Les désaccords sur la supervision technique entre les équipes IT et OT ne sont pas rares. Ceci est en partie dû aux différences entre les objectifs critiques et les approches existantes pour ces deux domaines techniques. Pourtant, il ne fait nul doute aujourd’hui que pour le secteur industriel, la clé de la cybersécurité réside dans la convergence des deux disciplines. Matthieu Jouzel, Solutions Engineer chez BeyondTrust, nous livre son analyse.
1. L’émergence de l’IIoT
L’OT est parfois appelé la partie « sans moquette » de l’exploitation d’une entreprise. Ces environnements abritent généralement des systèmes de contrôle industriels (ICS) qui contrôlent une grande variété de fonctions, telles que les unités d’automatisation robotisées dans les ateliers de fabrication, les contrôles de température sur le cœur nucléaire d’une centrale électrique, ou encore la gestion des vannes pour le système de contrôle des eaux usées d’une ville.
De plus en plus, bon nombre de ces fonctions sont liées entre elles à l’aide de l’industriel/Internet des objets (IIoT) pour la surveillance et le contrôle. Ces types de systèmes ont été construits et conçus pour fonctionner dans des environnements protégés. Au début, une connexion internet n’était pas nécessaire et le Legacy OT était presque universellement déployé en tant que système fermé qui empêchait les attaquants d’entrer.
A lire aussi : IoT : la confiance, clé de voute pour donner du sens à une économie connectée
2. Le besoin de « Disponibilité »
Un autre moteur essentiel pour l’OT est l’accent mis sur la partie « A » de la triade CIA (confidentialité, intégrité, disponibilité / availability). Dans un système fermé, la confidentialité et l’intégrité sont plus faciles à maintenir, laissant la disponibilité au premier plan. Si l’entreprise dépend du fonctionnement de la chaîne de montage ou de la plate-forme de forage, la disponibilité passe au premier plan sur la liste des priorités. Cela entraîne des compromis qui peuvent sembler étranges à ceux qui sont nés et ont grandi du côté IT.
Par exemple, dans l’IT classique, la gestion des correctifs est un processus constant. La plupart des appareils des utilisateurs finaux sont configurés pour mettre à jour automatiquement les systèmes d’exploitation et les applications dès que le fabricant publie un correctif. Alors que dans l’OT, anciennement fermé et privilégiant la disponibilité, le patching n’est quasiment jamais automatique. Au lieu de cela, les correctifs sont testés et retestés pour s’assurer que, lorsqu’ils seront appliqués, il n’y aura absolument aucune interruption de service. Parfois, les correctifs ne sont pas appliqués s’ils sont jugés perturbateurs pour les opérations. De plus, certains fabricants d’ICS avertissent que l’application de correctifs ou la mise à niveau du système d’exploitation annulera la garantie de l’appareil. Pour les appareils dans des secteurs hautement réglementés, comme les soins de santé, la mise à niveau ou la correction d’un système d’exploitation obsolète peut entraîner la perte de la certification de l’appareil en tant qu’appareil de santé approuvé.
IT vs OT : la source du conflit
On comprend donc déjà mieux pourquoi les responsables IT et OT peuvent percevoir différemment la gouvernance de leurs domaines. L’IT, le réseau « front office », s’est implanté à peu près en même temps que la croissance des usages d’Internet. Ce qui signifie qu’en IT, nous avons passé des décennies à concevoir pour un monde hyper connecté. Cet état d’esprit est en contradiction directe avec le système universellement fermé de l’OT traditionnel.
Les bénéfices de la convergence IT/OT
Les réseaux OT d’aujourd’hui ne sont plus des îlots protégés de l’extérieur. Même les systèmes OT très sensibles sont désormais ouverts à l’administration et à l’accès à distance. Il existe même un site Web, Shodan, qui présente les appareils connectés à Internet, dont beaucoup sont ICS et IIoT. De fait, aujourd’hui, les équipes IT peuvent fournir une multitude de supports et d’outils aux responsables OT pour les aider à protéger les systèmes de contrôle connectés.
Le patching est un autre domaine où les équipes IT et OT peuvent s’entraider. Bien que l’IT moderne essaie d’appliquer les correctifs le plus rapidement possible, il reste des systèmes qui ne peuvent pas être corrigés ou mis à jour. Les contrôles IT classiques tels que la segmentation, le contrôle d’accès strict et la surveillance accrue enveloppent les systèmes existants d’une protection lorsqu’ils ne peuvent pas être corrigés. Des approches similaires peuvent être déployées dans OT pour réduire la surface d’attaque des applications non corrigées et des systèmes d’exploitation EOL (fin de vie).
L’impact de la convergence IT/OT : une meilleure approche ensemble
Bien que l’IT et l’OT aient évolué de manière différente, leur convergence peut profiter aux deux parties. Les équipes OT excellent dans le maintien de la disponibilité et comprennent comment appliquer des contrôles et des équilibres de sécurité rigoureux dans des systèmes où une défaillance peut entraîner des impacts existentiels. Le domaine de l’IT a passé des années à défendre les systèmes connectés contre les attaquants et peut aider ses homologues OT à intégrer des approches de sécurité IT modernes sans sacrifier la disponibilité ou la fiabilité des systèmes critiques.
Il convient aux RSSI IT et OT de se poser cette simple question : « En tant que RSSI, quel est le risque le plus important pour votre entreprise ? » Quel que soit le domaine d’action, IT ou OT, une seule et même réponse émerge : « une violation d’incident qui mette l’entreprise en faillite ou ait un impact important sur les bénéfices ». Autrement dit, tous les RSSI veulent la même chose : assurer la sécurité des entreprises et de leurs clients. Et dans le monde de l’IT/OT convergé, la meilleure façon d’y parvenir, c’est ensemble.