalies.
6. Formez le personnel TO : sensibilisez les employés à la cybersécurité et aux meilleures pratiques.

[1] Centre canadien pour la cybersécurité. Direction de la sécurité des télécommunications. Protéger vos Technologies opérationnelles – TO (ITSAP.00.051). Juillet 2022. https://www.cyber.gc.ca/sites/default/files/itsap00051-proteger-vos-technologies-operationnelles.pdf

[2] Fortinet. 5 Best Practices for Operational Technology (OT) Security. https://www.fortinet.com/resources/cyberglossary/ot-security-best-practices

Esquisse de la sécurité du Contrôle de surveillance et d’acquisition des données (CSAD)

La sécurité du Contrôle de surveillance et d’acquisition des données (CSAD, SCADA en anglais) se focalise sur la protection des systèmes de contrôle de surveillance et d’acquisition des données, essentiels à l’automatisation et à la gestion de processus industriels complexes. Ces réseaux jouent un rôle déterminant dans les services des utilités publiques, de la fabrication et des transports. Les systèmes CSAD sont conçus pour la collecte de données en temps réel, la surveillance des processus et le contrôle opérationnel. La vulnérabilité des systèmes CSAD aux cybermenaces a augmenté dans le sillage de l’adoption des architectures ouvertes et des communications fondées sur le protocole Internet. Cela rend les protocoles de sécurité essentiels pour sauvegarder l’intégrité opérationnelle et la sécurité publique. Un cadre de sécurité CSAD complet intègre des contrôles de gouvernance, de gestion des risques et de conformité ainsi que des mesures précises de sécurité CSAD et des applications de données. Ce cadre garantit la résilience et l’adaptabilité des défenses pour contrer l’évolution des cybermenaces tout en garantissant la disponibilité du système et l’intégrité des processus. Les fournisseurs tiers sont souvent responsables du développement et de la maintenance des systèmes CSAD. Ils sont également soumis à des normes de sécurité strictes, renforçant l’architecture globale de la défense. Les impacts potentiels des violations CSAD sont similaires à ceux relatifs aux systèmes TO et SCI. Les conséquences comprennent des perturbations opérationnelles, des pertes financières et des risques pour la sécurité publique. Ces systèmes contrôlent et surveillent les services essentiels tels que la fourniture d’eau, d’électricité et les réseaux de transport. Par conséquent, la sécurité CSAD va au-delà de la protection des données et des systèmes, les reliant directement avec la fourniture ininterrompue de services essentiels et la sécurité physique de la population.

Comment protéger la sécurité du Contrôle de surveillance et d’acquisition des données (CSAD)?

La protection du CSAD est décisive pour garantir sa sécurité et sa fiabilité. Voici quelques bonnes pratiques que vous pouvez mettre en œuvre¹:

1. Segmentation et isolement du réseau : divisez votre réseau en sous-réseaux ou segments isolés à l’aide de pare-feux ou de Listes de contrôle d’accès (LCA). Limitez les points d’entrée des cyberattaquants potentiels et détectez plus facilement les activités suspectes au sein des différents segments.
2. Mesures de contrôle d’accès : selon les rôles professionnels des utilisateurs, mettez en œuvre un Contrôle d’accès fondé sur les rôles (CAFR). Utilisez l’authentification multifacteur (AMF) pour une sécurité renforcée. Restreignez les actions et les accès pour prévenir les menaces internes et faciliter le suivi des vérifications.
3. Correctifs et mises à jour réguliers : maintenez les logiciels, appareils et systèmes CSAD à jour avec des correctifs de sécurité. Examinez et appliquez régulièrement les mises à jour offertes par les fournisseurs.
4. Systèmes de détection d’intrusion (SDI) : déployez des SDI pour surveiller le trafic réseau et détecter les comportements suspects. Configurez des messages d’alerte pour les failles de sécurité potentielles.
5. Vérifications et évaluations de sécurité : effectuez régulièrement des évaluations des risques et des analyses de vulnérabilité. Identifiez et solutionnez de manière proactive les failles de sécurité.
6. Protocoles de communication sécurisés : utilisez des protocoles de communication sécurisés (ex. : HTTPS, SSH) pour protéger les données en mouvement. Évitez de vous fier uniquement à des protocoles propriétaires.
7. Plan d’intervention face aux incidents (PIFI) : élaborez un Plan d’intervention face aux incidents (PIFI) pour gérer efficacement les incidents de sécurité. Définissez clairement les rôles, les responsabilités et les procédures de communication.

