Cybersécurité industrielle : l’autre enjeu de l’industrie 4.0

Industrie 4.0 : la transformation numérique s’accélère ; les attaques aussi

Précipitée par le contexte lié à la pandémie de covid 19, la transformation numérique est un phénomène actuel qui s’est développé au cours des dernières années. Et, parmi tous les secteurs d’activité, un d’entre eux a particulièrement été touché par cette transformation, il s’agit là du secteur de l’industrie. De cette transformation numérique industrielle est né un terme bien précis : l’industrie 4.0.

Ce terme désigne une nouvelle vision du secteur industriel, proposant des usines plus connectées, utilisant des objets intelligents et misant sur l’échange de données pour développer leur activité. Robots, domotique, cloud, solutions de stockage numérique, de nombreux constituants de cette industrie 4.0 se sont déjà implantés dans le paysage industriel actuel. C’est pourquoi ce terme ne désigne pas un futur proche, mais une réalité bien ancrée.

Et même si cela représente une avancée de taille pour le secteur, il ne faut pas pour autant penser que les menaces informatiques ont disparu. Car si les usines deviennent de plus en plus interconnectées et que ces dernières font appel à des outils numériques et technologiques, elles créent aussi, paradoxalement, davantage de portes d’entrée pour les hackers. Et ces derniers ne se priveront pas pour les exploiter ! C’est pour cela qu’en parallèle de ce développement industriel et technologique, il est primordial de construire une stratégie de cybersécurité efficace, concrète et évolutive, pour se prémunir de l’ensemble des menaces existantes et à venir.

Passé du 8ème secteur le plus touché par les cyberattaques en 2019 au 2ème en 2021, le monde industriel est devenu une cible prioritaire des pirates informatiques. Ces derniers semblent être naturellement attirés par cette activité pour de nombreuses raisons. Représentant 12,4 % du PIB français, ce secteur doit donc être protégé au maximum et assurer la pérennité de son activité.

De l’IT à l’OT : des risques à ne pas sous-estimer

Remplis de spécificités précises, les systèmes industriels sont encore victimes de nombreux mythes et idées reçues persistantes à leur sujet, notamment en matière de cybersécurité. Penser que les réseaux industriels ne sont pas menacés car ils sont isolés, qu’utiliser des bases de données propriétaires éloigne des attaques, qu’un SSI (Sécurité des Systèmes d’Informations) coûte trop cher et qu’il empêche de travailler correctement ou encore que l’intégration de solutions de protection soit trop chronophage sont des clichés qui, en plus d’être erronés, vous rendent vulnérables face aux cybercriminels.

Car oui, l’industrie est aussi concernée par les attaques informatiques et la cybersécurité. Elle fait même, comme nous l’expliquions précédemment, partie des secteurs les plus concernés par le sujet. Avec l’avènement de ce qui est appelée l’industrie 4.0, les équipements deviennent de plus en plus connectés entre eux et dépendant de réseaux divers. Ce qui les rend, par nature, encore plus exposés aux risques informatiques et surtout encore plus attirants pour les cybercriminels.

Cela peut donc permettre à des hackers chevronnés d’utiliser vos différents réseaux IT pour remonter et infecter les outils et objets connectés (l’IOT) utilisés dans votre activité. Capteurs intelligents ou encore robots pour ne citer qu’eux, ces derniers ne sont donc plus protégés des menaces informatiques.

Cette problématique devient donc plus actuelle que jamais et pousse les dirigeants industriels à prendre les précautions nécessaires. Aujourd’hui, 69 % des dirigeants du secteur manufacturier affirment qu’ils doivent composer avec des défis liés à la cybersécurité lors de la mise en œuvre de leurs stratégies (selon le baromètre CGI). Ce qui affirme donc une prise de conscience globale et une volonté de protection plus accrue. Parce que l’industrie est un secteur majeur de notre société et pérenne, il est primordial de lui offrir une sécurité informatique hautement développée et de le préserver des attaques existantes.

