Les cyberattaquants savent trop bien qu’ils peuvent mettre les infrastructures critiques dans des situations difficiles. Dans des secteurs comme l’eau et les eaux usées, les utilisateurs dépendent fortement de leurs services publics, ce qui signifie qu’une cyberattaque peut avoir de vastes répercussions. Les clients peuvent également être des entreprises qui utilisent l’eau pour des processus tels que le refroidissement ou la fabrication d’un produit, de sorte qu’une panne aurait également une incidence sur leurs coûts opérationnels. Les récentes cyberattaques contre l’industrie de l’eau ont même conduit à l’élaboration d’une nouvelle législation aux US.
Prenons l’exemple de l’attaque contre Oldsmar Water Treatment en février 2021. En utilisant d’anciennes informations d’identification, des pirates informatiques ont pu accéder à distance au réseau de l’installation et l’étudier. En l’espace de quelques heures, ils ont pu modifier les commandes, augmentant considérablement les niveaux d’hydroxyde de sodium, qui sont passés de 100 parties par million à 11 100 ppm. L’attaque contre Oldsmar Water Treatment a suscité plusieurs réactions de la part du gouvernement américain. Tout d’abord, l’administration Biden-Harris a collaboré avec l’Agence de protection de l’environnement pour étendre son partenariat public-privé en matière de cybersécurité au secteur de l’eau, afin d’améliorer la visibilité des cybermenaces et de protéger les réseaux fédéraux.
La raison principale est que les appareils connectés grâce à la digitalisation sont là pour durer. Ils contribuent à l’efficacité, à la connaissance des données et, en fin de compte, à la durabilité. Les équipements fabriqués aujourd’hui présentent un niveau de connectivité plus élevé afin d’aider les entreprises à rester compétitives et à accroître leurs bénéfices. Cependant, contrairement à d’autres secteurs, celui de l’eau et des eaux usées est un service public crucial, et les organisations qui y opèrent doivent s’efforcer d’atteindre les niveaux de cybersécurité les plus élevés, conformément aux normes mondiales IEC 62443.
Quel est le degré de maturité de l’industrie de l’eau ?
Au cours du second semestre 2021, Claroty, l’un des principaux fournisseurs de plateformes de cybersécurité, a mené une enquête dans le secteur de l’eau et des eaux usées, dont les résultats sont surprenants. Elle a révélé que 34 % des entreprises ont subi une attaque par ransomware qui n’a touché que l’informatique. Dans le même temps, 22 % des attaques de rançongiciels n’ont touché que l’OT.
Regardez le webinaire à la demande : Principaux risques de cybersécurité auxquels sont confrontés les services de distribution d’eau et de traitement des eaux usées
En outre, 52 % des personnes interrogées ont subi un impact partiel sur un site, tandis que 30 % ont déclaré avoir subi un impact important sur plusieurs sites pendant une semaine. Certains ont même été confrontés à un impact similaire sur plusieurs sites pendant plus d’une semaine. Pour 37 % de l’ensemble des répondants, ces impacts ont entraîné un coût d’indisponibilité compris entre 100 000 et 500 000 dollars par heure, et pour 12 % d’entre eux, le coût s’est situé entre 1 et 5 millions de dollars par heure. En fin de compte, 60 % des personnes interrogées ont payé la rançon.
De nombreuses entreprises sont confrontées à des difficultés lorsqu’elles analysent les causes profondes d’une attaque, c’est-à-dire lorsqu’elles ne sont pas en mesure de déterminer avec certitude ce qui l’a permise ou non. La capacité à détecter une brèche dans votre périmètre de sécurité permet à votre organisation d’acquérir des connaissances et un contrôle. Cela permet également d’effectuer des analyses plus approfondies si une autre attaque se produit. Si rien n’est mis en place pour détecter une brèche, les attaquants pourraient déjà se trouver dans un système en train de recueillir des informations et d’y maintenir l’accès au fil du temps.
Grâce à la segmentation du réseau au sein de l’architecture numérisée d’une entreprise, les opérations peuvent se poursuivre dans une certaine mesure si une cyber-attaque peut être isolée dans une zone. Dans cette optique, les entreprises du secteur de l’eau et des eaux usées devraient s’efforcer d’atteindre le niveau de sécurité 3 au sein de leur organisation. Voici un aperçu de ce que chaque niveau implique :
- Niveau de sécurité 1 – Protège contre les violations involontaires ou occasionnelles.
- Niveau de sécurité 2 – Il s’agit d’une protection contre les violations intentionnelles commises par des personnes disposant de compétences génériques et de peu de ressources.
