Une norme pour sécuriser l’IoT dans l’industrie

Schéma récapitulatif de la norme ISA-99

Schéma récapitulatif de la norme ISA-99

Motivé en particulier par les risques croissants liés aux objets connectés, L’ISO a publié en 2018 la norme ISA-99 destinée à améliorer la cyber-sécurité des systèmes industriels.

En 2000, une usine australienne de traitement des eaux radiocommandée a été attaquée par un employé indélicat. Beaucoup plus récemment, des sites industriels ukrainiens ont subi le même traitement. Pas de doute, dans l’industrie, la montée en puissance des objets connectés pose avec une acuité spécifique la question de la sécurité. La télémaintenance et, plus récemment la convergence avec l’informatique de gestion, ont déjà commencé à ouvrir des systèmes longtemps fermés et reposant sur des protocoles propriétaires considérés comme sûrs. Les nouveaux objets connectés augmentent entre autre la surface d’attaque, en d’autres mots, des portes d’entrée potentielles pour les pirates.

Une approche globale pour sécuriser

Entre autres, pour relever ce nouveau défi, le comité ISA‐99 de l’ISA, l’organisme de certification ISO, travaille depuis des années sur les spécifications d’une norme dédiée à la sécurisation des systèmes industriels, des automates comme des systèmes baptisés SCADA. Baptisée ISA/IEC 62443, le standard « ISA 99 » a été finalisé cette année. Il couvre tant les aspects techniques, devant répondre à sept exigences, que les bonnes pratiques et mesures organisationnelles à mettre en place. Il s’agit notamment de limiter la surface d’attaque, de contrôler ou d’interdire tous les entrées comme les clés USB, tablettes connectées…d’éviter les protocoles faibles comme Telnet, Modbus, TCP, Http, SMTP …. qui peuvent être facilement identifiés et écoutés, de durcir les équipements, ou encore, de mettre en place et de maintenir à jour des antivirus. La norme décrit également comme segmenter les systèmes en s’aidant des référentiels dédiés pour construire des zones sécurisées. A partir de cette segmentation, il devient possible de contrôler les flux et d’interdire tout trafic suspect, un démarche encore plus indispensable avec la mise en place d’objets connectés. