Suivez-nous

© 2016 PM SCADA.
Tous droits réservés.



S2CI ou ICS2 : Sécurité des systèmes de contrôles industriels.

Le terme générique « systèmes de contrôles industriels » SCI (Industrial Control Systems, ou ICS) englobe plusieurs types de systèmes de contrôles permettant d'automatiser les processus industriels, y compris les systèmes de surveillance et d'acquisition de données (SCADA), les systèmes de commande répartis (SCR), et d'autres configurations de système de commande de moindre envergure comme les contrôleurs logiques programmables (PLC).

Ces systèmes sont utilisés dans les industries de l'énergie, des services publiques, du transport, de la santé, de la fabrication, de l'alimentation et du traitement de l'eau.

PM SCADA propose des services professionnels spécialisés et personnalisés aux besoins d’affaires de l’industrie et aux besoins spécifiques de chacun de ces clients.

Concevoir, implanter et protéger… c’est notre mission!

Services Sécurité SCADA

Architecture de pointe technologie SCADA et sécurité.

▲  Élaboration d'un cahier de charges des besoins de l’entreprise.
▲  Tests des technologies en laboratoire selon les besoins spécifiques de l’entreprise.
▲  Amélioration de la solution.

Revue et amélioration de l’architecture en place

▲  Tests d'intrusions.
▲  Évaluation des vulnérabilités.
▲  Plan de gestion des vulnérabilités.
▲  Tests des technologies en laboratoire selon les besoins spécifiques de l’entreprise.
▲  Amélioration de la solution.

  

Architecture de défense
Cybernétique Personnalisée (Custom Cyber Defense)

▲  Preuves de concept de solutions de sécurité  (PoC).
▲  Durcissement des infrastructures.
▲  Implantation de solutions contre les Dénis de Services Distribués (DDoS).
▲  Éradication de logiciels malveillants (Malware Outbreak).
▲  Plan de gestion de vulnérabilités.
▲  Plan de gestion des rustines (OS) et logiciels.

Accompagnement dans la sélection des solutions de sécurité.

▲  Élaboration d'un cahier de charges des besoins de l’entreprise.
▲  Tests des solutions en laboratoire selon les besoins spécifiques de l’entreprise.
▲  Amélioration de la solution.


Bonnes pratiques en matière de sécurité informatique des SCI (ICS)

Élaborer une politique robuste sur la sécurité informatique commence par bien comprendre les risques auxquels l'organisation est confrontée ainsi que les risques auxquels elle peut exposer ses clients et la communauté.

Ces risques dépassent les pertes des données financières et commerciales sectorielles. Ces risques englobent les blessures et les pertes de vie. Les organisations doivent impérativement évaluer leur vulnérabilité aux menaces informatiques liées aux équipements électriques, en évaluer les risques afférents et mettre en place les mesures de protection appropriées.

Les risques sont évalués en fonction du domaine des affaires dans lequel l’entreprise oeuvre et selon les règles qui la régissent. Les tests de sécurité visant la solution recherchée sont effectués et mis à l’essai dans un environnement réseau sécurisé – hors service – avant de les mettre définitivement en place.


Segmentation de réseau

Elle consiste à séparer le système en zones de sécurité distinctes et à mettre en œuvre des couches de protection afin d'isoler les parties vitales du système à l'aide d'un dispositif d'application des politiques. Séparez les réseaux administratifs des réseaux des systèmes de commande. Le comité ISA99 a établi 6 niveaux de segmentation :

Niveau 0 - réseau du bus d'instrumentation;
Niveau 1 - réseau de commande;
Niveau 2 - réseau des systèmes de commande (HMI);
Niveau 3 - zone DMZ (opérations);
Niveau 4 - réseau d'entreprise;
Niveau 5 - zone DMZ (Internet).

Utilisez un pare-feu prenant en charge les zones DMZ entre les segments du SCI (ICS) et les segments de TI ou utiliser une paire de pare-feu pour créer une zone DMZ.