[1] CSE Icon. 7 SCADA Security Best Practices: How to Protect Your Systems. 19^th November 2023. https://www.cse-icon.com/scada-security-best-practices/

La sécurité du Système numérique de contrôle-commande (SNCC) brièvement expliquée

Un Système numérique de contrôle-commande (SNCC) est un Système de contrôle informatisé (SCIN) qui automatise et contrôle un processus industriel ou une usine de fabrication avec de nombreuses boucles de contrôle¹. Un SNCC utilise plusieurs capteurs et contrôleurs répartis dans tout le système, plutôt qu’un seul ordinateur central. Cela rend le système moins fragile aux points de défaillance uniques. Un SNCC est utilisé pour les processus continus et discontinus tels que le mélange, l’évaporation et le remplissage. Les SNCC sont présents dans un large éventail d’applications, notamment l’extraction minière, les transports et la transformation, les usines de fabrication de produits chimiques, le traitement de l’eau et la gestion des eaux usées, les usines de production d’électricité et les assemblages de traitement pharmaceutique².

[1] Eloranta Veli-Pekka, Johannes P. Koskinen, Marko V. Leppänen & Ville M. Reijonen, 9^th June 2014. Designing Distributed Control Systems: A Pattern Language Approach, Hard Cover Student Edition, 1^st Edition, Wiley & Sons Publishing Company, 512 p.

[2] Raffaello D’Andrea & Geir E. Dullerud, 9^th September 2003. “Distributed Control Design for Spatially Interconnected Systems” in IEEE Transactions on Automatic Control. Volume 48, Number 9, IEEE Xplore, pp. 1478-1495. https://ieeexplore.ieee.org/document/1231245/authors#authors

Comment protéger la sécurité du Système numérique de contrôle-commande (SNCC)?

Les conseils pratiques suivants sont à la fois résumés et adaptés de trois (3) documents identifiés dans les notes en bas de page ci-dessous[1] [2] [3]. La sécurisation du Système numérique de contrôle-commande (SNCC) est primordiale pour prévenir l’espionnage industriel, le sabotage et les accès non autorisés. Voici quelques étapes clés pour améliorer la sécurité SNCC :

1. L’architecture décentralisée : concevez un système décentralisé pour améliorer la sécurité.
2. Évitez les points de défaillance uniques et réduisez l’impact des violations.
3. Le chiffrement : utilisez des algorithmes de chiffrement pour protéger les données en mouvement et les données au repos (inactives).
4. Chiffrez les canaux de communication (voies de transmission) et toutes les connexions vers et depuis les applications.
5. Le contrôle d’accès : mettez en œuvre des mécanismes robustes d’authentification et d’autorisation.
6. Restreignez l’accès au personnel autorisé uniquement. Utilisez des pare-feux pour limiter l’accès à des ports et des câbles distinctifs.
7. Les Systèmes de détection d’intrusion (SDI) : déployez des SDI pour identifier les comportements anormaux parmi les services réseau.
8. Surveillez tout signe d’accès non autorisé ou d’activité suspecte.
9. Les tests et mises à jour réguliers : testez régulièrement le système pour détecter les vulnérabilités.
10. Maintenez les logiciels et micrologiciels à jour pour résoudre les problèmes de sécurité connus.

[1] RTI Resource Library. RTI Whitepaper. Four Keys to Securing Distributed Control Systems. https://info.rti.com/hubfs/whitepapers/Securing_Distributed_Control_Systems.pdf

[2] Geeks for Geeks Tutorials. Important Topics for Distributed Control Systems. https://www.geeksforgeeks.org/distributed-control-systems/

[3] Canadian Centre for Cybersecurity. Communications Security Establishment. Security Considerations for Industrial Control Systems – ICS (ITSAP.00.050). July 2021.https://www.cyber.gc.ca/sites/default/files/cyber/2021-07/ITSAP.00.050-Security-considerations-for-industrial-control-systems_e.pdf

Quelles sont les divergences entre les sécurités TO, SCI, CSAD et SNCC?

