Comment assurer sa cybersécurité OT
Rockwell Automation s’appuie sur les résultats d’une enquête réalisée auprès d’industriels pour fournir six pistes à suivre pour assurer la cybersécurité des technologies opérationnelles (OT).
www.rockwellautomation.com
Les données sont une source d’informations indispensable à la gestion et à l’amélioration des processus de production. Elles peuvent provenir des capteurs, des robots et autres composants industriels connectés aux systèmes de contrôle et de supervision. Cependant, cette connectivié croissante constitue une voie d’accès potentielle pour une cyberattaque. Les dirigeants d’entreprises, ainsi que les équipes sur le terrain, sont aujourd’hui conscients de ce problème. C’est ce que révèle une enquête récente qui indique que quasiment tous les fabricants dans le monde sont désormais suffisamment sensibilisés à ces risques pour vouloir agir sans plus attendre.
La 10e édition annuelle du rapport sur la situation de la fabrication intelligente publié par Rockwell Automation rend compte de cette évolution. S’appuyant sur les réponses de 1 560 décideurs répartis dans 17 pays manufacturiers, représentant des entreprises dont le chiffre d’affaires s’établit entre 100 millions à plusieurs milliards de dollars, l’enquête classe la cybersécurité au même rang que la sûreté, le rendement et les coûts comme indicateur de performance. Lorsque la cyberrésilience est mise en parallèle avec les indicateurs de performance de la production, il ne s’agit plus pour les responsables de savoir s’« ils doivent investir ? » mais « quand pouvons-nous espérer un retour sur investissement ? »
La résilience comme levier de rentabilité
Selon ce rapport, 96 % des fabricants ont déjà investi dans des plateformes de cybersécurité, ou prévoient de le faire au cours des cinq prochaines années, et plus de la moitié adoptent déjà des mesures de cybersécurité à grande échelle. Les dirigeants qui considéraient autrefois la sécurité comme une obligation de conformité se demandent désormais combien d’heures d’audit il est possible d’économiser, combien de temps d’arrêt peuvent être évités et à quelle vitesse les flux de données compatibles peuvent circuler dès lors que les réseaux ont été renforcés. Autrement dit, la résilience est devenue un levier de rentabilité.
Rockwell Automation recense six facteurs qui expliquent pourquoi la cybersécurité OT (technologie opérationnelle) n’est plus un sujet de réflexion parmi d’autres mais une ressource indispensable.
1. Adoption quasi généralisée des plateformes de sécurité OT
L’enquête réalisée fait apparaître que presque tous les fabricants adoptent aujourd’hui une plateforme de sécurité OT, que 64 % en exploitent déjà une et que 32 % prévoient de la déployer dans les cinq prochaines années, voire avant.
L’intérêt porté aux plateformes de sécurité OT est entré dans une nouvelle phase. La mise en œuvre étant désormais acquise, la question du retour sur investissement est désormais posée. Les dirigeants interrogent désormais les fournisseurs sur le nombre d’heures d’audit dont on peut faire l’économie, la rapidité de déploiement des correctifs et la possibilité de réduction des temps d’arrêt imprévus. Les équipes qui associent les tableaux de bord des risques aux indicateurs déjà surveillés par les services opérationnels et par les directions financières, à savoir le TRS ou le délai moyen de récupération, sont désormais en première ligne.
- Capturez les bases de référence avant le déploiement afin que le premier examen trimestriel puisse démontrer le caractère incontestable du retour sur investissement.
- Traduisez les vulnérabilités auxquelles vous avez remédié en économies concrètes (pertes de production évitées, réduction du temps de préparation aux mesures de conformité) afin de les présenter à votre direction financière.
- Intégrez l’état de la sécurité aux tableaux de bord de la production afin que la direction de l’usine puissent considérer les avantages qui en résultent comme un élément moteur de la performance, et non comme un frein.
2. La cybersécurité devient un facteur décisif dans la fabrication intelligente
Autre information révélée par l’enquête : 53 % des fabricants citent la sécurisation des actifs OT comme un facteur majeur d’investissement technologique.
Plus de la moitié des personnes interrogées ont déjà adopté des mesures de sécurité à grande échelle. Cette évolution de la transformation numérique place désormais les responsables de la sécurité aux avant-postes de la croissance de l’entreprise. En faisant des réseaux renforcés la base de la maintenance prédictive, de la gestion de l’énergie en temps réel ou des contrôles qualité assistés par l’IA, la réduction des risques s’accompagne rapidement d’une hausse des revenus. L’approche de différentes échéances réglementaires, comme la directive européenne NIS2 ou la certification CISA aux États-Unis, ne font qu’accentuer l’attention des dirigeants.
- Associez les dépenses dédiées à la sécurité au retour sur investissement généré par l’automatisation pour allouer une part plus importante des budgets à la transformation.
- Rédigez des propositions de financement en collaboration avec les équipes d’innovation numérique pour augmenter la réserve de capital disponible.
- Utilisez les étapes réglementaires pour fixer les délais et accélérer les processus d’agrément en interne.
3. La cybersécurité reste l’une des cinq principales menaces pour les fabricants
Selon l’enquête, 30 % des personnes interrogées classent le cyber-risque parmi leurs problématiques externes les plus importantes.
