Cyber-convergence IT/OT

Tout ceci nécessite de faire converger les technologies de ces deux environnements. Cette convergence permet aux différentes technologies de s'intégrer et d'interagir efficacement en tant que système unique cohésif, avec pour bénéfice, une surveillance et un contrôle plus direct, associés à une analyse plus facile des données, ce qui permet aux entreprises d’être plus efficace, de réduire les erreurs et les coûts, d’améliorer les flux de travail (Workflows) et d’acquérir des avantages concurrentiels, mesurables et non négligeables.

Le passage à l’industrie 4.0 favorise lui aussi une interconnectivité sans précédent dans les environnements de production, entrainant une démultiplication des demandes d’accès Internet aux seins des SI industriels. Face à cette transformation numérique, les industriels sont régulièrement amenés à faire cohabiter leurs systèmes OT (Technologie Opérationnelle) avec leurs systèmes IT (Technologie de l'Information), ce qui engendre de gros chamboulements au niveau de la sécurité. La résultante de cette « mutation » impose aux industriels à revoir l’ensemble de leurs mesures en matière de cybersécurité, tant sur le plan sécurité que traçabilité (voir ce billet sur le sujet).

En fait, les industries modernes sont aux prises avec deux mondes bien différents :

• Un monde physique traditionnel, implémenté de machines, de dispositifs électromécaniques, de systèmes de fabrication et d'autres équipements industriels.
• Un monde numérique utilisant des serveurs, des réseaux et d'autres dispositifs utilisés pour exécuter des applications, traiter des données et même prendre des décisions critiques sans intervention humaine.

Les domaines de ces deux mondes restent quasi cloisonnés et ne partagent que très peu de données, il en est d’ailleurs de même pour leurs personnels dont les compétences sont nettement différentes. Maintenant, les progrès des technologies telles que l'internet des objets et l'analyse des mégadonnées permettent systématiquement au monde de l'information numérique de voir, de comprendre et d'influencer le monde physique opérationnel. Pour ces raisons, les industriels doivent faire converger leurs systèmes IT/OT, c’est-à-dire intégrer leurs réseaux IT, qui gèrent les données de production, avec leurs réseaux OT, qui eux gèrent principalement les données provenant de systèmes de surveillance et de contrôle de la production, telles que les historiques de températures et de pression des raffineries pétrolières par exemple.

Mais la convergence n'est pas une seule initiative car elles prennent souvent diverses orientations en fonction des besoins et des objectifs de l'organisation concernée. Il existe principalement trois grandes catégories de convergence IT/OT :

1. La convergence des processus couvre la convergence des flux de travail. Les départements IT et OT doivent réformer leurs processus pour s'accommoder les uns des autres et s'assurer que des projets importants sont diffusés. Il s'agit d'une convergence organisationnelle qui traite de la structure de l'activité interne.
2. La convergence des logiciels et des données consiste à faire fonctionner les logiciels et les données du front office pour répondre aux besoins en matière d'OT. Il s'agit d'une convergence technique impliquant l'architecture de réseau de l'entreprise.
3. La convergence physique comprend la convergence ou l'adaptation des dispositifs physiques avec du matériel plus récent pour tenir compte de l'ajout d'IT aux technologies de l'information traditionnelles. Il s'agit d'une convergence opérationnelle, où le matériel lui-même est mis à jour et maintenu dans le temps.

Mais malheureusement, la technologie opérationnelle (OT) n’a jamais été une technologie dite « en réseau » et n’est que très rarement interconnectée avec d’autres réseaux, ni même avec Internet. De plus, elle utilise des protocoles propriétaires relativement fermés et nombre de ses dispositifs de surveillance ou de réglage n’ont jamais été informatisés. Il n’est donc pas évident de fournir le niveau de sécurité adéquat pour la communication réseau et les données OT. C’est pourquoi les organisations industrielles qui conduisent la convergence vers l’IT doivent éduquer et former leurs personnels pour comprendre et mettre en œuvre une sécurité adéquate. Mais lorsqu'elle est correctement mise en œuvre, cette convergence IT/OT permet à différentes technologies d'intégrer, d'interagir et de fusionner efficacement les processus commerciaux et les contrôles en un environnement uniforme unique qui nécessite une évaluation minutieuse de la résilience et des facteurs de sécurité.

Décalages et divergences 

La convergence des technologies de l’information et opérationnelle amène de nouvelles parties prenantes dans l'environnement de sécurité, ce qui peut poser de véritables problèmes car elle résulte, lors de sa mise en œuvre, en un méli-mélo de technologies, d'équipes et de processus. Les équipes et les processus de sécurité informatique (IT) doivent intégrer les diverses exigences en temps réel des environnements industriels, telles que l’arrêt d’un réseau intelligent pendant quelques heures pour appliquer des correctifs par exemple (alors qu’il doit être opérationnel 24 heures sur 24, 7 jours sur 7). Et bien souvent, pour ne pas perturber leurs productions, les organisations équipées de dispositifs OT ignorent les vulnérabilités potentielles en matière de sécurité juste parce qu'elles n'ont pas les moyens de financer le coût des temps d'arrêt nécessaires pour remédier aux risques cyber.

Sur ce, viennent aussi se greffer diverses contraintes. On sait que les systèmes IT durent rarement plus de cinq ans alors que les systèmes OT, tels que des machines de fabrication, peuvent avoir des cycles de vie qui se mesurent en décennies. De plus, ils ne sont pas conçus pour se connecter à Internet, ce qui revient à dire que sécuriser et configurer des dispositifs OT à distance devient plutôt compliqué et conduit implicitement à des vulnérabilités en matière de sécurité. Ceci créé un nouveau défi pour le secteur industriel : « L’accès à distance à l’environnement OT ».