Avec l’évolution permanente des attaques informatiques, et la volonté toujours plus poussée des hackers d’obtenir des retours sur investissements élevés, tout le monde peut être visé. Et ça, les acteurs du monde industriel l’ont bien compris.

Des dommages à une échelle… industrielle

Peu importe le secteur d’activité, être victime d’une cyberattaque est un événement marqué d’un point noir pour une structure. Entre les nombreuses conséquences et les impacts sur l’activité et la productivité d’une organisation, les attaques informatiques laissent des traces sur le long terme. Dans une époque où la digitalisation est omniprésente, où des millions de données sont échangées en permanence et où l’email s’impose comme le canal de communication favori des professionnels, les menaces sont nombreuses et plus répandues qu’on pourrait le penser.

En effet, même les sites industriels sont victimes d’attaques, et cela n’en est pas moins dangereux que pour un établissement financier. Bien au contraire, on peut recenser de nombreuses cyberattaques marquantes dans le secteur de l’industrie comme l’attaque Not Petya en 2017 contre l’enseigne Saint-Gobain qui a eu un impact de 250 millions d’euros sur les ventes du groupe et de 80 millions d’euros sur leur résultat d’exploitation, ou encore, la même année, l’attaque Triton contre Schneider Electric qui a affecté le système de contrôle-commande d’une de leurs usines en Arabie Saoudite, ce qui était à l’époque une première mondiale. Et ce ne sont là que deux exemples parmi tant d’autres !

Entre coûts d’exploitation, destruction de matériel informatique, fuites de données privées, ralentissement de l’activité, paralysie d’usine ou encore impact du cours en bourse, une attaque informatique dirigée vers un site industriel peut s’avérer dramatique pour une entreprise, et ce, peu importe la taille de cette dernière.

Vous souhaitez en savoir plus sur les conséquences et les coûts des cyberattaques ? Découvrez notre infographie sur le sujet.

Cybersécurité industrielle : des standards et des bonnes pratiques

Quand on parle de cybersécurité dans le monde de l’industrie, il n’existe pas une liste de réglementations, ni de lois appliquées permettant de garantir la sécurité des acteurs du milieu. Malgré une faible proposition de texte, il existe un standard qui fait office de phare pour toutes les usines : les normes IEC 62443. Proposant une réelle stratégie de cyberdéfense, cette norme englobe la sécurité industrielle, la sécurité des systèmes d’informations, la cybersécurité des installations, mais aussi la sécurité fonctionnelle des structures du secteur industriel afin de garantir une protection et un accompagnement dans la gestion des cyber risques. Pour résumer, elle s’assure de tous les cercles de sécurité digitaux ou non pour le monde de l’industrie.

Véritable référence, IEC 62443 est considérée comme la norme la plus complète du marché et la plus adaptée aux différents environnements industriels.

Mais en ajout à cette norme, il ne faut pas oublier de prendre en compte un facteur clé quand on parle de sécurité informatique : l’humain.

Car oui, dans le monde industriel aussi, les équipes ont besoin de formation en cybersécurité. Entre les outils numériques mis à leur disposition et les attaques informatiques les ciblant directement, il est nécessaire de leur donner toutes les clefs pour mieux comprendre l’environnement digital dans lequel ils évoluent et de leur donner les armes pour lutter contre les menaces existantes. Il ne faut pas laisser l’humain devenir le maillon faible de la cybersécurité industrielle.

Pour cela, Mailinblack a développé sa solution Cyber Coach qui vous permet de simuler des attaques de phishing et de ransomware en interne, d’en analyser les résultats, et de sensibiliser vos collaborateurs à la cybersécurité en conséquence. Faisant ainsi de vos équipes, des collaborateurs prêts à détecter des attaques informatiques et actifs dans vos démarches de protection.

Vous souhaitez en savoir plus sur la simulation d’attaque et sur Cyber Coach ?