Chaque semaine, la rédaction de L’observatoire de la tech donne la parole à un expert, un décideur ou un acteur de terrain. Pour apporter un éclairage différent sur l’actualité du marché et ses enjeux. Cette semaine, c’est Thomas Girard, CEO chez Kerys Software, qui analyse les limites actuelles de la convergence IT-OT en matière de cybersécurité
En bouleversant le monde industriel, la convergence OT-IT a amené avec elle son lot de risques et de défis pour les équipes informatiques. Les systèmes OT historiques, encore largement utilisés, ont été pensés dans une logique de huis clos, isolés. En devenant communicants avec les systèmes informatiques, ils ont mis en lumière de nouveaux enjeux humains, sécuritaires et opérationnels. Des blocages perdurent pour parvenir à pallier les risques, particulièrement en matière d’alignement des équipes dont certains biais impactent la collaboration. Analyse.
Une vulnérabilité en hausse
La convergence IT-OT est perçue comme une opportunité d’améliorer la résilience des environnements OT – avec un coût : l’augmentation de la surface d’attaque. Les systèmes SCADA et les appareils industriels ont été pensés pour garantir une fiabilité indéfectible et la sécurité des opérateurs qui les manipulent. Cependant, l’absence usuelle de chiffrement, d’authentification, voire de mécanismes de patch exposent les industriels. Les protocoles industriels hérités, initialement conçus pour évoluer en circuit fermé, sont intégrés à des systèmes connectés à Internet et des infrastructures IT modernes qui les exposent aux cyberattaques. De plus en plus de campagnes ransomware s’appuient sur ces vulnérabilités pour cibler les systèmes de contrôles industriels.
» Les protocoles industriels hérités, initialement conçus pour évoluer en circuit fermé, sont intégrés à des systèmes connectés à Internet «
Aux vulnérabilités des systèmes OT s’ajoutent celles inhérentes à la supply chain, les environnements industriels s’appuyant sur un grand nombre de prestataires externes pour la maintenance ou la mise à jour de leurs systèmes – une dépendance qui induit des vulnérabilités cachées. Les accès à distance, souvent déployés via des VPN classiques, peuvent conduire à l’attribution de privilèges trop élevés, au partage d’identifiants, ou à des sessions non contrôlées. Si ces accès sont mal gérés, ils amplifient considérablement les risques, surtout si les prestataires contournent les contrôles de sécurité pour des raisons pratiques.
Des systèmes désunis sources de complications opérationnelles
Si les environnements OT et IT cohabitent, ils n’en sont pas moins drastiquement différents. L’architecture de sécurité OT est profondément décentralisée, répartie sur plusieurs sites géographiquement éloignés, chacun doté de ses propres processus, systèmes et protocoles. À l’inverse, la sécurité IT repose sur une approche centralisée. La sécurité des équipements OT doit être évaluée sur un temps long avant leur mise en service, tandis que les logiciels IT peuvent (doivent) être mis à jour en continu pour faire face à l’évolution des menaces. La compatibilité ajoute une couche de complexité supplémentaire : les solutions IT s’intègrent rarement sans heurts aux systèmes de contrôle industriel comme les SCADA ou les DCS.
» L’architecture de sécurité OT est profondément décentralisée «
Pour assurer une continuité sur tous les fronts tout en restant conformes, les opérateurs utilisent souvent plusieurs ordinateurs : un « corporate », un opérationnel pour les tâches de maintenance, et le dernier pour l’administration. Les équipes OT, déjà sous pression, se retrouvent ainsi à jongler avec plusieurs machines.
Pour unifier et sécuriser les écosystèmes distincts, deux alignements sont donc nécessaires : celui des technologies, avec des solutions simples et facilement déployables qui permettent de faire évoluer les environnements sur le moins d’équipements possible tout en maintenant leur sécurité ; et celui des équipes IT et OT, qui doivent adopter une vision commune de la sécurité, car elles sont toutes deux essentielles à la protection globale de l’entreprise.
Favoriser un alignement culturel
Lors de l’intégration des écosystèmes OT/IT, nombre d’organisations se concentrent sur l’aspect technique, en omettant parfois de se demander comment les utilisateurs des systèmes collaboreront une fois l’intégration achevée. Résultat : lorsque les solutions semblent trop complexes ou incompatibles avec les réalités opérationnelles, les équipes OT tendent à les contourner. Ces dernières travaillent sous une pression constante pour assurer la Disponibilité des systèmes.
Les équipes IT quant à elles jonglent avec la triade Confidentialité, Intégrité et Disponibilité, en privilégiant historiquement la confidentialité. Le simple mot “sécurité” ne signifie pas la même chose pour les deux équipes. Un système industriel est généralement temps-réel, un système IT ne l’est pas. Cette différence culturelle entraine des schémas de réflexions différents qu’il faut savoir comprendre et appréhender. Même si les positions ont tendance à converger ces dernières décennies, elles ne sont pas encore totalement alignées.
Pour les opérateurs OT, la crainte des temps d’arrêt est bien réelle. Chaque minute de production interrompue peut se traduire par des pertes financières significatives. Certaines initiatives de cybersécurité sont donc perçues comme perturbatrices plutôt que protectrices. L’économie comportementale permet d’expliquer cette résistance au changement : l’aversion à la perte, le biais du statu quo et une faible perception de la valeur ajoutée rendent les opérateurs méfiants envers certaines initiatives IT.
» Le simple mot “sécurité” ne signifie pas la même chose pour les deux équipes. «
Pour surmonter ces biais, il faut présenter la cybersécurité non pas comme une contrainte imposée par l’IT, mais comme une garantie de disponibilité et de continuité opérationnelle. Une communication claire, l’engagement de la direction et des incitations à la conformité peuvent transformer la sécurité en une valeur partagée. Sans cela, les différences culturelles créeront des angles morts où les mesures de sécurité seront retardées, voire ignorées.
Les défis issus de la convergence OT-IT exigent un véritable changement de paradigme, à la fois technologique et culturel, concernant les équipements industriels et la sécurité du matériel en général. Pour les relever, les industriels doivent fonder leur stratégie de résilience la communication et une compréhension mutuelle des réalités humaines derrière chaque collaborateur. Une fois leur vision alignée, les équipes OT et IT seront plus à même de choisir des solutions les plus adaptées à leurs besoins opérationnels, tout en offrant simplicité d’utilisation et sécurité.
Une tribune de Thomas Girard, CEO chez Kerys Software