La sécurité du Système de contrôle industriel (SCI – ICS) et la sécurité du Contrôle de surveillance (TO – OT) et d’acquisition de données (CSAD – SCADA) remplissent chacune des rôles distincts, mais qui se chevauchent dans la protection des opérations industrielles et des infrastructures importantes. Mais comment peuvent-elles remplir de tels rôles simultanément? En résumé, voici un tableau qui explique leurs rôles divergents, mais entrecroisés.

Divergences, mais entrecroisements entre les sécurités TO, SCI & CSAD

Quelles sont les principales différences entre les sécurités TO, SCI et CSAD?

Vous trouverez ci-dessous les principales différences entre la sécurité des Technologies opérationnelle (TO), la sécurité du Système de contrôle industriel (SCI), et la sécurité du Contrôle de surveillance et d’acquisition des données (CSAD).

Sécurités TO vs. SCI vs. CSAD

Comment protéger votre entreprise manufacturière contre les cybermenaces ?

Il n’existe pas d’outil ou d’approche unique qui assurera la sécurité de votre entreprise manufacturière. Tout comme les appareils de l’Internet des Object (IdO) communiquent avec des points terminaux qui se connectent à des utilisateurs du monde entier, lesquels transmettent ensuite des données tout au long de la chaîne d’approvisionnement, une approche globale de la cybersécurité est aussi complexe que vos opérations d’entreprise, et elle doit prendre en compte toutes les facettes du milieu de travail d’une organisation et comment chaque facette interagit avec une autre. Voici quelques mesures constructives qu’une entreprise manufacturière peut prendre pour améliorer son cheminement de cybersécurité et protéger ses précieuses données :

• Investissez dans une surveillance 24 heures sur 24 et 7 jours sur 7 qui offre une visibilité étendue sur l’environnement de travail de votre organisation. Étant donné que vous ne pouvez pas sécuriser ce que vous ne pouvez pas voir, la mise en œuvre d’un outil qui offre un œil sur tout peut grandement contribuer non seulement à évaluer votre propre architecture de sécurité, mais également à agir rapidement en cas de cyberincident.
• Pratiquez une sécurité d’identité renforcée, notamment en suivant les directives de confiance zéro (vérification systématique) et en mettant en œuvre l’authentification multifacteur (AMF). À mesure que les organisations se numérisent, les identités deviennent les nouveaux pare-feux, détenant les renseignements d’identification qui peuvent arrêter les acteurs malveillants ou leur permettre d’accéder facilement à un milieu de travail. En mettant en œuvre une solide Gestion des identités et des accès (GIA) et en vous assurant que votre logiciel de surveillance inclut des Fonctionnalités de détection et d’intervention face aux menaces d’identité (FDIMI), votre organisation peut consolider votre environnement de travail en protégeant les identités des utilisateurs.
• Organisez une Formation de sensibilisation des utilisateurs pour réduire les risques humains. Vous pouvez fortifier les identités grâce à des techniques et des outils, mais les outils seulement ne peuvent pas empêcher un employé de cliquer sur un courriel-hameçon et d’ouvrir la porte à des logiciels malveillants. En mettant en œuvre une Formation de sensibilisation à la sécurité qui propose un contenu pertinent et adapté au secteur, appuyé par des techniques de microapprentissage et qui répond aux exigences de conformité, votre entreprise peut réduire les risques humains tout en augmentant sa résilience.
• Travaillez avec un partenaire de confiance en matière de cybersécurité. Lorsqu’il s’agit de réduire les cyberrisques, aucune organisation ne peut y parvenir seule. En travaillant avec un partenaire opérationnel de cybersécurité qui connaît bien les cybermenaces, la conformité et les besoins de sécurité de votre entreprise manufacturière, et qui peut vous aider dans la détection, l’intervention face aux cyberincidents et la gestion des risques, votre équipe informatique peut se concentrer sur ce qui compte, tout en sachant qu’un travail de protection est continuellement effectué pour renforcer votre surface d’attaque.

Les systèmes informatiques des entreprises manufacturières : le cerveau des opérations de fabrication

Les systèmes informatiques des entreprises manufacturières stockent (mémorisent) des données commerciales précieuses : allant des dossiers financiers à la propriété intellectuelle. Une violation des données, telle que l’attaque de rançongiciel contre Norsk Hydro¹ en 2020, peut perturber les opérations et entraîner des pertes financières considérables. En fait, la violation a touché l’ensemble des 35 000 employés de Norsk Hydro dans 40 pays, bloquant les fichiers dans des milliers de serveurs et d’ordinateurs personnels (PC). L’impact financier s’est élevé à 71 millions de dollars. Tous ces dégâts ont été déclenchés trois (3) mois auparavant lorsqu’un employé a ouvert sans le savoir un courriel infecté provenant d’un client de confiance. Cela a permis aux pirates informatiques d’envahir l’infrastructure informatique et d’implanter secrètement leur virus.

Mesures de protection essentielles pour les systèmes informatiques des entreprises manufacturières

• Sécurité robuste des points terminaux (antivirus, pare-feux).
• Gestion rigoureuse des correctifs.
• Solides contrôles d’accès (mots de passe forts, AMF, moindre privilège).
• Formation complète des employés en matière de cybersécurité.

[1] Microsoft News. https://news.microsoft.com/source/features/digital-transformation/hackers-hit-norsk-hydro-ransomware-company-responded-transparency/

Le Profil de fabrication du cadre de cybersécurité NIST

Le NIST Cybersecurity Framework Manufacturing Profile¹ fournit un cadre très pratique pour protéger les infrastructures des Technologies informatiques (TI) et des Technologies opérationnelles (TO). Comme le souligne le rapport interne : le recours à la technologie, à la communication et à l’interconnectivité des SCI (Systèmes de contrôle industriel) et des systèmes informatiques a modifié et élargi les vulnérabilités potentielles et a augmenté les risques possibles pour les opérations des systèmes de fabrication. Le NIST adopte une vision étendue des fabricants, répondant aux besoins des fabricants basés sur des processus, à la fois continuels et par lots, ainsi qu’aux besoins des fabricants basés sur les processus discrets. Le profil de fabrication s’appuie sur les cinq (5) fonctions simultanées et continuelles au cœur du cadre de cybersécurité du NIST, à savoir :

1. Identifier
2. Protéger
3. Détecter
4. Intervenir
5. Récupérer

Le Profil de fabrication du cadre de cybersécurité NIST peut être utilisé comme une feuille de route en vue de réduire les risques de cybersécurité pour les fabricants, laquelle feuille de route est alignée sur les objectifs du secteur manufacturier et les meilleures pratiques de l’industrie manufacturière.

Le Profil de fabrication du cadre de cybersécurité NIST offre :

• Aux entreprises manufacturières – une méthode pour identifier les possibilités d’amélioration de la posture actuelle de cybersécurité de leurs systèmes de fabrication.
• Aux organisations manufacturières – une évaluation de leur capacité à exploiter l’environnement du Système de contrôle industriel (SCI) à leur niveau de risque acceptable.
• Aux entreprises manufacturières – une approche normalisée pour préparer le plan de cybersécurité afin d’assurer en permanence la sécurité des systèmes de fabrication (SCI, TO et CSAD).

[1] U.S Department of Commerce. National Institute of Standards and Technology (NIST). NIST Internal Report 8153 – Cybersecurity Framework Manufacturing Profile. https://nvlpubs.nist.gov/nistpubs/ir/2017/NIST.IR.8183.pdf

Les cinq (5) fonctions du NIST Cybersecurity Framework Manufacturing Profile peuvent être exécutées simultanément et en continu pour former une culture opérationnelle qui répond aux risques dynamiques de cybersécurité prévalant dans l’industrie manufacturière. Vous trouverez ci-dessous ces cinq (5) fonctions simultanées et continuelles sous forme de tableau :

Functions & Categories of the Manufacturing Industry Cybersecurity Framework

Les cinq (5) fonctions susmentionnées du Cadre de cybersécurité NIST pour l’industrie manufacturière sont brièvement expliquées de la manière suivante :

Fonction I : IDENTIFIER – Développer la compréhension organisationnelle afin de gérer les risques de cybersécurité pour les systèmes, les actifs, les données et les fonctionnalités industrielles. Les activités de la fonction d’identification sont fondamentales pour une utilisation efficace du Cadre de cybersécurité NIST pour l’industrie manufacturière. Comprendre le contexte commercial, les ressources qui prennent en charge les fonctions cruciales et les risques de cybersécurité connexes permet à une entreprise manufacturière de concentrer et de prioriser ses efforts, en cohérence avec sa stratégie de gestion des risques et ses besoins d’affaires. Voici des exemples de catégories de résultats au sein de cette fonction : Gestion des actifs; Milieu du travail; Gouvernance; Gestion des risques; et Stratégie pour la Gestion des risques.

