Loading

Blog

Recent ActivityRecent Activity

Un processus de gestion des correctifs optimisé en production

Une productivité fortement accrue grâce à la fabrication intelligente, mais une cybersécurité ICS à la traîne. Découvrons les solutions trouvées par l’industrie agroalimentaire pour remédier à ce problème.

Ces dernières années, l’industrie agroalimentaire a connu de grandes avancées en matière de cyberhygiène, un point de départ essentiel pour garantir la cybersécurité des systèmes de commande industriels (ICS, Industrial Control System). Alors que les discussions étaient auparavant axées sur les infrastructures réseau, la stratégie et les techniques de cybersécurité sont aujourd’hui sur le devant de la scène. Comment en sommes-nous arrivés là ?

Le problème remonte à 20-30 ans, lorsque l’industrie agroalimentaire a commencé à adopter des technologies propriétaires avancées dans ses ateliers de production. En raison de la nature fermée et isolée de ces systèmes, la cybersécurité ne constituait pas à l’époque un réel problème.  

Tout a changé il y a 10 ans, avec l’adoption massive des systèmes de commande industriels (ICS) et des équipements à connexion Ethernet, qui ont révolutionné la productivité, la qualité, la conformité et la vitesse de mise sur le marché. Ces dispositifs ont également simplifié la connexion des systèmes existants, entre eux et avec les nouveaux systèmes. Toutefois, cette communication Ethernet ouverte non modifiée a engendré un cyberrisque accru et une nouvelle problématique : la gestion des correctifs de ces systèmes existants.

Un récent rapport du Food Protection and Defense Institute (FPDI) explique en détail de quelle façon ces équipements existants obsolètes peuvent exposer votre entreprise à des attaques malveillantes. Ce type d’attaque peut considérablement perturber l’activité commerciale, entraîner la destruction des équipements et compromettre la sécurité des travailleurs et des produits. Face à un tel constat, il est impératif de mettre en place un programme de cybersécurité holistique, dans lequel la gestion des correctifs joue un rôle important.

Impossible de corriger ce que l’on ne connaît pas

L’idée d’un inventaire des actifs n’est pas nouvelle. Vous vous êtes peut-être même déjà essayé à cet exercice en interne, parfois avec une aide extérieure. Toutefois, effectuer un inventaire exhaustif n’est pas chose aisée et nombre d’entreprises tentent encore d’y parvenir, sans succès.

Il existe deux méthodes pour réaliser un inventaire et établir des bases solides pour votre programme de cybersécurité ICS. Et vous devez les appliquer toutes les deux.

  • Les outils d’interrogation électronique analysent votre réseau et identifient automatiquement la majorité des actifs qui s’y trouvent.
  • Le reste du travail s’effectue par identification manuelle, un processus qui exige qu’une personne réalise un inventaire physique exhaustif des infrastructures présentes.

L’approche la plus sûre consiste à adopter ces deux mesures sur l’ensemble de vos sites. Négligez un seul site et celui-ci sera la porte d’entrée des attaquants, même si tous les autres sites sont parfaitement protégés.

Définir une stratégie d’application des correctifs complète

Une fois l’inventaire réalisé, vous vous retrouvez face à une liste de milliers d’actifs à prendre en charge, un véritable casse-tête. Heureusement, tous ces actifs ne sont pas identiques. L’étape suivante consiste à effectuer une analyse de risque afin d’identifier les actifs haute priorité, auxquels un correctif doit être appliqué en premier, sur la base de leur criticité, de leur exposition, de leur ancienneté, du risque anticipé, etc. Certains actifs ne sont pas même présents sur le réseau  ; constituent-ils donc un risque réel ?

Il existe deux types de correctifs que vous devez prendre en charge :  

  1. Les correctifs de système d’exploitation, courants dans le monde informatique, par exemple les correctifs Microsoft édités tous les mardis depuis plus de 15 ans. Pour appliquer ce type de correctifs, vous devez généralement planifier des temps d’arrêt en production, pour réduire au minimum les perturbations. Une collaboration proactive des équipes IT/OT peut s’avérer efficace dans la plupart des cas.
  2. Pour les correctifs d’application, c’est une autre paire de manches. Il peut, en effet, exister des centaines d’applications, provenant de fournisseurs différents et nécessitant des correctifs particuliers. Il vous incombe alors de trouver chaque correctif approprié sur le site du fournisseur, de comprendre les vulnérabilités contre lesquelles il vous protège et de déterminer s’il est nécessaire ou non.

