sécurité OT

Oh wow, mon OT est un cauchemar !

Version imprimable, PDF et e-mail

L'année 2020 et ses péripéties ont considérablement affecté la manière dont les entreprises gèrent la sécurité de leur technologie d'exploitation (OT). À l'instar des infrastructures informatiques, l'accès à distance s'est révélé être un défi de taille, mais les fournisseurs de services de sécurité OT ont su réagir rapidement. La résilience prend toute son importance à une époque où les interruptions de service sont difficilement supportables, mais de nombreux départements OT ne l'ont pas encore compris.

Selon le Guide du marché sur la sécurité de la technologie d'exploitation publié en janvier 2021 par Gartner, « les enquêtes menées par Gartner auprès des utilisateurs finaux suggèrent que, dans tous les marchés verticaux, à l'exception des plus réglementés, environ 60 % des entreprises en sont encore à la phase de sensibilisation, environ 30 % aux phases de découverte et de "rafistolage", et seulement 10 % aux phases d'intégration et d'optimisation1 ».

La technologie d'exploitation constitue le cœur de l'entreprise. C'est là que la valeur est créée. C'est là qu'une panne peut engendrer non seulement un manque à gagner, mais également des préjudices significatifs au niveau des machines, des collaborateurs et de l'environnement. Les incidents liés à l'OT provoquent des dommages relativement importants par rapport aux pannes habituelles touchant les environnements informatiques.

Par conséquent, je ne suis pas du tout surpris du regain d'intérêt porté à la résilience opérationnelle durant la pandémie, surtout compte tenu de la complexification des dépannages sur site. Heureusement, les départements OT ont rapidement pris conscience des nouvelles exigences, et les fournisseurs de services de sécurité OT ont su voir et saisir l'opportunité en proposant des solutions d'accès à distance.

Au vu de l'émergence de ces importants vecteurs d'innovation au cours de l'année écoulée, je suis tout de même un peu surpris qu'un si faible pourcentage d'entreprises se trouve dans les phases d'intégration et d'optimisation en matière de sécurité OT. Tandis que les marchés verticaux hautement réglementés sont mus par les réglementations externes et les normes de conformité, ce sont l'innovation et les incidents qui amènent les entreprises où la pression externe est moindre à prendre conscience de la situation. Autrement dit, il faut bien souvent qu'un incident se produise pour que les entreprises se rendent compte que quelque chose ne va pas.

La pandémie a assurément incité à la numérisation pour compenser le manque de mobilité. Dans le même temps, les pirates se sont mis à utiliser les ransomwares pour cibler les systèmes de contrôle industriel, et il n'y a jamais eu autant de CVE relatifs à l'OT, du fait de la multiplication non seulement des recherches, mais aussi du nombre de fournisseurs de solutions de sécurité. Or une telle progression du marché n'est que le reflet de la montée de la cybercriminalité.

À la lumière de ces tendances et des statistiques, qui indiquent que nous n'en sommes qu'au tout début de la mise en place de solutions de cybersécurité au niveau des systèmes OT et CPS, on peut penser que bon nombre d'entreprises prendront conscience de la situation en 2021.

Cette prise de conscience survient suite à un incident, les entreprises réalisant tout à coup qu'il y a des appareils non gérés et vulnérables ainsi que des logiciels obsolètes de toutes parts, que le réseau est ouvert et non hiérarchisé, et que la sécurité est inexistante. C'est ainsi que les réseaux OT ont été conçus au cours des dernières décennies, or ce problème n'est ni particulier ni simple à résoudre. Mais est-ce inquiétant ? La réponse est oui.

La marche à suivre après la prise de conscience

Souvent, cette révélation est rapidement suivie d'un sentiment d'accablement face à l'ampleur de la tâche à accomplir. Si vous vous trouvez dans cette situation, essayez d'établir un plan par étapes et de hiérarchiser les mesures à prendre. Il n'est pas possible d'obtenir une sécurité totale immédiatement ou à l'aide d'un seul produit, mais il est important de s'attaquer au problème. La première chose à faire est de définir la situation initiale, surtout si, à la base, le projet n'a pas été planifié de manière appropriée. Si un incident est à l'origine de cette initiative, il convient avant tout de faire le point avec les personnes concernées.

