La sécurité des réseaux SCADA : un enjeu national

Cyrille Badeau
Directeur Europe du Sud, Sourcefire (Cisco)

Selon le cabinet Lloyd’s, des fournisseurs d’énergie se voient refuser une assurance pour couvrir le risque de cyber-attaques car leur système de défense est considéré comme trop vulnérable. En effet, les dirigeants n’envisagent toujours pas le numérique comme un élément clé pour leur activité, car il s’agit d’un phénomène technologique très récent. Mais bientôt vos clients, vos produits, votre activité commerciale et vos concurrents seront essentiellement numériques. Et tandis que 74 % des dirigeants déclarent avoir défini une stratégie digitale, ils ne sont que 15 % à penser que leur entreprise dispose des compétences et des capacités pour la mettre en oeuvre.

L’assurance liée aux cyber-risques est prévue pour aider les entreprises à reconstruire leurs réseaux, en cas d’endommagement par une cyber-attaque. Les assureurs, quant à eux, examinent les différentes mesures mises en place par les entreprises pour écarter les pirates, comment elles s’assurent de la mise à jour logicielle et comment elles supervisent leurs réseaux. Malheureusement, après contrôle, la majorité des demandes de souscription d’assurance ont été rejetées car le niveau de cyber-défense a été jugé insuffisant. La plupart des entreprises aux infrastructures critiques prennent la cyber-sécurité au sérieux et disposent de départements dédiés pour protéger les infrastructures clés : les serveurs et les postes de travail. Bien que ces systèmes soient essentiels pour supporter l’activité de l’entreprise, il existe un « troisième réseau » : le réseau de contrôle des processus.

Souvent désignés comme les réseaux SCADA (Supervisory Control and Data Acquisition) en raison de leur association avec les procédés industriels, ces réseaux relient les équipements plutôt que les ordinateurs et supportent les systèmes plutôt que les personnes. Ils sont essentiels au fonctionnement de l’entreprise dans de nombreux secteurs : transport, logistique, industrie ou santé. Dans les services publics, ils sont même considérés comme faisant partie de l’infrastructure critique nationale.

Pourtant, les réseaux SCADA sont les moins protégés et sont la cible des cybercriminels. Si ces derniers y ont accès, les conséquences pour les entreprises, leurs clients, voire la population en général, pourraient être extrêmement dommageables.

Pourquoi ces réseaux sont-ils si vulnérables ?

Ces réseaux ayant été construits pour durer 30 ans, ni l’ouverture des réseaux à Internet, ni le cyberrisque associé n’avaient été intégrés à l’origine. Ayant été prévus pour ne pas subir de modifications, une simple procédure de patching peut s’avérer inadaptée et impossible. Parallèlement, ces réseaux sont plus connectés que jamais et les données se multiplient. Ils sont de plus souvent considérés, à tort, comme sûrs car historiquement isolés. Autre inconvénient, le réseau SCADA est « invisible » et perçu comme un outil de production ; d’où un manque d’attention et d’investissement. Enfin, dans beaucoup d’entreprises, une équipe différente gère le réseau de contrôle des processus, alors que le service informatique gère les autres réseaux. D’où des priorités et procédés divergents pour la gestion des risques informatiques.

Les entreprises doivent changer d’état d’esprit en matière de sécurité pour tenir compte des besoins et priorités des ingénieurs de contrôle des processus chargés de la gestion du réseau SCADA. Les outils de sécurité ne doivent pas interférer avec les processus en boucle fermée, ce qui pourrait constituer un risque pour le contrôler. La disponibilité et le temps de réponse sont les objectifs les plus importants de ce réseau. Les politiques de changement régulier de mot de passe pourraient mettre en danger une usine, verrouiller un système. Les outils de cyber-sécurité qui nécessitent un accès direct à Internet ne sont pas viables – de nombreux réseaux de contrôle sont sécurisés par des firewalls ou même isolés d’Internet.

Les fournisseurs d’énergie et autres infrastructures critiques doivent considérer la cyber-sécurité comme l’une de leurs priorités. Le paysage de la cyber-sécurité a changé et les entreprises font face à des attaques de groupes professionnels bien organisés et équipés. Il s’agit d’une activité criminelle sérieuse, dont les conséquences peuvent être graves pour leur activité et pour la population, et les cyber-défenseurs doivent être tout aussi professionnels que les hackers.