Les spécificités des systèmes industriels

Un système d’information industriel, ou ICS (Industrial Control System), désigne un système d’information auquel s’ajoutent des moyens informatisés et automatisés assurant le contrôle et le pilotage de procédés industriels.

Ces systèmes industriels se distinguent des systèmes d’information classiques par le fait qu’ils pilotent des installations physiques (unités et chaînes de production, unités de distribution d’eau, d’énergie, infrastructures de transport…). Pour les différencier, on parle souvent de « technologies de l’information » ou IT (Information Technology) et de « technologies d’exploitation » ou OT (Operational Technology). Un système IT est destiné au traitement et au stockage de l’information. Un système OT interagit avec un système physique, via des capteurs et des actionneurs.

Il a notamment écrit un livre sur le sujet et a cofondé la start-up Aphelio (incubée par l’UGA), qui a pour objectif de proposer des systèmes de sécurisation pour les systèmes industriels accessibles aux non-spécialistes.

Pendant longtemps, le risque de cyberattaque n’était pas un sujet car les installations industrielles étaient peu connectées aux réseaux de l’entreprise ou à internet. Les systèmes de contrôle industriels semblaient donc protégés.

« L’évolution de la technologie, des usages et des besoins a conduit à relier ces systèmes aux autres réseaux, pour le transfert de données de production vers les systèmes informatiques par exemple, ou encore la maintenance à distance ou les mises à jour depuis le site d’un constructeur, remarque Jean-Marie Flaus. Penser qu’il est possible d’isoler les systèmes industriels n’est pas réaliste. »

Problème, la plupart des technologies et protocoles ont été conçus à une époque où les cyberattaques n’existaient pas (ou peu). Et comme la durée de vie des installations est beaucoup plus importante pour les ICS que les systèmes informatiques classiques, les matériels sont peu renouvelés et donc peu sécurisés et très vulnérables. Par ailleurs, la priorité du monde industriel étant la disponibilité des équipements pour produire, les mises à jour des logiciels, systèmes d’exploitation, etc. ne sont pas réalisées régulièrement, par peur des dysfonctionnements.

Autre spécificité, les équipes tournent et se partagent donc souvent les postes. En outre, la gestion de l’authentification et des droits d’accès est souvent difficile et les mots de passe par défaut ne sont pas toujours changés. « Bien souvent, même si les acteurs des ICS ont une bonne culture du risque industriel et sont sensibilisés aux risques informatiques pour la partie IT, leur perception de ces risques pour la partie OT est limitée, même si elle est en voie d’amélioration », souligne Jean-Marie Flaus.

ou au versement de compensations aux victimes potentielles, ainsi qu’une atteinte à l’image de l’entreprise.

« Il est important de noter que dans le cas des ICS, il existe encore de nombreux dispositifs pour lesquels l’identification n’est pas nécessaire, et une part importante des protocoles utilisés, de conception ancienne, n’est pas sécurisée. Si un attaquant réussi à accéder au réseau industriel, il peut relativement facilement écouter et modifier les échanges », prévient Jean-Marie Flaus.

À l’heure où les frontières s’estompent entre l’IT et l’OT, une tendance qui s’est accélérée avec la généralisation du télétravail due au Covid-19, de nouveaux défis stratégiques, technologiques et organisationnels apparaissent pour les groupes industriels. Les opportunités en termes de réduction de coûts et d’optimisation des sites ne doivent pas faire oublier les vulnérabilités qu’apporte cette convergence.

L’ouverture des systèmes industriels augmente la surface d’exposition des systèmes à des menaces plus diversifiées. En témoigne le nombre important d’industries victimes de ransomwares ces dernières années.

La collaboration entre les équipes IT et OT est essentielle. Elles doivent apprendre à se parler et trouver un équilibre entre la protection du système et l’impératif de production. Le principal défi est certainement d’ordre humain : les équipes informatiques et opérationnelles doivent apprendre à se comprendre et s’adapter à leurs contraintes respectives.