Fonction II : PROTÉGER – Élaborer et mettre en œuvre les mesures de protection appropriées pour garantir la fourniture de services d’infrastructure primordiale au sein de l’industrie manufacturière. Les activités de la fonction de protection permettent de limiter ou de contenir l’impact d’événements potentiels de cybersécurité susceptibles d’avoir de graves conséquences sur les systèmes, les données et les compétences du secteur manufacturier. Voici des exemples de catégories de résultats au sein de cette fonction : Contrôle d’accès; Formation et Sensibilisation; Sécurité des données; Protection de l’Information : processus et procédures; Entretien; et Technologies protectrices.

Fonction III : DÉTECTER – Développer et mettre en œuvre les activités appropriées pour identifier l’occurrence d’un événement de cybersécurité. Les activités de la fonction de détection permettent de découvrir en temps opportun les incidents de cybersécurité, évitant ainsi l’apparition de dommages graves aux systèmes, données, actifs et capacités d’une entreprise manufacturière. Voici des exemples de catégories de résultats au sein de cette fonction : Anomalies et Évènements; Surveillance Continuelle de la sécurité; et Processus de détection.

Fonction IV : INTERVENIR – Développer et mettre en œuvre les activités adéquates pour prendre des mesures concernant un événement de cybersécurité détecté. Les activités de la fonction d’Intervention soutiennent les capacités à contenir l’impact d’un incident potentiel de cybersécurité susceptible d’endommager les systèmes, les données, les actifs et les fonctionnalités d’une entreprise manufacturière. Voici des exemples de catégories de résultats au sein de cette fonction : Plan d’Intervention face aux Incidents; Communications; Analyse; Atténuations; et Améliorations.

Fonction V : RÉCUPÉRER – Élaborer et mettre en œuvre les activités convenables pour maintenir les plans de résilience et restaurer toutes les ressources ou services qui ont été ébranlés en raison d’un événement de cybersécurité. Les activités de la fonction de récupération prennent en charge la reprise rapide des opérations normales afin de réduire l’impact d’un incident de cybersécurité endommageant les systèmes, les données, les actifs et les facultés opérationnelles d’une entreprise manufacturière. Voici des exemples de catégories de résultats au sein de cette fonction : Plan de Récupération; Améliorations; et Communications.

Conclusion

La cybersécurité est-elle importante pour l’industrie manufacturière? La cybersécurité prend en effet de plus en plus d’importance dans le secteur manufacturier en raison des réalités émergentes résumées ci-après :

1. Les cybermenaces croissantes : le secteur manufacturier est confronté à un nombre grandissant de cyberattaques. En 2022, ce secteur a enregistré la part de cyberincidents la plus élevée parmi les principales industries du monde. Ces cybermenaces ne cessent de croître, avec une augmentation de 15 % au troisième trimestre 2023 par rapport à la période précédente¹.
2. Les attaques de courriel-hameçon, de clonage vocal et de texto-hameçon : les cybercriminels utilisent des attaques trompeuses via courriel, téléphone intelligent et SMS (texto) pour inciter les employés à révéler des renseignements confidentiels.
3. Les rançongiciels : de plus en plus de logiciels malveillants chiffrent les données et exigent un paiement pour le décryptage.
4. Le vol de la propriété intellectuelle : les cyberattaquants volent de précieux secrets commerciaux et des dessins industriels.
5. Les cyberattaques contre la chaîne d’approvisionnement : les vulnérabilités des systèmes des fournisseurs ont un impact sur les fabricants.
6. Les attaques industrielles via IdO : les appareils connectés dans les usines deviennent de plus en plus des cibles potentielles.
7. L’investissement stratégique : les fabricants doivent prioriser la cybersécurité comme un impératif et pas seulement comme une mesure défensive. En conscientisant les parties prenantes et en prenant en compte les personnes, les processus et les technologies, les entreprises peuvent engendrer une valeureuse éthique du travail tout en préservant leurs opérations industrielles.

En bref, la cybersécurité est primordiale pour la transformation numérique de l’industrie manufacturière, car elle aidera les entreprises manufacturières à se protéger contre des cyberattaques de plus en plus complexes, des interruptions d’activité, des vols de propriété intellectuelle et des pertes financières. La durabilité ultime des usines nécessite aujourd’hui des actions proactives.