Étant donné que chaque application est configurée de façon différente, la mise en œuvre des correctifs au niveau de la couche d’application garantit une procédure de test standard homogène et délibérée. Une procédure appliquée dans un environnement de laboratoire, avant l’exécution sur le site de production, permet d’évaluer le risque d’arrêt involontaire de la production.

Une approche systématique en matière de gestion des correctifs

Il est fréquent que les entreprises de l’industrie agroalimentaire s’en remettent à la chance pour le succès de l’application de leurs correctifs. Il ne s’agit pas de mauvaise volonté, mais simplement d’un manque de ressources adéquates et d’expertise spécialisée pour mener cette tâche à bien. Les approches que j’observe aujourd’hui sur le terrain sont principalement réactives. Elles consistent à appliquer les correctifs haute priorité pour lesquels une notification a été reçue, si nécessaire en arrêtant la production, par exemple durant le week-end.

Le déroulement des opérations est généralement le suivant :

  • Les équipes de production font appel aux équipes IT pour les aider dans l’application des correctifs OT
  • Les équipes IT répondent présentes, mais ne possèdent ni les ressources ni l’expertise ICS nécessaires pour bien maîtriser les besoins et les contraintes spécifiques en jeu.
  • Elles font donc appel à des ressources IT/OT hybrides ou, plus souvent, externalisent le travail à une entreprise extérieure, telle que Rockwell Automation.

Si vous décidez de faire appel à un partenaire externe, choisissez-en un qui soit bien implanté dans le monde industriel. Pour savoir si tel est le cas, le temps de réponse proposé dans leur contrat de niveau de service (SLA) est un bon indicateur. Les fournisseurs IT classiques proposent des temps de réponse de l’ordre de plusieurs heures. Pour des producteurs de biens de grande consommation, toutefois, une interruption de plusieurs heures peut signifier des millions de dollars de perte. Le partenaire que vous choisissez doit donc proposer dans ses SLA des temps de réponse en minutes.

Cybersécurité ICS : l’objectif final

Patch management is one step on your way to getting a security operations center (SOC) up and running. An SOC can provide a holistic dashboard view of your , include a disaster recovery strategy and ensure optimal operation of your connected factory.

Additionally, there are solutions available today that are designed for end point protection or “whitelisting.”  While these solutions do not entirely eliminate the need for patching, they are an effective solution to protect and buy you time while formulating a patching strategy.

The truth is, there is no silver bullet to effective cybersecurity. That is what defense-in-depth is all about. But with more than the bottom line at risk (think food and employee safety), reaction and a little luck is no longer a viable approach. If you’re looking for a little help kicking off your program, or bringing it to the next level, nous sommes là pour vous aider.

La gestion des correctifs n’est qu’une étape vers la mise en place d’un centre de gestion de la sécurité opérationnelle (SOC, Security Operations Center) fonctionnel. Le SOC offre une vision globale de votre posture de sécurité, par l’intermédiaire de tableaux de bord, offre une stratégie de reprise après sinistre et garantit un fonctionnement optimal de votre usine connectée.

Il existe également, à l’heure actuelle, des solutions conçues pour la protection des terminaux ou la création de « listes blanches ».  Bien que ces solutions n’éliminent pas totalement la nécessité d’appliquer des correctifs, elles constituent une réponse de protection efficace et vous permettent de gagner du temps pendant que vous vous efforcez de définir votre stratégie de gestion des correctifs.

En réalité, il n’existe aucune solution universelle idéale en matière de cybersécurité. C’est là que le concept de « défense en profondeur » entre en jeu. Alors que les risques ne concernent plus uniquement le chiffre d’affaires des entreprises, mais aussi la sécurité alimentaire et celle des employés, il n’est tout simplement plus possible de s’en remettre à la chance et de se contenter de réagir. Si vous avez besoin d’aide pour démarrer votre programme ou le faire évoluer, nous sommes là pour vous aider.


Mark Cristiano
Mark Cristiano
Network and Security Services Business Development Manager, Rockwell Automation
Subscribe

Subscribe to Rockwell Automation and receive the latest news, thought leadership and information directly to your inbox.

Recommended For You