Adapter la sécurité OT aux réalités de l’industrie

La continuité et la confiance sont essentielles à la survie de ces secteurs de plus en plus sujets aux cybermenaces et pour lesquels les réglementations se complexifient.

Les opérateurs d’infrastructures critiques étatiques et locales sont confrontés à un système de pression en trois parties : les intrusions OT opportunistes qui exploitent l’accès à distance exposé, la pression de perturbation des ransomwares et le prépositionnement des États-nations qui vise la persistance et l’exploitation des crises. Ces trois éléments partagent une vérité commune : les attaquants tirent régulièrement profit des voies d’accès légitimes, ce qui rend les contrôles d’identité et la gouvernance des accès à distance si précieux.

Avec les normes IEC 62443 et NIS2, les entreprises qui exploitent, soutiennent ou fournissent des services critiques, doivent de plus en plus prouver le contrôle d’accès, la gouvernance et la responsabilité, et non plus simplement l’affirmer.

Frédéric Bothin, Enterprise Account Manager chez BeyondTrust partage ses recommandations et les leviers pour adapter la sécurité OT à l’industrie.

Adapter la sécurité OT aux réalités de l’industrie

Les leviers présentés ci-dessous réduisent les sources de perturbation les plus fréquentes, tout en tenant compte du caractère incontournable du télétravail, de la maintenance à distance et du recours à des prestataires externes.

1.    Remplacer les VPN par un accès sécurisé, limité aux connexions sortantes

Les VPN et les serveurs de rebond traditionnels étendent la portée du réseau bien au-delà de ce dont un technicien a besoin pour une tâche spécifique, et créent des voies durables difficiles à gérer entre fournisseurs et sites distribués. Éliminer ou réduire drastiquement la dépendance aux VPN permet de limiter la surface d’exposition et d’empêcher qu’une simple authentification compromise ne permette un accès réseau étendu.

En pratique : l’accès des fournisseurs dans les secteurs de l’énergie et des barrages doit être limité dans le temps et circonscrit aux actifs concernés ; dans l’eau et les eaux usées, le dépannage à distance doit être possible sans exposer les services via Internet ; pour les services d’urgence, l’accès lors d’incidents doit être rapide sans recours à des comptes partagés ni à une connectivité d’administration « toujours active ».

2.    Activer l’accès sécurisé aux réseaux OT segmentés et non routables

La segmentation est essentielle dans la sécurité OT (des technologies opérationnelles), mais elle rend le support inefficace avec les approches d’accès à distance traditionnelles. L’objectif est de traverser intentionnellement des architectures segmentées, sans aplatir les zones ni créer de routes permanentes que les attaquants pourraient exploiter.

Ceci est particulièrement pertinent lorsque les réseaux OT sont segmentés selon le modèle Purdue, que les systèmes sont non routables par conception, et que l’accès doit fonctionner pour les équipes internes comme pour les tiers critiques lors des pannes ou des incidents.

Frédéric Bothin, Enterprise Account Manager chez BeyondTrust

3.    Centraliser le contrôle et l’audit

Lorsque l’accès est dispersé entre plusieurs outils, la gouvernance devient incohérente. La centralisation offre un point de contrôle unique permettant de gérer qui peut accéder à quelles ressources, dans quelles conditions, pendant combien de temps, avec quelle authentification et avec quelles preuves de leurs actions.

Ceci est crucial pour les entités du secteur public, dont les exigences en matière de responsabilité sont plus élevées et les enquêtes nécessitent souvent des preuves rapides et irréfutables.

4.    Outils de conformité et outils industriels personnalisés

Les technologies opérationnelles reposent sur des flux de travail d’ingénierie spécialisés qui ne fonctionnent pas comme les applications d’entreprise standard. Si la sécurité contraint les équipes OT à utiliser des solutions de contournement fragiles, la sécurité est compromise, car les opérations trouveront des alternatives. Il en résulte un modèle qui prend en charge les flux de travail spécialisés, tout en garantissant des contrôles cohérents : authentification, principe du moindre privilège, accès limité dans le temps et historique des sessions.

C’est là que de nombreuses solutions d’accès distants génériques échouent dans le domaine de l’OT.

Le coût du retard

L’inaction engendre des coûts financiers (risques de violation plus élevés, temps d’arrêt plus longs dans les services publics, coûts d’audit élevés, perte de productivité des techniciens, intervention et correction coûteuses faute de preuves irréfutables) et des coûts stratégiques (retard dans la maturité OT, dans la modernisation et les initiatives cloud, risque accru de non-conformité, visibilité et contrôle limités).

Les infrastructures critiques sont au service du public : lorsque ces services dysfonctionnent en raison de problèmes d’accès évitables, la gouvernance, la crédibilité et la résilience nationale s’en trouvent compromises.

Renforcer la protection des infrastructures critiques grâce à la sécurité de l’identité

La protection des infrastructures critiques repose sur un principe opérationnel simple : sans contrôle d’accès ni visibilité sur les privilèges, il est impossible de prévenir efficacement les interruptions. La détection ne saurait remplacer l’élimination proactive des voies d’accès à risque et la réduction des privilèges permanents.

Face à la pression croissante des hacktivistes, des cybercriminels et des États, les dirigeants nationaux et locaux doivent donner la priorité aux voies d’accès à l’identité et à distance qui mènent aux environnements opérationnels. Parce que l’OT est le lieu où l’accès légitime se transforme en contrôle opérationnel, la mesure la plus importante consiste à repenser cet accès pour qu’il soit exclusivement sortant, point à point, limité dans le temps et entièrement auditable.

Si l’identité est le nouveau champ de bataille, alors l’accès distant aux technologies opérationnelles est l’un des fronts les plus importants, et c’est un front que les entreprises peuvent améliorer considérablement en repensant la manière dont l’accès est accordé, surveillé et prouvé.