Alors que les industries dépendent de plus en plus de l’automatisation et de la connectivité, la cybersécurité industrielle se pose comme l’une des préoccupations majeures de notre époque. Les avancées technologiques offrent de nouvelles opportunités en matière d’efficacité et d’innovation, mais laissent également présager des vulnérabilités sans précédent. Dans ce contexte en constante évolution, les automates programmables industriels (API ou PLC) jouent un rôle clé. Ayant connu une transformation significative depuis leurs premiers jours où ils étaient composés de rouages mécaniques tels que des cames, des moteurs et des relais, ces dispositifs sont devenus les fondements essentiels de nos infrastructures industrielles. Avec les progrès technologiques, les mécanismes traditionnels ont été remplacés par de la logique programmable, marquant l'avènement de câbles de connexion entre les équipements et initiant le transport de protocoles de communication entre eux. Cependant, nous voyons que ces progrès technologiques engendrent de nouveaux défis pour les industriels tels que l’impact de nouvelles méthodes de production, de la connexion entre le réseau industriel et le système d’information de l’entreprise, la sécurité des données et des accès aux API ou encore la difficulté d’améliorer et de maintenir les applications. Les défis des systèmes industriels actuels Historiquement, la sécurité de ces systèmes a toujours été tournée vers une sureté de fonctionnement et de la sécurité physique. Le problème est bien là, aujourd’hui plusieurs facteurs convergent, exigeant une évolution des automates industriels : le changement de méthodologie de la production, la connexion du réseau d’entreprise au monde extérieur pour pouvoir communiquer, la diminution du personnel d’exploitation et l’externalisation des maintenances, qui diminue la présence physique sur les sites industriels. Ces évolutions ont également apporté leur lot de nouveaux défis : L’impact de nouvelles méthodes de production L’adoption de la méthode de production en “flux tendu” a engendré une nouvelle exigence : remonter des données, auparavant confinées au réseau des automates industriels, vers le système d’information de l’entreprise. Cela a rendu nécessaire de connecter deux réseaux distincts pour permettre un contrôle de la production « en temps réel ». En d’autres termes, les données provenant des machines sur la chaîne de production doivent désormais circuler librement vers le centre informatique de l’entreprise, permettant ainsi un suivi en temps réel de la production. L’impact de la connexion entre le réseau industriel et le système d’information de l’entreprise Le système d’information de l’entreprise étant par essence connecté à l’extérieur pour assurer la communication avec tout l’écosystème externe à l’entreprise (institutions, clients et fournisseurs), a par transitivité ouvert la possibilité d’un accès au réseau industriel jusque-là autonome (ou quasiment). La sécurité des systèmes industriels dès la conception Les systèmes industriels conçus à l’origine pour répondre à des besoins techniques (presque « physiques ») et dans un contexte de proximité avec l’outil de production, les aspects de sécurisation protocolaire des communications, la sécurisation des accès aux API et le chiffrement des données n’ont jamais été une préoccupation. En raison des coûts considérables liés aux investissements dans l’automatisation, les API sont généralement anciens car ils pérennisent un investissement important. De plus, une fois en place, ils ne peuvent souvent être remplacés ou améliorés sans un arrêt (coûteux) de production. Les API face à la menace des cyberattaques Les API en fonctionnement aujourd’hui ont finalement des capacités assez restreintes : leur mémoire est réduite, leur capacité de chiffrement est quasi inexistante, leur accès est simple et leur constitution historique adaptée au besoin de l’époque devient leur plus grande faiblesse. Accéder à l’automate est aisé, à ses registres l’est tout autant et les protections qui pourraient limiter ces accès sont souvent désactivées par les personnes en charge de la maintenance des équipements. Voici l’exemple de deux attaques qui ont atteint leur but: En décembre 2015, des installations de fournisseurs d’énergie ukrainiens ont été attaquées via un malware prenant le contrôle du SCADA (Supervisory Control And Data Acquisition). Cette attaque a conduit à une reprogrammation de certains automates qui, via les rupteurs des sites de production, ont interrompu le courant, entrainant en plein hiver des coupures d’électricité pendant 1 à 6 heures pour 230 000 personnes. Pour éviter tout déplacement physique du personnel sur le site en période de fêtes, les clés de programmation étaient activées et placées en position « programmation » sur les équipements. Grâce à cela, les attaquants ont pu reprogrammer les automates à distance. La seconde attaque est celle menée conjointement par les services d’État américain et israélien sur les centrales nucléaires iraniennes. L’opération « Olympic Games » avait pour but de modifier la vitesse de rotation des centrifugeuses d’uranium, de les faire entrer en résonnance et ainsi les détruire. On ne peut avoir de réelles certitudes mais la technologie et les moyens déployés laissent à penser que c’est une opération d’État. Même si les réseaux étaient théoriquement isolés du reste du monde, les postes contenant le logiciel de programmation des API ont fini par être infectés, permettant la reprogrammation de la vitesse des centrifugeuses et la tromperie du SCADA supposé les surveiller. Le support utilisé était de simples clés USB et un ver nommé « Stuxnet », qui exploitait les vulnérabilités des systèmes Windows pour exécuter automatiquement des opérations nuisibles lors de l’insertion de supports amovibles. Nos 3 recommandations pour renforcer votre sécurité L’exposition des API vers l’extérieur a considérablement augmenté sans que leur sécurité ne soit améliorée. Ce problème persistera tant que les constructeurs d’API ne délivreront pas des équipements pouvant embarquer un système d’authentification forte, du chiffrement, des protocoles sûrs et tant que les industriels eux-mêmes ne réinvestiront pas dans le remplacement de leurs API. Actuellement, la meilleure défense est d’avoir une sécurisation robuste du système d’information de l’entreprise : Une architecture « dans l’état de l’art » sur le réseau industriel ; Des audits réguliers ainsi que des procédures de continuité et de reprise d’activité « bulletproof », qui auront été testées et améliorées assidûment ; Identifier et former tous les intervenants à la gestion de crise. Il est donc impératif que nous considérions ces défis comme des opportunités d’innovation et de collaboration pour ouvrir la voie vers un avenir plus sûr dans le domaine de la cybersécurité industrielle. Les avancées technologiques futures combinées à une volonté partagée de résoudre ces problèmes, pourraient conduire à des solutions révolutionnaires.