Les systèmes OT sont confrontés à des cybermenaces croissantes qui mettent en péril les infrastructures critiques
La technologie opérationnelle (OT) est le moteur silencieux de tout ce dont nous dépendons : l’électricité, l’approvisionnement en nourriture, l’eau potable, les transports. Elle ne fait pas l’objet d’autant d’attention que les technologies de l’information, mais lorsqu’elle tombe en panne, nous le remarquons. Rapidement. Et en ce moment, les niveaux de menace visant les technologies opérationnelles sont de plus en plus élevés.
Les cyberattaques Les cyberattaques ne se limitent plus aux boîtes de courrier électronique ou aux applications mobiles. Le ransomware de Colonial Pipeline en 2021 l’a prouvé en provoquant une pénurie de gaz et une panique nationale. C’était un signal d’alarme. Depuis, les données n’ont fait que renforcer la gravité du problème. Fortinet a constaté que 82 % des organisations ont été victimes d’intrusions dans leurs systèmes OT au cours de l’année écoulée. Ce chiffre est passé de 49 % deux ans plus tôt. Si vos opérations reposent en partie sur des systèmes OT hérités, ou même sur des systèmes OT modernes et connectés, vous devez vous préoccuper de ce problème.
Ce qui a changé, ce n’est pas seulement la fréquence. C’est l’ampleur et la précision de ces attaques. Les environnements OT n’ont souvent pas les couches de protection courantes dans les TI, et les attaquants le savent. La segmentation est souvent minimale, les contrôles d’accès obsolètes et la dépendance à l’égard de systèmes supposés « hors ligne » ou isolés est excessive. Ce n’est plus le cas. Ce postulat est mort.
Les dirigeants doivent considérer cela non pas comme un problème marginal, mais comme une question primordiale de continuité des activités. L’infrastructure peut être attaquée numériquement aujourd’hui, tout aussi facilement qu’elle a pu l’être physiquement par le passé. Si votre entreprise fournit quelque chose dont le public dépend, de l’énergie, de l’eau, de la logistique, de la nourriture, la question n’est pas de savoir si votre système d’exploitation sera attaqué, mais quand il le sera. Il s’agit de savoir quand.
La panique n’a pas lieu d’être. Mais il est temps de penser clairement et de prendre des mesures décisives.
Les cyberincidents potentiels liés à la technologie de l’information pourraient entraîner des pertes financières catastrophiques.
Les chefs d’entreprise et les membres des conseils d’administration savent gérer les risques connus. Ce qui est dangereux, c’est l’angle mort, surtout lorsque les conséquences se chiffrent en milliards.
Selon un rapport conjoint de Dragos et Marsh McLennan, les défaillances de cybersécurité des OT pourraient coûter à l’économie mondiale près de 330 milliards de dollars en une seule année. Il ne s’agit pas ici de perturbations marginales. Il s’agit de pannes multisectorielles, principalement dues à des interruptions d’activité, qui devraient représenter 172 milliards de dollars sur ce montant. À titre de comparaison, le risque annuel moyen d’interruption d’activité au niveau mondial s’élève actuellement à 12,7 milliards de dollars. Ainsi, lorsque nous parlons d’une probabilité de 0,4 % qu’un scénario cybernétique à fort impact se produise en 2026, nous sommes confrontés à une probabilité faible en nombre mais massive en conséquence.
Voici le problème le plus profond. La plupart des organisations considèrent encore la cybersécurité comme une fonction informatique : pare-feu, courriels, etc, hameçonnage. Cette approche prive de priorité les technologies de l’information, qui se situent souvent en dehors du périmètre de la cybersécurité moderne. Ce fossé est le talon d’Achille. Les entreprises qui ne parviennent pas à recadrer la sécurité OT comme un élément central du risque d’entreprise se dirigent tout droit vers une exposition cachée.
Il ne s’agit pas de dépenser plus. Il s’agit de dépenser correctement. Lorsque vos systèmes OT ne sont pas protégés, vous laissez le principal moteur de vos opérations ouvert à la manipulation. Il peut s’agir d’un verrouillage par ransomware. D’un sabotage. Ou d’une violation silencieuse et durable du système que personne ne remarque avant qu’il ne soit trop tard.
Il y a des avantages à agir rapidement. Renforcer les défenses OT dès maintenant, même avec des stratégies de base comme la segmentation du réseau et les correctifs de base, peut réduire considérablement l’exposition au risque. Mais les dirigeants doivent être à l’origine de ce changement. Si les mandats ne viennent pas d’en haut, il est rare qu’ils soient suivis d’effet.