[1] World Economic Forum. How Advanced Manufacturing Can Improve Supply Chain Resilience and Cybersecurity? 31^st January 2024. https://www.weforum.org/agenda/2024/01/advanced-manufacturing-improve-supply-chain-resilience-cybersecurity/

Ressources et références

• Artic Wolf. 22^nd of March 2024. The Top 10 Manufacturing Industry Cyber Attacks. https://arcticwolf.com/resources/blog/top-8-manufacturing-industry-cyberattacks/
• Encyclopedia Britannica. https://www.britannica.com/technology/manufacturing
• Palo Alto Networks Cyberpedia – Network Security. What Are the Differences Between OT, ICS & SCADA Security? https://www.paloaltonetworks.com/cyberpedia/ot-vs-ics-vs-scada-security
• CISA – Cybersecurity & Infrastructure Security Agency – America’s Cyber Defense Agency. 20^th July 2021.Cyber-Attack Against Ukrainian Critical Infrastructure. https://www.cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01
• Centre canadien pour la cybersécurité, Protéger vos technologies opérationnelles (ITSAP.00.051) https://www.cyber.gc.ca/sites/default/files/itsap00051-proteger-vos-technologies-operationnelles.pdf
• U.S. Department of Homeland Security. National Cybersecurity and Communications Integration Center (NCCIC). Seven Strategies to Defend ICS. (Click for PDF)
• Fortinet. 5 Best Practices for Operational Technology (OT) Security. https://www.fortinet.com/resources/cyberglossary/ot-security-best-practices
• CSE Icon. 7 SCADA Security Best Practices: How to Protect Your Systems. 19th November 2023. https://www.cse-icon.com/scada-security-best-practices/
• Eloranta Veli-Pekka, Johannes P. Koskinen, Marko V. Leppänen & Ville M. Reijonen, 9^th June 2014. Designing Distributed Control Systems: A Pattern Language Approach, Hard Cover Student Edition, 1^st Edition, Wiley & Sons Publishing Company, 512 p.
• Raffaello D’Andrea & Geir E. Dullerud, 9^th September 2003. “Distributed Control Design for Spatially Interconnected Systems”, scientific paper published in IEEE Transactions on Automatic Control. Volume 48, Number 9, IEEE Xplore, pp. 1478-1495. https://ieeexplore.ieee.org/document/1231245/authors#authors
• RTI Resource Library. RTI Whitepaper. Four Keys to Securing Distributed Control Systems. https://info.rti.com/hubfs/whitepapers/Securing_Distributed_Control_Systems.pdf
• Geeks for Geeks Tutorials. Important Topics for Distributed Control Systems. https://www.geeksforgeeks.org/distributed-control-systems/
• Centre canadien pour la cybersécurité,  Security Considerations for Industrial Control Systems. Facteurs relatifs à la sécurité à considérer pour les systèmes de contrôle industriels (ITSAP.00.050)https://www.cyber.gc.ca/sites/default/files/cyber/2021-07/ITSAP.00.050-Facteurs-relatifs-a-la-securite-a-considerer-pour-les-systemes-de-controle-industriels_f.pdf
• U.S Department of Commerce. National Institute of Standards and Technology (NIST). Guide to Industrial Control Systems (ICS) Security Including Distributed Control Systems (DCS) Security. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r2.pdf
• Microsoft News. https://news.microsoft.com/source/features/digital-transformation/hackers-hit-norsk-hydro-ransomware-company-responded-transparency/
• U.S Department of Commerce. National Institute of Standards and Technology (NIST). NIST Internal Report 8153 – Cybersecurity Framework Manufacturing Profile   https://nvlpubs.nist.gov/nistpubs/ir/2017/NIST.IR.8183.pdf . 
• World Economic Forum. How Advanced Manufacturing Can Improve Supply Chain Resilience and Cybersecurity? 31^st January 2024. https://www.weforum.org/agenda/2024/01/advanced-manufacturing-improve-supply-chain-resilience-cybersecurity/

Contributions

Remerciements en particulier pour le soutien financier du Programme d’aide à la recherche industrielle (PARI) du Conseil national de recherches du Canada (CNRC).

Auteurs: Peter Skaronis et al.

Éditeur en chef : Alan Bernardi

Traducteur, réviseur & correcteur d’épreuves : Ravi Jay Gunnoo (C.P.T. ISO 17100)