PM SCADA procède à l’évaluation des équipements et solutions. Selon le cas, nous travaillerons conjointement avec le fabricant pour faire évoluer le produit afin qu’il répond aux besoins d’affaires du secteur industriel et aux besoins spécifiques à chacun de ces clients.

Configuration et gestion des pare-feu

▲  Les accès physiques au pare-feu doivent être étroitement contrôlés.
▲  Consigner tous les flux de données qui doivent traverser des zones de sécurité, y compris une justification opérationnelle avec analyse des risques.
▲  Appliquer une méthodologie «Zéro Confiance» (ZERO-TRUST) par défaut
▲  Appliquer des filtres de sortie là où aucun trafic sortant n'est requis.
▲  Passer régulièrement en revue les configurations de pare-feu pour vous assurer que les justifications de la règle ou de la politique sont toujours valides et que les contrôles de sécurité sont en place.
▲  Les modifications de la configuration des pare-feu sont soumises aux mêmes exigences en matière de gestion des modifications que toute configuration d'appareil d'un SCI (ICS).
▲  Surveiller les journaux et les événements des systèmes de détection des intrusions «SDI» (IDS/IPS) afin de détecter tout trafic anormal et toute tentative d'intrusion possible.
▲  Définir le rôle du pare-feu du SCI (ICS) dans le plan d'intervention en cas de cyber incident.

PM SCADA étudie les outils servant à automatiser de la gestion des configurations et la stratégie de déploiement répondant aux besoins d’affaires du secteur industriel et aux besoins spécifiques de chacun de ces clients.


Accès à distance

De nos jours, la politique de sécurité dite «des 6 murs» fait place à des technologies offrant un accès à distance «sécurisé» aux systèmes informatiques. Cette possibilité nécessite des politiques de sécurité strictes.

▲  Imposer impérativement aux utilisateurs des ordinateurs appartenant à l'entreprise, des conditions d'emploi strictes et des technologies de contrôle d'accès éprouvées. Ces ordinateurs doivent être soumis aux politiques de l'organisation en matière de sécurité et ne servir qu’aux seules fins pour lesquelles ils ont été fournis.
▲  Obliger les fournisseurs et les entrepreneurs disposant d'un accès à distance à se conformer aux politiques de l'organisation en matière de sécurité en imposant des règles contractuelles répondant à la règle énoncée ci-dessus.
▲  Changer les numéros par défaut des ports de communications réseau associés aux protocoles d'accès à distance bien connus.
▲  Configurer le RPV de façon à ce que la tunnellisation fractionnée ne soit pas permise par une politique technique.
▲  Surveiller et informer au moyen d’alerte toutes les sessions ouvertes par accès à distance. Journaliser l'identifiant de l'utilisateur ainsi que l'heure et la durée de l'accès à distance.
▲  Implanter des mécanismes de sécurité sur les mots de passe et sur l’autorisation d’accès.
▲  Imposer une authentification à double facteurs pour toutes sessions par accès à distance.
▲  Configurer le logiciel d'accès à distance au niveau de sécurité maximal.
▲  Chiffrer toutes les communications passant par des réseaux n'étant pas utilisés exclusivement par le système de contrôle.
▲  Configurez le SDI (IDS/IPS) pour qu'il inspecte tout le trafic réseau qui passe par le tunnel du RPV.

PM SCADA teste les solutions sécuritaires pour limiter les connexions à distance à des ressources précises du système de contrôle et ce, par une passerelle spécialisée personnalisée adaptée aux besoins spécifiques de chacun de ces clients.


Communications sans-fil

Les bornes sans-fil sont extrêmement vulnérables aux attaques entraînant une infiltration (MiTM) et un déni de service (DoS/DDoS). S'il est possible de déceler ce genre d'attaque, on ne peut toutefois l'empêcher lorsqu'elle relève du niveau physique (RF).

