Un processus de gestion des correctifs optimisé en production

Impossible de corriger ce que l’on ne connaît pas

L’idée d’un inventaire des actifs n’est pas nouvelle. Vous vous êtes peut-être même déjà essayé à cet exercice en interne, parfois avec une aide extérieure. Toutefois, effectuer un inventaire exhaustif n’est pas chose aisée et nombre d’entreprises tentent encore d’y parvenir, sans succès.

Il existe deux méthodes pour réaliser un inventaire et établir des bases solides pour votre programme de cybersécurité ICS. Et vous devez les appliquer toutes les deux.

• Les outils d’interrogation électronique analysent votre réseau et identifient automatiquement la majorité des actifs qui s’y trouvent.
• Le reste du travail s’effectue par identification manuelle, un processus qui exige qu’une personne réalise un inventaire physique exhaustif des infrastructures présentes.

L’approche la plus sûre consiste à adopter ces deux mesures sur l’ensemble de vos sites. Négligez un seul site et celui-ci sera la porte d’entrée des attaquants, même si tous les autres sites sont parfaitement protégés.

Définir une stratégie d’application des correctifs complète

Une fois l’inventaire réalisé, vous vous retrouvez face à une liste de milliers d’actifs à prendre en charge, un véritable casse-tête. Heureusement, tous ces actifs ne sont pas identiques. L’étape suivante consiste à effectuer une analyse de risque afin d’identifier les actifs haute priorité, auxquels un correctif doit être appliqué en premier, sur la base de leur criticité, de leur exposition, de leur ancienneté, du risque anticipé, etc. Certains actifs ne sont pas même présents sur le réseau  ; constituent-ils donc un risque réel ?

Il existe deux types de correctifs que vous devez prendre en charge :  

1. Les correctifs de système d’exploitation, courants dans le monde informatique, par exemple les correctifs Microsoft édités tous les mardis depuis plus de 15 ans. Pour appliquer ce type de correctifs, vous devez généralement planifier des temps d’arrêt en production, pour réduire au minimum les perturbations. Une collaboration proactive des équipes IT/OT peut s’avérer efficace dans la plupart des cas.
2. Pour les correctifs d’application, c’est une autre paire de manches. Il peut, en effet, exister des centaines d’applications, provenant de fournisseurs différents et nécessitant des correctifs particuliers. Il vous incombe alors de trouver chaque correctif approprié sur le site du fournisseur, de comprendre les vulnérabilités contre lesquelles il vous protège et de déterminer s’il est nécessaire ou non.

Étant donné que chaque application est configurée de façon différente, la mise en œuvre des correctifs au niveau de la couche d’application garantit une procédure de test standard homogène et délibérée. Une procédure appliquée dans un environnement de laboratoire, avant l’exécution sur le site de production, permet d’évaluer le risque d’arrêt involontaire de la production.

Une approche systématique en matière de gestion des correctifs

Il est fréquent que les entreprises de l’industrie agroalimentaire s’en remettent à la chance pour le succès de l’application de leurs correctifs. Il ne s’agit pas de mauvaise volonté, mais simplement d’un manque de ressources adéquates et d’expertise spécialisée pour mener cette tâche à bien. Les approches que j’observe aujourd’hui sur le terrain sont principalement réactives. Elles consistent à appliquer les correctifs haute priorité pour lesquels une notification a été reçue, si nécessaire en arrêtant la production, par exemple durant le week-end.

Le déroulement des opérations est généralement le suivant :

• Les équipes de production font appel aux équipes IT pour les aider dans l’application des correctifs OT
• Les équipes IT répondent présentes, mais ne possèdent ni les ressources ni l’expertise ICS nécessaires pour bien maîtriser les besoins et les contraintes spécifiques en jeu.
• Elles font donc appel à des ressources IT/OT hybrides ou, plus souvent, externalisent le travail à une entreprise extérieure, telle que Rockwell Automation.

Si vous décidez de faire appel à un partenaire externe, choisissez-en un qui soit bien implanté dans le monde industriel. Pour savoir si tel est le cas, le temps de réponse proposé dans leur contrat de niveau de service (SLA) est un bon indicateur. Les fournisseurs IT classiques proposent des temps de réponse de l’ordre de plusieurs heures. Pour des producteurs de biens de grande consommation, toutefois, une interruption de plusieurs heures peut signifier des millions de dollars de perte. Le partenaire que vous choisissez doit donc proposer dans ses SLA des temps de réponse en minutes.

Cybersécurité ICS : l’objectif final

Patch management is one step on your way to getting a security operations center (SOC) up and running. An SOC can provide a holistic dashboard view of your , include a disaster recovery strategy and ensure optimal operation of your connected factory.

Additionally, there are solutions available today that are designed for end point protection or “whitelisting.”  While these solutions do not entirely eliminate the need for patching, they are an effective solution to protect and buy you time while formulating a patching strategy.

The truth is, there is no silver bullet to effective cybersecurity. That is what defense-in-depth is all about. But with more than the bottom line at risk (think food and employee safety), reaction and a little luck is no longer a viable approach. If you’re looking for a little help kicking off your program, or bringing it to the next level, nous sommes là pour vous aider.

La gestion des correctifs n’est qu’une étape vers la mise en place d’un centre de gestion de la sécurité opérationnelle (SOC, Security Operations Center) fonctionnel. Le SOC offre une vision globale de votre posture de sécurité, par l’intermédiaire de tableaux de bord, offre une stratégie de reprise après sinistre et garantit un fonctionnement optimal de votre usine connectée.

Il existe également, à l’heure actuelle, des solutions conçues pour la protection des terminaux ou la création de « listes blanches ».  Bien que ces solutions n’éliminent pas totalement la nécessité d’appliquer des correctifs, elles constituent une réponse de protection efficace et vous permettent de gagner du temps pendant que vous vous efforcez de définir votre stratégie de gestion des correctifs.

En réalité, il n’existe aucune solution universelle idéale en matière de cybersécurité. C’est là que le concept de « défense en profondeur » entre en jeu. Alors que les risques ne concernent plus uniquement le chiffre d’affaires des entreprises, mais aussi la sécurité alimentaire et celle des employés, il n’est tout simplement plus possible de s’en remettre à la chance et de se contenter de réagir. Si vous avez besoin d’aide pour démarrer votre programme ou le faire évoluer, nous sommes là pour vous aider.