Une alliance mondiale pour la cybersécurité a publié des lignes directrices détaillées.
Les gouvernements interviennent maintenant pour combler les lacunes de longue date dans la gestion des actifs informatiques. Des agences des États-Unis, d’Australie, du Canada, d’Allemagne, des Pays-Bas et de Nouvelle-Zélande ont publié des orientations claires axées sur la résilience opérationnelle et les principes fondamentaux de la sécurité. Leur objectif est précis : donner aux opérateurs d’infrastructures critiques des stratégies exploitables pour maintenir des inventaires précis des actifs d’OT.
Les lignes directrices vont au-delà de la documentation de base. Elles mettent l’accent sur l’évaluation des risques liés aux actifs, la hiérarchisation des contrôles de sécurité, l’application des principes de sécurité dès la conception et la gestion des cycles de vie du matériel, y compris la planification des pièces de rechange. Elles encouragent l’évaluation des coûts des mises à niveau des systèmes par rapport aux risques potentiels de pannes, et la mise en place de mises à jour par le biais de pratiques disciplinées de gestion du changement.
C’est important, car la visibilité du paysage de vos ressources informatiques détermine l’efficacité avec laquelle vous pouvez les sécuriser. Vous ne pouvez pas réparer ce que vous ne pouvez pas voir. Et vous ne pouvez pas évaluer les risques lorsque votre inventaire est statique, obsolète ou approximatif.
Pour les décideurs, ces orientations ne nécessitent pas de restructuration massive. Elles exigent un esprit de décision. Attribuez la responsabilité du suivi des actifs, soutenez-la par une discipline de processus et alignez l’investissement sur la criticité opérationnelle. Lorsque les informations sur les actifs sont centralisées et mises à jour en permanence, vos équipes peuvent agir plus rapidement et avec plus de précision. Cela signifie des correctifs plus rapides, une meilleure segmentation, moins de surprises et, en fin de compte, une meilleure continuité opérationnelle.
À l’avenir, ne considérez pas l’inventaire des technologies de l’information comme une simple case à cocher. Considérez-le comme une contribution stratégique à votre feuille de route plus large en matière de risques et d’opérations. C’est grâce à ce changement de mentalité que la sécurité peut véritablement prendre de l’ampleur.
Principaux enseignements pour les dirigeants
- L’exposition aux technologies opérationnelles s’accélère : Les technologies opérationnelles sont confrontées à une recrudescence des cyberintrusions, 82 % des organisations ayant signalé des incidents, contre 49 % il y a seulement deux ans. Les dirigeants doivent réévaluer leurs postures en matière de risques OT et élever l’OT au rang de priorité de sécurité au même titre que l’informatique.
- Le risque financier est sous-estimé : Les cyber-événements liés aux technologies de l’information pourraient coûter à l’économie mondiale jusqu’à 330 milliards de dollars par an, principalement en raison des interruptions d’activité. Les dirigeants devraient aligner l’évaluation des risques et les dépenses afin de refléter l’impact réel de la technologie de l’information sur la continuité et les revenus.
- Des exploits RCE actifs exigent des correctifs urgents : Une faille critique dans la plateforme Erlang est activement exploitée, permettant aux attaquants de prendre le contrôle du système sans authentification. Les dirigeants doivent ordonner l’application immédiate de correctifs et assurer une surveillance continue des vulnérabilités dans les environnements OT.
- Les réponses tardives aux failles connues sont coûteuses : les vulnérabilités de Citrix NetScaler ont été exploitées des semaines avant leur divulgation, ciblant des fournisseurs d’infrastructure dans le monde entier. Les décideurs devraient accélérer les cycles de correctifs et mettre en place un suivi en temps réel des vulnérabilités.
- Le chiffrement défectueux des protocoles industriels affaiblit les défenses : OPC UA, un protocole industriel couramment utilisé, contient de sérieuses failles qui permettent de contourner l’authentification dans de nombreux produits. Les dirigeants doivent vérifier les implémentations des fournisseurs, imposer des configurations sécurisées et appliquer les mises à jour à l’ensemble du système.
- Les agences mondiales appellent à un meilleur contrôle des actifs informatiques : De nouvelles orientations internationales soulignent la nécessité de dresser des inventaires complets et en temps réel des actifs informatiques pour renforcer la sécurité. Les dirigeants devraient attribuer la responsabilité de la visibilité des actifs et la lier directement aux stratégies de réponse aux risques et aux incidents.