▲  Imposer des politiques de sécurité restrictives pour les réseaux locaux sans fil (WLAN).
▲  Segmenter le réseau sans fil et le séparer du réseau câblé au moyen d'un pare-feu ou d'un dispositif de sécurité éprouvé.
▲  Imposer impérativement aux utilisateurs des conditions d'emploi strictes et des technologies de contrôle d'accès éprouvées aux utilisateurs et utiliser des ordinateurs appartenant à l'entreprise. Ces ordinateurs doivent être soumis aux politiques de l'organisation en matière de sécurité et ne servir qu’aux seules fins pour lesquels ils ont été destinés.
▲  Protéger le trafic du WLAN par la mise en œuvre d'un chiffrement fort (802.1x)/WPA2. Interdire le chiffrement WEP.
▲  Limiter au strict minimum le trafic entre le WLAN et le réseau câblé.
▲  Limiter la puissance d'alimentation et la puissance des antennes afin de couvrir que la zone requise.
▲  Effectuer un balayage périodique afin de repérer d'éventuels points d'accès sans fil non autorisés.
▲  Utiliser des conventions d'appellation SSID complexes.
▲  Donner aux appareils du WLAN des adresses IP statiques.
▲  Les diffusions ARP du réseau câblé ne doivent pas se propager au WLAN.
▲  Désactivez la configuration WiFi Protected Setup (WPS) et vérifier périodiquement qu'elle reste bien désactivée.
▲  Protéger les points d’accès avec des coupe-feu personnalisés.


Gestion des correctifs

La gestion des correctifs (rustines) constitue un aspect important de toute stratégie globale visant à assurer la sécurité d'un système de contrôle.
La gestion des correctifs présente toutefois une difficulté car il est difficile de déployer automatiquement les nouveaux correctifs dans l'environnement d'un SCI sans risquer d'interrompre les opérations, d'où la nécessité de planifier soigneusement les périodes d'entretien et d'essais afin de trouver le bon équilibre entre la fiabilité et la sécurité des systèmes.
PM SCADA effectue ces tests en laboratoire.

▲  Comprendre clairement les vulnérabilités des systèmes SCI, l'exposition des éléments vulnérables et les mesures d'atténuation pertinentes.
▲  Établir, à l’aide d’analyses de risques si les avantages de la correction d'une vulnérabilité surpassent le risque du déploiement des correctifs.
▲  Acquérir une connaissance pratique de tous les paliers d'application des correctifs.
▲  Appliquer par ordre de priorité les correctifs visant les appareils.
▲  Utiliser un gestionnaire de correctifs et un serveur antivirus réservés du côté DMZ du SCI.


Contrôle d'accès et politiques connexes

Le contrôle d'accès est un sujet très vaste qui couvre tous les aspects de l'accès à un réseau, à un appareil ou à un service, tant sur le plan physique que sur le plan électronique.

▲  Élaborer une politique de contrôle d'accès définissant les règles et les droits logiques et physiques appropriés de chaque utilisateur ou de chaque groupe d'utilisateurs.
▲  Utiliser plusieurs méthodes d'authentification pour les SCI essentiels.
▲  Imposer un accès guidé appelé «Shadowing» lors de l'exécution de tâches à risque élevé, par exemple des opérations industrielles comportant des risques opérationnels critiques.
▲  Séparer les données jugées de nature très délicate ou susceptibles d'avoir des répercussions sur les activités des autres renseignements internes de façon à ce que les contrôles d'accès existants puissent restreindre l'accès aux premières.
▲  Utiliser des contrôleurs de domaine pour gérer le contrôle d'accès aux ressources du SCI.
▲  Établir des domaines SCI distincts pour chaque zone de production.
▲  Éviter tout lien de confiance entre les domaines de TI et les domaines SCI.
▲  Utilisez les unités organisationnelles pour séparer davantage les ressources en unités logiques ou fonctionnelles.
▲  Appliquer une politique sur les mots de passe et changer les mots de passe par défaut.


