Convergence réseau informatique et technologie opérationnelle : un risque pour l’entreprise ?

Paris, France - May 23, 2018
-

À l’occasion d’une enquête menée par Forrester Consulting et commanditée par Fortinet en janvier 2018, 429 décideurs, représentatifs d’un large panel de secteurs d’activités et responsables de la sécurité des infrastructures critiques de leur entreprise, des éléments de propriété intellectuelle, de l’Internet des Objets et des environnements SCADA, ont été interrogés sur cette convergence entre IT et OT, ainsi que sur les défis de sécurité qui en résultent.

Cette étude révèle que la quasi-totalité des entreprises ont déjà initié les premières étapes de cette convergence. Cependant, si cette convergence est d’actualité, elle induit des problématiques d’intégration et de sécurité pour des entreprises qui ne sont pas forcément outillées pour les gérer. Les équipes informatiques se contentent trop souvent de déployer des technologies de sécurité standards sur le réseau. Néanmoins, face à la diversité des réseaux, ce qui est parfaitement adapté à un environnement cible peut se révéler totalement inefficace pour un autre. A titre d’exemple, une erreur qui ouvre un port sur un commutateur n’aura pas les mêmes conséquences que si elle aboutit à l’ouverture d’une valve.

La sécurité des systèmes industriels relève souvent du défi
Pour tirer le meilleur parti de l’ère du digital, les entreprises recueillent et traitent des données, mais elles doivent, avant toute chose, utiliser ces données pour doper leur rentabilité. Cet objectif peut être tenu en offrant aux clients des données pertinentes et à la demande. Au-delà, il s’agit également de tirer parti de données en temps-réel pour améliorer les processus de fabrication et de gestion de stocks, ou encore assurer l’agilité de l’outil de production pour qu’il s’adapte aux variations de la demande. Voilà qui implique de nouer un lien entre les technologiques industrielles opérationnelles (OT pour Operational Technology), jusqu’à présent cloisonnées, avec l’informatique.

Les entreprises sont conscientes que les équipes IT et OT ne parlent pas forcément la même langue lorsqu’il s’agit de sécurité. Un système de contrôle industriel ou SCADA, par exemple, est susceptible d’utiliser du matériel obsolète, datant de 10 ans et plus. En effet, ces systèmes sont souvent affectés à une tâche unique, comme surveiller un thermostat pour activer un interrupteur lorsqu’une température prédéfinie est atteinte. Aucune technologie dernier cri n’est requise pour cette opération, et si le système fonctionne comme attendu, nul besoin de le remplacer. Cependant, nombre de ces systèmes utilisent des logiciels et modules spécifiques et propriétaires : ainsi, une simple analyse antimalware peut perturber leur fonctionnement.

Notons également qu’un remplacement de technologie n’est pas aussi simple qu’il n’y paraît. La mise à l’arrêt d’une ligne de production peut se révéler particulièrement onéreuse. Dans le cas d’un four à forge, la nécessité de refroidir le système avant de procéder aux changements, puis à la remise en route, peut imposer un arrêt de plusieurs semaines. Et bien sûr, Il s’agit d’envisager le cas d’une mise à l’arrêt d’un système si ce dernier ne fonctionne pas comme attendu suite à sa mise à niveau.

Mais parallèlement, il y a un réel intérêt à relier ces systèmes industriels au réseau d’entreprise. Ainsi, le monitoring à distance d’un système de contrôle est un vecteur de maîtrise des coûts et de gain de temps, tandis que la réaffectation des ressources sur la base de données temps réel est un vrai avantage concurrentiel pour les entreprises. Pour cela, il s’agit de connecter les systèmes industriels aux environnements IT ouverts, mais avec pour conséquence d’exposer les environnements industriels à de nouvelles formes de cyberattaques qu’il s’agit de détecter et de neutraliser.

La majorité des entreprises ont subi des attaques sur leurs systèmes SCADA/ICS
88% des entreprises interrogées ont subi un incident de sécurité affectant leurs systèmes industriels, et la moitié d’entre eux se sont produits l’an dernier. Ces incidents ont eu un lourd impact sur plus de 90% de ces organisations, et notamment sur leur capacité à assurer leur conformité réglementaire ou à disposer de l’ensemble des fonctionnalités nécessaires à leur activité. 63% des personnes interrogées déclarent qu’un incident de sécurité a affecté la sécurité de leurs collaborateurs.

Cette problématique est d’autant plus critique que 56% des organisations externalisent tout ou partie de leur infrastructure et de leur sécurité ICS/SCADA, octroyant ainsi à des tiers des droits d’accès complets. Ainsi, la majorité des entreprises reconnaît l’importance de sécuriser les ressources industrielles et a déjà pris des mesures de protection dédiées. Au-delà, plus des trois-quarts des personnes interrogées comptent renforcer la sécurité de leurs environnements industriels au cours de l’année à venir.

Sécurité des environnements industriels : ce que font les entreprises
97% des entreprises qui font converger IT et OT souhaitent déployer des solutions dédiées à l’évaluation des risques ou à la mise en œuvre de normes communes. Si cette première étape est pertinente, les entreprises ne disposent pas toujours en interne de l’expertise nécessaire à une évaluation précise des besoins et à la mise en œuvre d’une solution de sécurité pertinente.

Par ailleurs, alors que la plupart des entreprises reconnaissent l’importance de la sécurité ICS/SCADA et ont déjà entrepris de nombreuses mesures pour sécuriser ces systèmes, ils prévoient également d’augmenter les dépenses en sécurité ICS/SCADA de 77%, ce qui est plus élevé que n’importe quel élément de leurs réseaux OT et IT.

Dans ce cas, vers qui se tourner pour s’assurer de tenir ses objectifs métiers sans pour autant mettre en péril les environnements industriels ?

Pour retenir un fournisseur de sécurité pour les environnements industriels, certains critères s’imposent parmi lesquels le respect des normes de conformité, la fourniture de solutions de bout en bout et une bonne réputation en matière de fiabilité. Les entreprises explorent un large panel de solutions auprès d’éditeurs, d’intégrateurs systèmes et de constructeurs différents, spécialisés dans la sécurité.

Fortinet en tant que partenaire de sécurité privilégié
Le choix de Fortinet en tant que fournisseur de solutions et de services de sécurité est particulièrement pertinent. En effet, la tendance chez les entreprises est de consolider leur investissement en sécurité auprès d’un seul fournisseur, une alternative au déploiement d’un panel hétérogène de solutions qui rend les opérations de sécurité plus complexes. Les entreprises sont avant tout préoccupées par les virus (77%), les hackers opérant depuis l’intérieur de l’entreprise (73%) ou de l’extérieur (70%), les fuites de données (72%) et l’absence d’authentification des dispositifs (67%). Pour maîtriser ces risques, elles recherchent un partenaire qui propose une large gamme de solutions fournies dans le cadre d’une stratégie intégrée et unifiée.

La Security Fabric de Fortinet et le programme partenaires Fabric-Ready permettent faire le lien entre les solutions de sécurité et les exigences de conformité. Les entreprises se focalisent ainsi sur les besoins les plus critiques de leurs environnements SCADA/ICS, ceux essentiels à la protection de leurs environnements OT.

L’engagement fort de Fortinet sur le terrain de la sécurité OT
Fortinet compte parmi les rares acteurs à proposer une sécurité adaptée aux environnements OT et des infrastructures critiques associées. Voici également quelques éléments qui vous renseigneront davantage sur les stratégies et solutions de sécurité OT de Fortinet :

  • Les pare-feux, commutateurs et points d’accès renforcés de Fortinet, et la veille sur les menaces fournie par le service FortiGuard, déploient une cybersécurité intégrée à l’intention des systèmes de contrôle industriels et SCADA, que ces systèmes soient déployés sur le terrain ou en environnement non contrôlé au sein d’une infrastructure OT d’entreprise. Pour en savoir davantage sur les appliances de sécurité de Fortinet adaptés aux environnements industriels.
  • L’offre Industrial Security Services (ISS) de FortiGuard sécurise les équipements et applications ICS et SCADA les plus communs, en offrant une protection contre les vulnérabilités, une visibilité détaillée et un contrôle granulaire sur ces systèmes industriels. FortiGuard ISS vient ainsi au renfort des appliances de sécurité Fortinet qui ont été renforcées pour pouvoir opérer au sein d’environnements hostiles. Pour en savoir davantage sur la solution ISS de Fortinet.
  • Nombre de systèmes OT actuels utilisent les réseaux corporate, tirent parti des protocoles internet classiques, fonctionnent à l’aide de matériels et de systèmes d’exploitation standards et font toujours plus appel aux réseaux sans fil. Ces systèmes deviennent ainsi naturellement des cibles pour les cybercriminels qui veulent détourner des données, pirater des systèmes propriétaires de traitement, ou, tout simplement, causer des dommages. De son côté, Fortinet s’engage à sécuriser leurs réseaux OT contre des menaces toujours plus virulentes.

Pour aller plus loin

À propos de Fortinet ( www.fortinet.com/fr )

Fortinet (NASDAQ: FTNT) assure la sécurité des entreprises, fournisseurs de services et administrations parmi les plus grandes au monde. Fortinet apporte à ses clients une protection intelligente et transparente, véritable ligne de défense d’une surface d’attaque qui s’étend. Cette sécurité affiche des performances pérennes, adaptées à des réseaux décloisonnés. Seule l’architecture Security Fabric de Fortinet est capable de déployer une sécurité sans compromis pour relever les défis de sécurité les plus critiques au sein des environnements réseaux, applicatifs, cloud ou mobiles. Plus de 340 000 clients dans le monde font aujourd’hui confiance à Fortinet pour les protéger. Pour en savoir davantage http://www.fortinet.com, , le blog Fortinet ou FortiGuard Labs.

Copyright © 2018 Fortinet, Inc. All rights reserved. The symbols ® and ™ denote respectively federally registered trademarks and common law trademarks of Fortinet, Inc., its subsidiaries and affiliates. Fortinet's trademarks include, but are not limited to, the following: Fortinet, FortiGate, FortiGuard, FortiCare, FortiManager, FortiAnalyzer, FortiOS, FortiASIC, FortiMail, FortiClient, FortiSIEM, FortiSandbox, FortiWiFi, FortiAP, FortiSwitch, FortiWeb, FortiADC, FortiWAN, and FortiCloud. Other trademarks belong to their respective owners. Fortinet has not independently verified statements or certifications herein attributed to third parties and Fortinet does not independently endorse such statements. Notwithstanding anything to the contrary herein, nothing herein constitutes a warranty, guarantee, contract, binding specification or other binding commitment by Fortinet or any indication of intent related to a binding commitment, and performance and other specification information herein may be unique to certain environments. This news release may contain forward-looking statements that involve uncertainties and assumptions, such as statements regarding technology releases among others. Changes of circumstances, product release delays, or other risks as stated in our filings with the Securities and Exchange Commission, located at www.sec.gov, may cause results to differ materially from those expressed or implied in this press release. If the uncertainties materialize or the assumptions prove incorrect, results may differ materially from those expressed or implied by such forward-looking statements and assumptions. All statements other than statements of historical fact are statements that could be deemed forward-looking statements. Fortinet assumes no obligation to update any forward-looking statements, and expressly disclaims any obligation to update these forward-looking statements.