Systèmes industriels : une confiance encore trop grande

Ils apparaissent confiants, ces familiers de l’informatique industrielle (ICS/Scada). Business Advantage a en sondé près de 360 à travers le monde en début d’année, pour Kaspersky. Tous évoluent dans une entreprise disposant d’une politique de sécurité de l’informatique industrielle et plus de 8 sur dix s’estiment bien préparés à d’éventuels incidents. Ils semblent y avoir tout intérêt : la moitié des entreprises qu’ils représentent a subi entre 1 et 5 incidents de sécurité informatique au cours des 12 derniers mois.

Dans ce contexte, la conscience de la menace semble, sans surprise, bien présente : près des trois quarts des sondés indiquent croire à la possibilité d’une attaque visant leurs infrastructures. Une demi-surprise, en fait : début 2016, déjà, selon une étude Tripwire, trois quarts des DSI du le secteur de l’énergie, des utilités, du pétrole et du gaz estimaient que leur organisation constituait une cible pour des cyberattaques susceptibles de provoquer des dommages physiques. Des résultats plutôt rassurants alors que quelques mois plus tôt, en septembre 2015, Frost & Sullivan estimait au contraire que les technologies de l’information (IT) et les technologies opérationnelles (OT) continuaient d’évoluer dans deux sphères trop distinctes pour que progresse la sécurité des systèmes industriels. Mais tout n’est pas rose pour autant.

Il y a un an, Kaspersky dressait une photographie inquiétante de la situation de la sécurité des systèmes ICS/Scada, avec des vulnérabilités nombreuses et, surtout, des systèmes accessibles ouvertement en ligne. Pour autant, aujourd’hui, les erreurs du personnel et les actions involontaires n’arrivent qu’en troisième position des préoccupations. En tête : les logiciels malveillants génériques.

Mais cela semble être le fruit de l’expérience : plus d’un sondé sur deux indique avoir eu à gérer une compromission par logiciel malveillant générique l’an passé. Fin mars, Robert Lee, Pdg et fondateur de Dragos, un spécialiste de la sécurité des infrastructures critiques, faisait d’ailleurs un constat cohérent avec celui-ci : selon lui, il faudrait compter sur 3000 sites industriels affectés chaque année par des logiciels malveillants génériques. Le tristement célèbre Conficker n’est d’ailleurs pas là absent.

Selon l’étude de Kasperksy, la priorité des spécialistes de la sécurité des environnements ICS/Scada est aujourd’hui au recrutement de collaborateurs compétents sur le sujet. Mais l’interconnexion croissante entre IT et OT est une réelle préoccupation. Et sans compter avec la difficulté à trouver des partenaires pour les aider à déployer des solutions appropriées. Et justement, 42 % des sondés prévoient d’en installer dans les 12 prochains mois.