Cybersécurité des OT dès la conception

Si vous attendez que le bâtiment soit terminé pour décider où installer les caméras de sécurité et les systèmes de confinement des risques biologiques, vous devrez abattre des murs et dépenser beaucoup plus d’argent. En intégrant les spécialistes de la sécurité dans les plans initiaux, vous vous assurez que les médecins (les systèmes électriques) peuvent agir rapidement et sauver des vies (maintenir l’alimentation) sans que les mesures de sécurité ne les entravent.

Cette pression en faveur de la cybersécurité est en grande partie créée par l’intensification du paysage réglementaire mondial. En Europe, la directive NIS2 établit de nouvelles références pour les infrastructures critiques, tandis que la Suisse a introduit des réglementations spécifiques au secteur de l’énergie visant à garantir la résilience à long terme de l’approvisionnement. De même, aux États-Unis, le respect des normes NIST est en train de devenir une exigence standard pour les produits et les installations. Pour les entreprises d’ingénierie, il ne s’agit plus là de recommandations abstraites, mais plutôt d’exigences clients obligatoires qui doivent être satisfaites pour remporter des appels d’offres et assurer la réussite des projets.

Il existe un besoin essentiel dans cette transition réglementaire : combler le fossé entre les approches de sécurité différentes qui prévalent d’une part, dans l’univers de l’IdO/IT et d’autre part, dans le domaine spécialisé du génie électrique. Cette différence entraîne souvent des conflits techniques.

Alors que les normes de cybersécurité telles que la CEI 62443 recommandent généralement le chiffrement réseau, l’application de ce dernier aux réseaux électriques en temps réel peut augmenter la latence, ce qui est susceptible de retarder les relais de protection à action rapide, qui empêchent la détérioration de l’équipement ou les pannes. C’est pourquoi certaines mesures de sécurité qui sont largement utilisées en IT, ne sont pas directement applicables en OT. Afin d’atteindre malgré tout le niveau de cybersécurité requis, des mesures compensatoires adaptées doivent être mises en œuvre pour limiter le risque au niveau souhaité. Celles-ci doivent être prises en compte à un stade très précoce de la phase de conception, afin de minimiser les efforts et les coûts.

Le principal mécanisme permettant de transformer cet ADN de sécurité précoce en étapes concrètes est l’évaluation complète des risques de sécurité. Loin d’être un simple « exercice de cases à cocher », une évaluation des risques fait office de feuille de route stratégique permettant d’identifier quels équipements sont critiques et quel niveau de protection est requis (et réellement réalisable).

Par exemple, lors de l’extension d’un poste au Royaume-Uni, une évaluation des risques a montré que les anciens équipements ne pouvaient pas prendre en charge le chiffrement recommandé par la norme CEI 62443. Plutôt que de compromettre ou d’interrompre le projet, les ingénieurs ont documenté ce risque et mis en œuvre des contrôles compensatoires, tels que des politiques d’accès strictes et une surveillance spécialisée, ce qui a permis d’obtenir un système restant sûr sur le plan fonctionnel, tout en tenant compte des menaces numériques et en les atténuant. En documentant ces compromis, les ingénieurs ont trouvé une voie conciliant les normes idéales de sécurité et les dures réalités de la fonctionnalité opérationnelle.

Alors que le secteur s’oriente résolument vers une normalisation mondiale et une conformité obligatoire à des cadres tels que l’ISO 27019, la construction d’un réseau résilient n’est plus une tâche solitaire.  Les projets les plus réussis sont ceux considérés comme un « effort d’équipe », impliquant une profonde collaboration entre clients, ingénieurs et spécialistes de la cybersécurité. En intégrant la sécurité dès le premier jour, en documentant les risques de manière transparente et en utilisant une surveillance spécifique aux technologies opérationnelles, le secteur de l’énergie peut construire un avenir où l’approvisionnement reste sécurisé et où le réseau numérique reste résilient face à des menaces en constante évolution.