Les dirigeants, et les assureurs qui souscrivent leurs risques, attendent désormais des indicateurs précis : pertes financières anticipées en cas d’incident lié à la cybersécurité, fréquence d’exécution des exercices de réponse et ce qu’ils révèlent, ainsi qu’une vision claire et hiérarchisée de la maturité du contrôle dans l’environnement OT. Il incombe aux responsables de la sécurité de traduire les vulnérabilités techniques en termes commerciaux tels que la perte de revenus, les temps d’arrêt potentiels et l’impact sur la marque, afin que les dirigeants puissent évaluer les dépenses devant être allouées à la cybersécurité par rapport aux autres priorités d’investissement.
- Modélisez des cyber-scénarios en termes financiers afin que les administrateurs puissent appréhender le risque en un coup d’œil.
- Réalisez des exercices de simulation tous les trimestres pour garder en mémoire les réflexes de réponse aux incidents et mettre en évidence les lacunes éventuelles avant que les auditeurs (ou les attaquants) ne les trouvent.
- Faites appel aux assureurs lors de la planification du contrôle afin de garantir de meilleures primes avant le prochain cycle de renouvellement.
4. Le matériel à sécurité intégrée occupe le devant de la scène
L’enquête révèle que 31 % des personnes interrogées ont pour objectif de réduire les risques OT grâce à des contrôles de sécurité intégrés.
Les règles d’accès au niveau des automates, les firmwares signés et la télémétrie embarquée deviennent des fonctionnalités standard. Cependant, ces défenses renforcées exigent une gestion rigoureuse du cycle de vie des firmwares et une approche de l’approvisionnement privilégiant la sécurité parallèlement aux caractéristiques de performance.
- Exigez des clauses couvrant le démarrage sécurisé et un firmware signé dans chaque demande de devis, afin de pérenniser les actifs entrants.
- Planifiez les mises à jour du firmware, avec les correctifs nécessaires, sans oublier des plans de restauration et des fenêtres de test, pour éviter les pannes inopinées.
- Intégrez des journaux au niveau dispositif dans les SIEM existants pour une détection plus précoce et un contexte plus riche.
5. Les compétences en cybersécurité ne sont plus une option mais une obligation
L’enquête souligne également que 81 % des personnes interrogées accordent une priorité élevée ou de premier ordre à la connaissance des pratiques et normes en matière de cybersécurité. Près de la moitié des fabricants (47 %) classent ces compétences comme « extrêmement importantes » pour le recrutement de personnel au cours des douze prochains mois, tandis que 34 % les qualifient de « très importantes ».
Les fabricants intègrent la micro-formation dans les transferts de poste, financent les certifications et lient les performances de sécurité (par exemple, conformité des correctifs) aux évaluations individuelles. Au fil du temps, le comportement sécurisé devient aussi routinier que les procédures de verrouillage/signalisation.
- Intégrez de courtes leçons de cybersécurité dans les réunions quotidiennes pour sensibiliser les collaborateurs sans interférer avec la production.
- Récompensez les comportements vertueux en matière de sécurité (par exemple, le déploiement rapide des correctifs ou les trimestres sans incident), afin de renforcer les bonnes pratiques.
- Appuyez des certifications pertinentes pour la fonction concernée (par ex. IEC 62443, CISM) afin de développer une expertise interne.
6. La culture, et non la technologie, est le dernier obstacle à franchir
L’enquête nous apprend également que la culture des employés et la sensibilisation des dirigeants apparaissent comme des obstacles à l’adoption des pratiques et des technologies requises : 25 % des fabricants affirment que la résistance du personnel au changement bloque les déploiements de la fabrication intelligente, et 25 % indiquent que la sensibilisation à la cybersécurité parmi les décideurs de haut niveau restera un obstacle majeur au leadership au cours des douze prochains mois.
L’état d’esprit, et non les connaissances, est souvent un frein au progrès. Les opérateurs peuvent considérer les contrôles supplémentaires comme des goulets d’étranglement pour la production, tandis que les responsables donnent la priorité aux résultats à court terme. L’intégration de la cybersécurité dans la culture de sécurité de l’entreprise au sens large, soutenue par des programmes de reconnaissance et des exercices interfonctionnels, transforme un comportement sûr en mémoire partagée.
- Mettez les cyberrisques sur le même pied d’égalité que les divers risques de sécurité pour accroître la sensibilité des personnels à leur égard.
- Mettez en lumière les équipes qui atteignent des étapes importantes en matière de sécurité (cycles de correctifs rapides, trimestres sans incident) afin de normaliser les bonnes habitudes.
- Organisez des exercices d’incident IT/OT conjoints afin que les intervenants puissent prendre connaissance des règles du jeu de chacun des acteurs de l’entreprise, avant qu’ils ne soient confrontés à la réalité d’un incident.
Méthodologie de l’enquête
Réalisée avec le concours de Sapio Research, la 10e édition annuelle du rapport sur la situation de la fabrication intelligente de Rockwell Automation a analysé les réponses de 1 560 responsables dans 17 des principaux pays manufacturiers, occupant des fonctions de gestion jusqu’à des postes de direction. L’enquête a été menée auprès d’un échantillon couvrant divers secteurs, notamment les produits de grande consommation, l’agroalimentaire, l’automobile, les semi-conducteurs, l’énergie, les sciences de la vie, etc. Grâce à une répartition équilibrée de la taille des entreprises et des revenus, allant de 100 millions à plus de 30 milliards de dollars, elle offre, selon Rockwell, un large éventail de perspectives pour les entreprises manufacturières. Il convient de noter que les données et statistiques référencées dans cette édition peuvent provenir des données brutes de l’enquête et ne pas être incluses dans le rapport lui-même.
www.rockwellautomation.com
