Le besoin croissant de cybersécurité dans l’automatisation industrielle
Les systèmes d’automatisation industrielle ont historiquement été conçus autour de la disponibilité, de la fiabilité et du contrôle des processus plutôt que de la cybersécurité. De nombreux automates programmables (PLC), systèmes SCADA, dispositifs d’E/S distantes et réseaux industriels fonctionnaient dans des environnements isolés où les cybermenaces étaient considérées comme peu probables.
Cependant, les environnements industriels ont considérablement évolué. L’essor de l’Ethernet industriel, de la surveillance à distance, de la connectivité cloud et de la production pilotée par les données a supprimé nombre des frontières traditionnelles entre les technologies opérationnelles (OT) et les technologies de l’information (IT).
Aujourd’hui, un contrôleur d’automatisation ou un appareil de terrain intelligent n’est plus seulement un composant de commande. C’est également un actif numérique connecté qui peut devenir un point d’entrée potentiel pour les attaquants.
Patrick Ho, de Rockwell Automation, a résumé cette évolution par un principe simple : si un appareil industriel est connecté, il doit être protégé. Cette idée reflète un changement fondamental dans la manière dont les fabricants et les exploitants abordent la sécurité des systèmes industriels.
La sécurité des systèmes OT est devenue une exigence fondamentale pour l’industrie moderne
Le paysage de la cybersécurité industrielle a évolué au fil de plusieurs événements majeurs, l’attaque Stuxnet de 2010 constituant un tournant décisif. Elle a démontré que les cybermenaces pouvaient aller au-delà du vol de données et affecter directement les processus industriels physiques.
Depuis lors, les normes de cybersécurité et les stratégies de protection des systèmes OT ont continué d’évoluer. Les organisations reconnaissent désormais que la protection des systèmes de production n’est pas uniquement une responsabilité informatique, mais aussi une exigence essentielle en matière d’ingénierie.
La convergence de l’informatique et des technologies opérationnelles (OT) a élargi la surface d’attaque. Les réseaux industriels comprennent désormais des automates programmables (PLC), des interfaces homme-machine (IHM), des PC industriels, des systèmes de sécurité, des variateurs, des capteurs et des solutions d’accès à distance, qui nécessitent tous une gestion coordonnée de la sécurité.
De mon point de vue d’ingénieur en automatisation, la cybersécurité doit désormais être considérée comme une composante de l’ensemble du cycle de vie des équipements, au même titre que la conception électrique, la sécurité fonctionnelle et la planification de la maintenance. Une machine qui fonctionne parfaitement, mais qui ne dispose pas de contrôles de sécurité, peut néanmoins représenter un risque opérationnel sérieux.
Les réglementations renforcent les exigences de sécurité pour les équipements industriels
Les gouvernements et les autorités de régulation industrielles du monde entier renforcent les exigences de cybersécurité applicables aux secteurs des infrastructures critiques, notamment l’énergie, le traitement de l’eau, les transports et l’industrie manufacturière.
Des régions telles que l’Europe, l’Australie, la Nouvelle-Zélande, le Japon, Singapour et la Chine instaurent ou renforcent des cadres de cybersécurité qui obligent les organisations à démontrer une meilleure protection des systèmes essentiels.
Pour les fabricants d’équipements industriels, cela signifie que la cybersécurité ne peut plus être considérée comme une fonctionnalité facultative ajoutée après la production. Les fournisseurs doivent de plus en plus démontrer comment les produits sont conçus, configurés, entretenus et surveillés tout au long de leur durée de service.
L’orientation future est claire : les actifs industriels devront disposer d’informations de sécurité documentées, au même titre que les machines nécessitent déjà des spécifications techniques, des certifications de sécurité et des dossiers de maintenance.
Le concept de certificat de naissance cybersécuritaire
Le concept de certificat de naissance cybersécuritaire de Rockwell Automation répond à l’un des plus grands défis de la gestion des actifs industriels : savoir exactement ce que contient un système d’automatisation.
Les machines industrielles modernes peuvent contenir des centaines de composants matériels et logiciels, notamment des contrôleurs, des modules de communication, des versions de micrologiciels, des équipements réseau et des technologies intégrées. Sans dossiers précis, il devient extrêmement difficile d’identifier les vulnérabilités.
Un certificat de naissance cybersécuritaire assure la traçabilité dès la fabrication du produit. Il peut documenter :
- Composants matériels inclus dans le système
- Versions des micrologiciels et des logiciels
- Configurations de sécurité
- Informations sur l’origine du produit
- Historique du suivi des vulnérabilités
Cette approche crée une identité numérique pour les actifs industriels, permettant aux opérateurs de comprendre l’état de la sécurité tout au long du cycle de vie des équipements.