Comment sécuriser l’accès distant à un environnement OT ouvert ?

Dans un contexte industriel convergé, protéger des cybermenaces l'ensemble des entrées externes qui conduisent aux environnements IT/OT est un pan indispensable et essentiel dans la cybersécurité des systèmes industriels. La cybermenace est l’affaire de tous et le département OT doit prendre conscience que son homologue IT ne doit pas être le seul à arbitrer sur le cyber-terrain de l’organisation. Il doit discuter avec lui et apprendre à ses côtés, les règles du jeu s’il veut éviter un arrêt partiel ou total de sa production en cas de cyberattaque. Même s’il maitrise l’opérationnel de son environnement, il doit en assurer la gestion et la sécurité. Et pourtant, à défaut de me répéter, l’interconnectivité des environnements génère une accélération des risques aux seins des SI industriels, et il y a différentes raisons à ça :

• Déjà pour les besoins d’accès aux applications qui se font de plus en plus à distance et par tout type de populations, infogéreurs, fournisseurs (à partir de postes non maitrisés par la DSI) et aussi pour les internes dans des contextes de télétravail ou d’astreintes... On a donc une démultiplication des accès distants
• Parce que les données industrielles sont pour certaines stockées dans le Cloud
• Pour la maintenance et la supervision des équipements de production à distance
• Par rapport :
  • Aux interconnexions entre les environnements IT et OT
  • Aux nouveaux besoins de transfert de fichiers.

La conséquence de ces démultiplications d’accès élargie la surface d’attaque des différents systèmes stratégiques des industries, et les exposent de plus en plus aux cybermenaces. Les accès venant de l'extérieur de l'organisation industrielle doivent donc faire l'objet d'un contrôle strict, basé sur la notion de non-confiance. On parle ici de « zero-trust » ou plutôt de modèle « ZTNA » (Zero Trust Network Access) ou par défaut, on ne fait pas confiance à l'identité qui se connecte. La protection des entrées sur les SI industriels doit s'appuyer sur des solutions basées sur un modèle ZTNA, qui doivent disposer obligatoirement de ce minimum requit (surtout pour des accès avec des postes non-maitrisés par la DSI) :

1. Offrit un tunnel d'accès sécurisé et crypté
2. Valider l'identité qui se connecte
3. Renforcer l'authentification
4. Vérifier le contexte de connexion

On comprend donc aisément qu'une solution de type VPN atteint très rapidement, voire jamais ses exigences minimales. En plus, d'autres éléments de sécurité peuvent venir se greffer à ce sous ensemble ZTNA, tels que le contrôle dynamique et continu de l’utilisateur, basé sur son contexte et son comportement, la gestion de ports dynamiques, volatiles et aléatoires sur le poste d'accès, les technologies d'isolation pour n'afficher que des images et ne laisser passer que le trafic clavier/souris, garantissant une rupture protocolaire, la gestion des flux sortant sans ouverture de port pour éviter que les applications ne soient exposées sur le réseau, la réécriture d’url, etc...

Il existe fort heureusement des solutions basées sur un modèle ZTNA pour sécuriser les accès des identités à tout type d'environnement, industriel et autres. L'éditeur Systancia en est un exemple au travers de sa plateforme européenne Zero Trust en mode SaaS « cyberelements.io ». Elle unifie le provisionnement des identités et des accès pour garantir une connexion contrôlée et sécurisée à l'organisation concernée en y associant le meilleur ROI du marché. Les cas d'usages couverts par ce type de plateforme dans le domaine industriel sont multiples et variés (liste non exhaustive bien évidement) :

• Gestion de l’administration des systèmes et des équipements IT & OT, que ce soit en local ou à distante
• Gestion de l’accès aux environnements IT & OT dans des contextes soumis à la LPM (Loi de Programmation Militaire) pour des industriels du traitement ou de la gestion de l’eau et des déchets, en exploitant la fonction multi-tenants de la plateforme
• Cloisonnement des flux métiers et des flux IT-OT dans le domaine médical (Télémédecine et imagerie)
• Gestion de la télémaintenance des infrastructures logicielles et industrielles des entrepôts clients pour des exploitants d’infrastructures d’entrepôts
• Etc...

La réalité va-t-elle surclasser la raison ?

Mais malheureusement, nombre d’industriels sont encore trop naïfs face aux cybermenaces et pourtant, la hausse des connexions, entre machines et systèmes informatiques dans des organisations mal sécurisées fragilise la sécurité des systèmes industriels et les expose aux potentielles attaques des cyberpirates. Et comme les équipes informatiques ne collaborent que très peu avec celles de production industrielle, elles ne peuvent développer une stratégie cyber conjointement pour protéger efficacement leurs systèmes :

• Le département IT se focus sur la sécurisation de son système d’information, face aux attaques externes
• Le département OT lui n’a de préoccupation que pour l’amélioration de sa production.

Ce manque de communication ralenti le passage à l’industrie 4.0, il faut impérativement que ces deux entités collaborent pour faciliter la transition vers l’industrie du futur, car si nul n’est prophète, ou plutôt de naissance matador en son pays, prendre un taureau par les cornes sans même avoir la maitrise de l’animal, c'est élever à la puissance « X » le facteur de risques (Allô ! Maman, Bobo). Après, il ne faut pas trop noircir le tableau, car aujourd'hui, certains leaders technologiques envisagent une convergence imminente de l'intelligence humaine et de l'IA qui pourrait signifier une cinquième révolution industrielle, surnommée « l'ère cognitive » (voir ce document très intéressant sur le site Les échos).

Voir également sur le site « techtarget.com » cet article complet  sur la convergence IT/OT.