Lors du développement d'applications SCADA/HMI sécurisées destinés à aider les systèmes à s'interfacer et à partager des données dans les applications IoT, il est important de ne pas seulement examiner ce que nous pouvons faire pour mieux protéger les applications, mais aussi les idées fausses qui pourraient entraver nos efforts en matière de cybersécurité. Nous avons pensé qu'il pourrait être important de partager certaines des idées fausses que nous avons trouvées dans le domaine de l'automation industrielle.
Mythe 1 : la sécurité est le travail du département informatique
C'est le travail de chacun de se préoccuper de la cybersécurité, et chacun a la responsabilité de veiller à ce que les applications soient aussi sûres que possible. Les intégrateurs de systèmes et les équipementiers sont chargés de mettre en œuvre des procédures et des protocoles de sécurité dans leurs interfaces, comme l'authentification par nom d'utilisateur et mot de passe pour les opérateurs et les utilisateurs, les enregistrements des actions initiées par les opérateurs et les applications qui partagent des informations par le biais de connexions sécurisées. Les opérateurs et les gestionnaires sont chargés de veiller à ce que les dispositions de sécurité intégrées dans les applications soient appliquées et que les procédures de sécurité telles que la connexion et la déconnexion du système soient suivies conformément à la politique de l'entreprise. L'informatique peut autoriser ou non les clés USB et les contenus de test ou réglementer les téléchargements, mais il appartient à chacun dans l'établissement de respecter ces restrictions et d'empêcher les logiciels malveillants d'infecter le réseau.
Mythe 2 : les attaques viennent de l'extérieur
Toutes les failles de sécurité ne sont pas dues uniquement à des attaques malveillantes extérieures. Certaines d'entre elles sont dues à un comportement interne négligent ou involontaire, voire à un comportement interne malveillant. Il y a eu de nombreux cas où un employé mécontent a fait fuir des données intentionnellement ou a causé des dommages à un système de l'intérieur. La meilleure façon de protéger un système contre les attaques internes est de s'assurer que les applications sont capables d'enregistrer toute activité initiée par les opérateurs dans les journaux d'événements, d'avoir une authentification sécurisée des utilisateurs, et que le contenu ou le contrôle d'un utilisateur spécifique n'est fourni qu'à cette personne ou à ce dispositif. Là encore, il est très important de s'assurer que les protocoles de sécurité sont en place.
Mythe 3 : Nos données ne sont utiles à personne d'autre. Personne ne voudrait les voler ou les manipuler.
Vous ne pouvez jamais savoir comment les données seront utilisées ou manipulées. Il existe un certain nombre de raisons pour lesquelles une aplication peut être attaquée. Des données peuvent être volées ou enregistrées, ou même manipulées pour nuire à des machines industrielles, comme dans le cas de Stuxnet et Aurora. Certains réseaux électriques peuvent être la cible de manipulations malveillantes, tout comme n'importe quelle technologie "intelligente" utilisée. Même si les données ne sont pas volées, les réseaux ouverts (à la connectivité extérieure) ou non protégés et non sécurisés peuvent toujours être utilisés comme des "zombies" en installant des logiciels malveillants sur des ordinateurs sans lien avec le réseau pour les utiliser dans des attaques coordonnées de type DOS (déni de service) ou autres.
Mythe 4 : Un logiciel antivirus nous avertit si nous avons un logiciel malveillant
Malheureusement, ce n'est pas vrai. Un antivirus n'est vraiment efficace que contre les logiciels malveillants, les signatures et les modèles d'attaque connus (tels que les chevaux de Troie), et même les logiciels malveillants existants subissent suffisamment d'itérations pour parfois tromper les logiciels antivirus. L'utilisation d'une protection antivirus est une bonne pratique de sécurité, mais ce n'est pas la seule mesure préventive qui devrait être utilisée pour défendre un système contre les logiciels malveillants. La sécurité doit être appliquée par couches à tout système de contrôle industriel ou SCADA.
Mythe 5 : Aucune demande n'est totalement sûre, alors pourquoi s'en donner la peine ?
Pour la même raison, vous verrouillez vos portes lorsque vous quittez la maison. Ce n'est pas parce qu'une porte est verrouillée qu’elle dissuadera des tentatives d’intrusion dans la maison. La clé d'une bonne cybersécurité réside dans la superposition des couches. Aucune de ces couches n'est totalement efficace en soi, mais combinées, elles peuvent contribuer à créer un système très sûr. Certaines couches de sécurité peuvent inclure :
- Gestion des noms d'utilisateur et renforcement/expiration des mots de passe
- Veiller à ce que les données de traitement ne soient pas stockées sur les mêmes réseaux ou serveurs que les autres données critiques de l'entreprise
- La protection des réseaux par des pare-feux utilisant l'inspection des paquets par état, des systèmes de prévention des intrusions conçus pour les protocoles d'automatisation, l'authentification des utilisateurs et des dispositifs, le verrouillage des données, le cryptage et d'autres mesures de sécurité.
- Construire des applications qui reconnaissent les différents utilisateurs et groupes d'utilisateurs et qui gèrent l'accès aux fonctions de traitement et aux données sur la base de l'authentification et de l'autorisation. Clôturer les données et l'accès aux utilisateurs et aux zones autorisés.
- Développer une culture au sein de l'établissement garantissant que les mesures de sécurité sont prises au sérieux et que les protocoles et politiques de sécurité établis sont respectés.
- Protection des ports physiques sur les machines de traitement, tels que les ports USB qui répondent aux exigences de sécurité du système et du réseau.
- Restriction des ordinateurs, terminaux et dispositifs connectés aux applications conçues pour fonctionner sur ceux-ci, de sorte que les machines, les processus ou les données ne soient pas également utilisés pour des médias sociaux non autorisés et/ou le téléchargement d'autres logiciels ou la connectivité à des médias ou réseaux non autorisés.
AVEVA est fière de sa conception axée sur la sécurité qui vous offre les outils dont vous avez besoin pour créer des applications SCADA et IHM stables et plus sûres pour votre entreprise.
A ce sujet vous pouvez également lire :