Sécurisation des systèmes

La sécurisation d'un système consiste à en verrouiller les fonctionnalités pour bloquer les accès et les changements non autorisés, à retirer les fonctions superflues et à corriger toute vulnérabilité connue.

▲  Verrouiller les fonctionnalités des composants du système.
▲  Désactiver l'exécution automatique pour tous les supports amovibles ou bloquer physiquement ces fonctions.
▲  Retirer toute fonction ou caractéristique non utilisée.
▲  Apporter des solutions à rémédier à toute vulnérabilité connue.
▲  Activer les journaux de sécurité de l'hôte et la journalisation DNS.
▲  Collaborer avec le fabricant des composants du SCI pour obtenir des recommandations et des outils.
▲  Appliquer une politique sur les mots de passe et veillez à changer les mots de passe par défaut.
▲  Mettre à jour le firmware de tout système intégré.

PM SCADA apporte des solutions aux vulnérabilités.


Détection des intrusions

La mise en place d'une méthode de surveillance et de repérage des activités malveillantes qui menacent le réseau s'impose pour tous les systèmes.
Si aucune surveillance n'est exercée, les incidents de sécurité mineurs deviendront des problèmes potentiellement graves.

Voici une liste générale des pratiques exemplaires en matière de détection des intrusions :

▲  Utiliser les outils et les trousses de SCI et de SCADA propres aux SDI.
▲  Déployer un SDI derrière le pare-feu du SCI avec une signature propre à ce système.
▲  Analyser les fichiers journaux pour détecter les intrusions.
▲  Les outils de gestion de l'information et des événements liés à la sécurité offrent une perspective centralisée des journaux pouvant faire ressortir des problèmes relatifs à la sécurité.
▲  Configurer le SDI de façon à ce que des alertes soient envoyées au personnel approprié.
▲  Envisagez le déploiement d'un serveur «Honeypot» qui permettra de repérer rapidement toute activité suspecte sur le réseau.

PM SCADA met à la disposition de ses clients un laboratoire pour analyser et tester ces solutions.


Sécurité des lieux et de l'environnement

Restreindre l'accès physique aux biens essentiels des SCI aux seules personnes autorisées à effectuer leur travail, et n'utiliser que l'équipement approuvé ou autorisé (Règle 1).
Au-delà du contrôle d'accès physique, protéger les équipements essentiels, comme les SCI, contre les risques environnementaux.

▲  Protéger l'équipement informatique qui ne se trouve pas dans les salles de commande, comme les routeurs ou les pare-feu, en les plaçant dans un environnement verrouillé.
▲  Utiliser un système de suivi de l'équipement pour en établir l'emplacement et déterminer la personne qui en est responsable.
▲  Désactiver tous les ports de données inutilisés, comme les ports de commutateur et les ports USB, au plus bas niveau possible du système d'exploitation, idéalement au niveau du BIOS.
▲  Brancher de faux connecteurs qui ne peuvent être retirés qu'à l'aide d'un outil dans tous les ports inutilisés.
▲  Brancher de faux connecteurs qui ne peuvent être retirés qu'à l'aide d'un outil dans tous les ports de données qui sont nécessaires pour accéder à l'équipement temporaire ou portable.
▲  Interdire à des hôtes externes de se connecter aux segments de réseau d'un SCI.
▲  Interdire l’utilisation de supports de données amovibles non approuvés.

PM SCADA met en place des politiques et des mesures de vérification fonctionnelles.


Détection et protection contre les « malwares ».

Les avantages de l'utilisation d'un logiciel antivirus sur les SCI hôtes dépassent largement les risques d'effets négatifs mais ils ne sont pas tous adaptés aux besoins industriels.

▲  Déployer et gérer un logiciel antivirus sur les SCI hôtes exploités sous Windows mais aussi sous Unix et Linux.
▲  Échelonner les mises à jour en commençant par les systèmes non essentiels ou par les systèmes dont le plan de mise à jour est approuvé par le fournisseur.
Puis procéder aux mises à jour des systèmes les plus importants.
▲  Le routage nul et les DNS « sinkholes » permettent de repérer rapidement les hôtes mal configurés ou infectés qui risquent de chercher à établir la communication.