- Niveau de sécurité 3 – Une entreprise se protège contre les pirates informatiques professionnels, des personnes ou des entités possédant des compétences spécifiques à un système et utilisant des moyens sophistiqués pour accéder aux infrastructures.
- Niveau de sécurité 4 – Les entreprises se protègent contre des pirates très motivés qui utilisent des moyens sophistiqués et disposent de ressources étendues pour accéder à des attaques de niveau État-nation. Bien qu’il puisse être difficile de résister aux attaques de niveau 4, les entreprises peuvent mieux se défendre et analyser les faiblesses internes.
4 pratiques de sécurité pour la convergence IT-OT
Lorsque vous réévaluez votre périmètre de cybersécurité, il est important de vous engager à respecter certains objectifs et certaines pratiques. Certes, il n’existe pas de solution miracle en matière de cybersécurité. Mais le fait de tracer la voie vers la « cyberconfiance » peut conduire à des opérations plus efficaces et réduire le risque de cyberattaque.
- Procédez à des évaluations régulières de la cybersécurité. Des outils tels que les capteurs de données de pointe se concentrent sur l’inventaire des actifs afin de garder une trace des appareils utilisés dans les opérations. Il est important de connaître tous les points d’accès, mais le suivi des mises à jour des microprogrammes, en particulier lorsque les entreprises se développent et se modernisent au fil du temps, devient une pratique de défense essentielle.
- Mettez en œuvre la segmentation du réseau dans l’architecture de votre organisation afin de séparer le réseau informatique du réseau OT. Cela peut permettre d’arrêter une attaque. Une telle segmentation du réseau est connue sous le nom de « zone démilitarisée » (DMZ) et permet d’isoler les zones du réseau ou les appareils qui ont été compromis. Les pare-feux et le confinement aident à reprendre le contrôle.
- Sauvegardez vos données. Réglez cette opération pour qu’elle se répète automatiquement afin de protéger votre propriété intellectuelle et votre système central, et faites-la régulièrement. En cas de cyberattaque, une organisation peut se remettre en route plus rapidement. Des sauvegardes fréquentes des données peuvent rendre votre entreprise moins attrayante pour les pirates potentiels qui cherchent à faire des dégâts importants. Conservez également toutes les configurations et tous les codes sources supercritiques en plusieurs endroits.
- La meilleure façon de se remettre d’une attaque est de s’entraîner. Les « exercices de simulation » de cyberattaque préparent les entreprises à atténuer les violations dès qu’elles se produisent et peuvent les aider à se rétablir plus rapidement. La formation à divers scénarios, dans le cadre d’ateliers de cybersécurité axés sur les rôles, inspirera la confiance et l’adhésion des employés à la culture de l’entreprise.
La cyberconfiance dans les industries de l’eau
Au vu des résultats de l’enquête, il est évident que la confiance dans la cybersécurité est nécessaire. Le coût d’une cyber-attaque peut mettre en danger la vie d’une organisation et nuire à sa réputation, en plus de son impact financier. Cependant, en suivant certains principes fondamentaux, les organisations du secteur de l’eau et des eaux usées peuvent augmenter leurs paramètres de cyberdéfense. Et ce n’est pas un voyage que vous entreprenez seul. Schneider Electric dispose de l’expertise nécessaire pour vous aider à évaluer où vous en êtes sur la voie de la cyberconfiance.
Nous travaillons avec un écosystème de partenaires de classe mondiale pour fournir la technologie et les services dont les clients ont besoin pour leurs environnements spécifiques. Nous nous appuyons sur un réseau de partenaires pour intégrer des technologies de pointe en matière de cybersécurité afin de fournir une protection adaptée, indépendante des fournisseurs, d’un point de vue OT, pour répondre aux besoins des clients pour tous les types d’entreprises et d’industries, y compris le secteur de l’eau et des eaux usées.
La réalisation d’évaluations régulières de la cybersécurité, la mise en œuvre d’une segmentation du réseau, la réalisation de sauvegardes régulières et la mise en place d’une formation cohérente à la cybersécurité sont quelques-unes des premières mesures que votre organisation peut prendre pour améliorer sa position en matière de cybersécurité. La cyberconfiance est possible, et Schneider Electric peut vous aider à préparer le terrain pour atteindre vos objectifs de cybersécurité grâce à des normes, des services et des solutions de cybersécurité OT de pointe.
Pour en savoir plus sur les mesures préventives de cybersécurité à prendre spécifiquement dans le secteur de l’eau et des eaux usées, regardez l’enregistrement de notre webinaire, Top Cybersecurity Risks Facing Water & Wastewater Utilities (Principaux risques de cybersécurité auxquels sont confrontés les services d’eau et d’eaux usées – EN).
Ajouter un commentaire