À mon avis, ce concept représente une évolution naturelle de la documentation industrielle. Les dossiers traditionnels des équipements indiquent aux ingénieurs le fonctionnement d’une machine, tandis que les dossiers de cybersécurité expliquent comment la protéger durablement.
SecureOT Platforms et surveillance continue des vulnérabilités
Rockwell Automation intègre cette approche de la sécurité à sa SecureOT Platform, qui vise à identifier les vulnérabilités et à améliorer la visibilité dans les environnements industriels.
Les évaluations traditionnelles de la cybersécurité reposent souvent sur des analyses périodiques. Cependant, les systèmes industriels peuvent fonctionner pendant des décennies, et des vulnérabilités peuvent apparaître longtemps après l’installation des équipements.
La surveillance continue offre une solution plus pratique en permettant aux opérateurs d’identifier les nouveaux risques dès leur apparition, plutôt que d’attendre les évaluations planifiées.
Pour les ingénieurs en automatisation et les équipes de maintenance, cela transforme la cybersécurité : d’une tâche d’installation ponctuelle en une activité opérationnelle continue.
Une stratégie moderne de maintenance industrielle devrait inclure :
- Gestion du cycle de vie des micrologiciels
- Surveillance de la sécurité réseau
- Vérification de l’inventaire des actifs
- Évaluation des vulnérabilités
- Processus de mise à jour contrôlés
Ces activités deviennent aussi importantes que la maintenance préventive des systèmes mécaniques et électriques.
Le défi de la protection des équipements industriels existants
Bien que l’application de normes de cybersécurité lors de la fabrication de nouveaux équipements soit relativement simple, la mise à niveau des actifs industriels existants reste un défi majeur.
De nombreuses usines utilisent encore des machines installées il y a plusieurs décennies. Ces systèmes peuvent comprendre des automates programmables industriels (API) obsolètes, des réseaux de communication vieillissants et des plateformes logicielles qui ne sont plus prises en charge.
La mise en place rétroactive de contrôles de cybersécurité nécessite une ingénierie rigoureuse, car la disponibilité de la production est souvent la priorité absolue. Une amélioration de la sécurité ne doit pas provoquer d’arrêt imprévu ni perturber des processus industriels validés.
L’industrie a donc besoin de stratégies de migration pratiques qui concilient les améliorations de cybersécurité et les exigences opérationnelles.
Les approches possibles comprennent :
- Segmentation des réseaux entre les environnements IT et OT
- Solutions d’accès à distance sécurisé
- Gestion mise à jour des micrologiciels
- Déploiement de pare-feu industriels
- Outils de découverte et de surveillance des actifs
La cybersécurité devient partie intégrante de la sécurité industrielle
Historiquement, la sécurité des machines visait à prévenir les dangers physiques tels que les blessures mécaniques. Aujourd’hui, la cybersécurité est de plus en plus liée à la sécurité, car les incidents cyber peuvent influencer des processus réels.
Un contrôleur, un système de sécurité ou un réseau industriel compromis peut créer des conditions susceptibles d’affecter le fonctionnement des équipements et la sécurité du personnel.
Cela signifie que les normes industrielles futures continueront probablement à combiner des exigences de sécurité fonctionnelle et de cybersécurité.
Pour les professionnels de l’automatisation, cela représente un changement majeur dans les responsabilités d’ingénierie. Concevoir une machine ne consiste plus seulement à garantir son bon fonctionnement ; il faut également veiller à ce qu’elle reste digne de confiance tout au long de sa vie opérationnelle.
Une nouvelle ère de transparence des actifs industriels
Le concept de certificat de naissance cybersécuritaire met en évidence une transformation plus large de l’automatisation industrielle : chaque actif connecté a besoin d’un historique numérique complet.
À mesure que les usines deviennent plus intelligentes et plus connectées, la cybersécurité deviendra une discipline d’ingénierie standard, au même titre que l’ingénierie des systèmes de contrôle, la conception électrique et l’optimisation des processus.
L’approche de Rockwell Automation montre que la cybersécurité industrielle passe d’une protection réactive à une gestion proactive du cycle de vie.
L’environnement industriel de demain dépendra de la collaboration entre fabricants, intégrateurs de systèmes et exploitants pour maintenir des systèmes d’automatisation sécurisés, traçables et résilients. L’identité d’une machine ne se limitera plus à son numéro de modèle ou de série ; elle inclura son profil complet de cybersécurité.