Pour résoudre ce problème, il est nécessaire de concilier les solutions de sécurité informatique avec les exigences de sécurité liées à l'OT. Il s'agit d'un domaine assez nouveau, et les entreprises peinent à trouver des employés qui comprennent les deux aspects. D'ailleurs, les fournisseurs de technologies se heurtent au même problème. Alors que les fabricants de technologies d'automatisation traditionnels cherchent encore à cerner les enjeux de sécurité et tentent désespérément de se faire une place sur le marché, la plupart des fournisseurs de sécurité informatique se contentent de commercialiser leurs produits sur ce marché prometteur sans tenir compte des exigences qui le caractérisent.

Or, là est toute la difficulté. Les deux aspects peuvent être extrêmement complexes, et l'un ne peut être occulté au profit de l'autre. Les solutions de sécurité OT doivent réunir le meilleur des deux mondes. Bien que les technologies de sécurité et d'accès à distance de nouvelle génération soient essentielles pour lutter contre les menaces modernes, notamment les attaques ciblées évoluées et les ransomwares, une solution de sécurité qui ne tient pas compte des exigences propres à l'OT peut en réalité causer plus de dégâts qu'une attaque.

La sécurité a pris une grande importance dans le secteur informatique, un domaine qui jouit d'une grande expérience et où les solutions sont déjà bien avancées. C'est pourquoi j'estime que les fournisseurs de services informatiques traditionnels ont un avantage sur les technologies d'automatisation. Néanmoins, le domaine de l'OT présente de nombreuses différences. La disponibilité n'est qu'une préoccupation parmi d'autres. Une solution doit être mise en œuvre de la manière la moins invasive possible, car il est impossible de modifier les systèmes existants ou de prévoir le résultat. L'équipe informatique doit savoir que le moindre changement implique une approche hautement structurée et documentée. Dans le domaine de l'OT, on ne peut se permettre d'avancer à tâtons. Ce que les administrateurs informatiques ont coutume de faire le vendredi après-midi n'est pas possible avec l'OT. La solution consiste donc à combiner informatique et technologie d'exploitation. Les fournisseurs de services informatiques qui se contentent de revendre leurs solutions sur un nouveau marché sans s'adapter à ses exigences ne s'y feront pas d'amis.

Chez Barracuda, nous savons que notre expérience en matière de sécurité informatique constitue un avantage considérable ; en effet, nos solutions intègrent des technologies de sécurité de pointe. Nous avons beaucoup appris depuis le lancement il y a quelques années de gammes de produits spécialement conçues pour l'OT et l'IoT industriel. Nous devons notre réussite à notre propension à écouter les clients et les prospects et à adapter nos solutions aux exigences très pointues de ce domaine.

Les efforts que nous avons déployés pour mettre au point une solution en la matière particulièrement médiatisée nous ont très certainement valu d'être désignés « Representative Vendor » dans le Guide du marché 2021 sur la sécurité de la technologie d'exploitation de Gartner, catégorie Fournisseurs de solutions spécialisées dans la sécurité OT1. Cette distinction nous rend extrêmement fiers et nous motive à poursuivre nos efforts dans ce sens.

Sécurisez vos technologies d'exploitation et appareils connectés à Internet.

 

1 Thielemann, K., Voster, W., Pace, B. et Contu, R. (2021, 13 janvier). Market Guide for Operational Technology Security. Gartner.

Gartner ne soutient aucun fournisseur, produit ou service présenté dans ses publications de recherche, et ne conseille en aucun cas aux utilisateurs de technologie de privilégier les fournisseurs ayant reçu les meilleures évaluations ou autre distinction. Les publications de recherche de Gartner reflètent les opinions de l'entreprise et ne doivent pas être interprétées comme des déclarations de fait. Gartner décline toute responsabilité, expresse ou implicite, concernant cette étude, y compris toute responsabilité de qualité marchande ou d'adéquation à un usage particulier.

 

Leave a Reply

Your email address will not be published. Required fields are marked *

Remonter en haut de page
Tweeter
Partager
Partager