Le cyber paysage de l'industrie manufacturière d'aujourd'hui

La quatrième révolution industrielle annonce une ère de potentiel d'innovation et de croissance considérable. Elle s'accompagne également de nouveaux risques et défis. C'est peut-être ce qui ressort le plus du cyberpaysage actuel de l'industrie manufacturière.

Deloitte et l'Alliance des fabricants pour la productivité et l'innovation (MAPI) étudient officiellement la cybersécurité dans l'industrie manufacturière et les risques associés depuis 2016. L'étude 2019 de Deloitte et MAPI sur l'usine intelligente a révélé un certain nombre de risques relatifs aux initiatives d'usine intelligente, de l'opérationnel au financier et du stratégique à la conformité. Quarante-huit pour cent des fabricants interrogés ont identifié les risques opérationnels, qui incluent la cybersécurité, comme le plus grand danger pour les initiatives d'usine intelligente. Compte tenu de l'interconnexion des technologies de l'usine intelligente, les cybermenaces sont parmi les plus répandues, car les environnements de l'usine intelligente exposent les personnes, la technologie, les processus physiques et la propriété intellectuelle à ces risques.

Ce rapport explore quelques questions clés soulevées par le paysage actuel des risques :

• Dans quelle mesure les cybermenaces affectent-elles les fabricants aujourd'hui ?
• Quels sont le type et le niveau de risque dans les usines d'aujourd'hui ?
• Comment les fabricants font-ils face aux risques actuels en matière de cybersécurité ? Et comment feront-ils face aux nouveaux risques ?
• Comment les fabricants intègrent-ils des contrôles de cybersécurité dans leurs initiatives d'usines intelligentes ?

La prolifération des cybermenaces

De nombreuses entreprises manufacturières constatent une augmentation des incidents cybernétiques associés aux systèmes de contrôle utilisés pour gérer les opérations industrielles. Ces systèmes peuvent aller des automates programmables et des systèmes de contrôle distribués aux systèmes embarqués et aux dispositifs IoT industriels. Collectivement, ces systèmes de contrôle constituent les technologies opérationnelles (OT) qui permettent aux installations de fonctionner.

Si les avantages de la connectivité incluent des niveaux de productivité accrus, une identification et une correction plus rapides des défauts de qualité et une meilleure collaboration entre les domaines fonctionnels, ils peuvent également multiplier les vulnérabilités potentielles de l'usine intelligente. En fait, l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) répertorie plus de 1 200 problèmes de sécurité, vulnérabilités et exploits connus liés aux systèmes OT et provenant de plus de 300 équipementiers et fournisseurs de systèmes. Le paysage des menaces pour les systèmes qui contrôlent les opérations d'une installation de production a rapidement proliféré avec l'augmentation de la numérisation et des technologies avancées.

La cause première ? L'informatique et l'ergothérapie ne sont pas synchronisées

Pour gagner en efficacité opérationnelle et assurer un meilleur service à la clientèle, de nombreuses entreprises manufacturières cherchent à faire converger les technologies de l'information et les technologies de l'information dans l'ensemble de leurs activités. Il existe un certain nombre de domaines dans lesquels les personnes, les processus et les technologies se chevauchent entre les écosystèmes informatiques et technologiques, domaines dans lesquels les stratégies respectives doivent être synchronisées. Cependant, la réalité de ces technologies et la manière dont elles sont utilisées sont souvent très différentes.

Les décisions d'investissement liées aux systèmes OT sont souvent prises au niveau de l'usine par les responsables des opérations, avec une implication moindre des services informatiques et de sécurité de l'entreprise. Cela peut conduire à une myriade de technologies différentes, souvent dotées de capacités de contrôle de sécurité différentes, qui devront probablement être intégrées aux infrastructures de réseau informatique existantes et gérées à l'aide de celles-ci.

Un faux sentiment de sécurité

L'ajout de technologies avancées aux réseaux OT nécessite des normes de cybersécurité tout aussi sophistiquées. Cependant, une part importante des fabricants n'a pas encore mis en place les cybercapacités nécessaires pour sécuriser certains de ces systèmes critiques pour l'entreprise. Étant donné le rythme rapide auquel les nouvelles technologies sont ajoutées aux usines via les cas d'utilisation de l'usine intelligente, les responsables de l'informatique et de l'OT risquent de ne pas être préparés à répondre aux nouvelles menaces qui se présentent.

Si 90 % des fabricants interrogés font état de capacités de détection des cyberévénements, très peu d'entreprises ont aujourd'hui étendu la surveillance à leurs environnements OT. Et moins de la moitié des fabricants interrogés ont procédé à des évaluations de la cybersécurité au cours des six derniers mois.

Ces réponses indiquent que les fabricants interrogés semblent plus confiants dans leur préparation cybernétique que dans la maturité et les capacités dont ils peuvent disposer pour répondre à une cyberattaque et s'en remettre, en particulier lorsque de nouvelles technologies sont mises en ligne entre les périodes d'évaluation des risques. Il est probable que certains fabricants ne sont pas conscients des nouvelles menaces auxquelles ils sont confrontés lorsqu'ils utilisent des dispositifs IoT et d'autres technologies émergentes dans un environnement d'usine intelligente.

Renforcer la cyber-résilience dans l'usine intelligente

Alors que les initiatives d'usines intelligentes continuent de proliférer à travers l'empreinte mondiale des fabricants, les cyber-risques devraient continuer à augmenter. Comme le révèle l'étude 2019 de Deloitte et MAPI sur les usines intelligentes, la préparation cybernétique de nombreux fabricants est moins mature que ce qui est probablement nécessaire pour se protéger non seulement contre les menaces actuelles, mais aussi contre les nouvelles menaces et vulnérabilités que les technologies numériques créent. Les organisations manufacturières devraient investir dans un programme de cyber-gestion holistique qui s'étend à l'ensemble de l'entreprise (IT et OT) afin d'identifier, de protéger, de répondre et de récupérer des cyber-attaques.

Les organisations doivent tenir compte de ces étapes lorsqu'elles commencent à mettre en place un programme efficace de cybersécurité dans l'industrie manufacturière :

• Effectuer une évaluation de la maturité de la cybersécurité
• Mettre en place un programme formel de gouvernance de la cybersécurité qui prenne en compte l'OT
• Hiérarchiser les actions en fonction des profils de risque
• Intégrer la sécurité