CYBERSECURITY
New Security Magazine 153 – janvier 2020
Les hackers ont les bâtiments et les entreprises dans leur ligne de mire
Pour Mirel Sehic, « on ne peut jamais exclure tous les risques, mais on peut mettre en place une stratégie efficace qui exclut le plus grand nombre possible de menaces. »
Pour les bâtiments, le nombre de fuites liées à la sécurité a augmenté de 65 % au cours des cinq dernières années.
Le monde entier est de plus en plus connecté. Selon les prévisions de Gartner, on recenserait déjà 20,8 milliards d’appareils connectés en 2020. Autant d’appareils qui ont besoin d’une cyberprotection adéquate. Et si les applications informatiques intègrent la cybersécurité dès leur conception, il n’en va pas de même pour de nombreux systèmes de commande. Afin de protéger les bâtiments et les biens contre les pirates informatiques, il nous faudra améliorer la sécurité et la sensibilisation aux cybermenaces. Entretien avec Mirel Sehic, directeur mondial de la cybersécurité chez Honeywell Building Solutions, au sujet des tendances pour 2020.
Le nombre d’attaques visant les bâtiments va aller croissant
En ajoutant des technologies et en se connectant, les bâtiments deviennent plus intelligents. Selon Gartner, la technologie du bâtiment représentera 81 % de l’Internet des objets en 2020. « Et cela génère une bonne dose de cyberrisques », précise Mirel Sehic. « À l’origine, la technologie du bâtiment a été conçue pour fonctionner en circuit fermé. Aujourd’hui, nous connectons rapidement ces systèmes au monde extérieur et au nuage informatique afin de tirer le meilleur parti possible du bâtiment tout au long de son cycle de vie… Mais nous oublions que cette technologie constitue un point d’accès vulnérable. » À cet égard, le contraste entre la technologie des commandes (OT) et celle de l’information (IT) est grand. Alors que les ordinateurs et les portables sont de plus en plus difficiles à pirater, pour les bâtiments, le nombre de fuites liées à la sécurité a augmenté de 65 % au cours des cinq dernières années. Pour Mirel Sehic, « il n’y a pas non plus de bouton de réinitialisation sur lequel appuyer pour les bâtiments. La priorité va à la disponibilité des fonctionnalités et des services. Prenons l’exemple d’un hôpital. Tout doit continuer à fonctionner, ce qui peut rendre les conséquences potentielles d’une attaque catastrophiques. »
La cybersécurité pour l’OT devient cruciale
Il est donc urgent de sensibiliser à cette vulnérabilité, car la numérisation et l’interconnexion des systèmes ne feront que se développer en 2020. Il est également frappant de constater que les entreprises qui restent hors ligne sont tout aussi exposées au risque d’une cyberattaque. Le loup peut alors entrer dans la bergerie sous la forme d’une clé USB, par exemple, car l’ingénierie sociale est cruciale en matière de cybersécurité. « La cybersécurité commence au niveau des utilisateurs. Avant même de nous pencher sur les processus et la technologie, nous devons les sensibiliser aux risques et leur inculquer les bonnes consignes en matière de cybersécurité pour chaque tâche, sans pour autant bloquer leur travail. » Une étude du CEB (Corporate Executive Board, qui fait partie de Gartner, NDLR.) permet de constater qu’environ 20 % des organisations disposant de réseaux IdO ont déjà dû faire face à au moins une attaque qui les impliquait. Mirel Sehic : « Auparavant, nous constations souvent un important manque de sensibilisation et de préparation dans le domaine de la cybersécurité de l’OT, mais les choses commencent à changer. L’amélioration de l’hygiène numérique de base et de la préparation aux incidents dans le domaine de la cybersécurité de l’OT font l’objet d’une attention et d’un budget croissants. N’importe quelle entreprise, n’importe quel bâtiment peuvent être des victimes potentielles. C’est pourquoi on parle d’«appétit du risque» : la probabilité d’une cyberattaque sera plus élevée pour certains bâtiments. Par exemple, un aéroport sera plus susceptible d’être visé qu’un hôtel. Et plus cette probabilité sera élevée, plus il faudra renforcer la sécurité pour atténuer les risques. »
Une demande accrue pour un nouveau type de professionnels de la sécurité
Pour circonvenir les cyberrisques, les entreprises devront donc délier leur bourse. Selon Gartner, le montant consacré à la sécurité de l’IdO va doubler pour atteindre 1,9 milliard d’euros en 2021. Le rôle du professionnel de la sécurité change à mesure que les cybermenaces continuent à évoluer et que la demande de cybersécurité OT augmente. Les professionnels de l’OT et des TIC coopèrent plus en plus pour se préparer et répondre aux cyberattaques ; mais d’ici 2020, nous nous attendons à voir de plus en plus de professionnels se spécialiser dans ces deux domaines. Ces personnes entament habituellement leur carrière dans une seule fonction, mais elles élargissent leurs compétences à mesure qu’elles acquièrent une expérience plus générale en matière de sécurité. Mirel Sehic poursuit : « Chez Honeywell Building Solutions, nous avons reconnu ce besoin croissant et avons créé un environnement d’apprentissage pour élargir nos talents et nos équipes de cybersécurité. Nous sommes convaincus que le secteur suivra bientôt. »
Priorité à une norme mondiale en matière de cybersécurité
En 2020, l’attention se concentrera sans doute davantage sur la standardisation de la cybersécurité des bâtiments. Une ligne directrice de premier plan au moins sera élaborée pour la sécurité des systèmes OT des bâtiments. Pour Mirel Sehic, « la tendance à la standardisation causera très probablement des remous au niveau international l’année prochaine. L’année 2020 sera sans doute dominée par la transformation que connaîtra la technologie du bâtiment, car les entreprises font de plus en plus d’efforts pour sécuriser leurs systèmes OT contre le nombre croissant de cyberattaques. Il est de plus en plus important de disposer des compétences adéquates pour résister au nombre croissant de menaces. »
Par Valérie Couplez
Photos Honeywell Building Solutions
buildingsolutions.honeywell.com
Comment assurer une cybersécurité adéquate?
Pour Mirel Sehic, directeur mondial de la cybersécurité chez Honeywell Building Solutions, nous devons tous faire un effort supplémentaire pour mettre en place une sécurité robuste. « Il est impossible de bannir tous les risques, mais on peut mettre en place une stratégie efficace qui exclut le plus grand nombre possible de cyberrisques. Les entreprises ont tout intérêt à procéder par strates. Le noyau est constitué d’habitudes simples mais efficaces : mise en place d’un pare-feu pour les connexions sortantes, implémentation de nouveaux patchs pour les systèmes et les applications, et formation du personnel à l’hygiène de base. Pour le faible niveau de sécurité périphérique, nous partons toujours d’un étalonnage à zéro. Où en est le client ? Quels sont les risques pour son entreprise ? En fonction de ces réponses, on augmente la sécurité en mettant en place un contrôle là où les risques sont les plus importants. Par ailleurs, une politique performante s’impose pour gérer les USB. C’est ainsi que l’on met en place la cybersécurité, couche par couche. La dernière couche consiste à se préparer aux incidents. Quid en cas de problème? Assurez-vous que tous les travailleurs connaissent la procédure correcte et qu’il y a des sauvegardes qu’ils pourront récupérer. Vérifiez régulièrement que ces sauvegardes sont opérationnelles et gardez-en aussi un exemplaire hors ligne. »