PM SCADA travaille en étroite collaboration avec les fabricants pour adapter des solutions aux besoins du domaine industriel.


Sensibilisation

Former et de sensibiliser le personnel quant à la sécurité des SCI pour réduire les risques liés à la cybersécurité.
Tout programme de sécurité des SCI doit obligatoirement être assorti d'un programme de formation et de sensibilisation afin que les employés comprennent leur rôle et les attentes de l'entreprise.
Un personnel informé et vigilant constitue l'un des moyens de défense les plus importants dans la sécurisation d'un système.

Tout manquement aux règles de sécurité doit être sanctionné.

▲  Élaborer et communiquer au personnel une politique organisationnelle compréhensive sur la sécurité des systèmes de commande.
▲  Présenter des sessions de sensibilisation et de formation sur la sécurité des systèmes de commande.
▲  Surveiller les listes de vulnérabilités, les listes de mises à jour de fournisseurs et les alertes de sécurité de l'équipe d'intervention en cas d'urgence informatique (CERT) visant le système SCI et les ressources qui le protègent.

Avec ses partenaires, PM SCADA offre des sessions de sensibilisation sur les enjeux de sécurité des SCI.


Évaluations et vérifications périodiques

De nombreux facteurs influent sur la sécurité d'un système durant tout son cycle de vie.
Il importe donc de mettre à l'essai et de vérifier périodiquement la configuration du système de sécurité afin de s'assurer qu'il offre toujours une sécurité maximale.

▲  Mettre à l'essai et vérifier périodiquement la configuration du système afin de vous assurer que celui-ci offre toujours une sécurité maximale.
▲  Utiliser les outils de vérification de la sécurité.
▲  Procéder au repérage des vulnérabilités et aux essais de pénétration seulement lorsque le système se trouve hors ligne (p. ex., à l'arrêt ou à la reprise du système).

PM SCADA met en place des environnements sur mesure pour tester et repérer les vulnérabilités des systèmes.


Contrôle des changements et gestion des configurations

Les politiques et procédures relatives à la gestion des changements permettent de contrôler les modifications apportées au matériel, aux « firmeware », aux logiciels et à la documentation afin de s'assurer que le SCI se trouve à l'abri des modifications inappropriées avant, pendant et après la mise en service.

▲  Limiter l'accès aux paramètres de configuration et de sécurité des produits de SCI.
▲  Veiller à ce que toute modification apportée au SCI réponde aux normes de sécurité qui figurent dans les plans d'évaluation des risques et d'atténuation.
▲  Procéder à l'évaluation des risques pour tout changement apporté au réseau du SCI susceptible de porter atteinte à la sécurité.
▲  Tenir à jour la documentation relative à la configuration du réseau du SCI.

PM SCADA fournit les outils pour faire la collecte de l’information, la gestion des configurations et la documentation des fonctions techniques et spécifiques.


Planification et intervention en cas d'incident

Un plan d'intervention complet en cas de cyber incident doit contenir à la fois des mesures proactives et des mesures défensives.
Les mesures proactives aident à prévenir les incidents ou permettre une intervention maximale lors d'un incident, alors que les mesures réactives aident à détecter et gérer un incident.

▲  Établir le mandat, les objectifs et les buts de l'équipe d'intervention en cas d'incident.
▲  Créer une équipe d'intervention en sécurité informatique et attribuer les ressources, les outils et la formation appropriés.
Ces équipes sont responsables de la surveillance des incidents et de l'atténuation des incidents informatiques.
▲  Établir et mettre en place des moyens de détection des incidents et d'évaluer de leur gravité.
▲  Établir un plan de relève et identifier les personnes à prévenir ainsi que les organisations externes, police, équipe nationale d'intervention en cas d'incident informatique.

PM SCADA en collaboration avec les autorités compétentes conçoit et implante des plans de relève pour les besoins des entreprises.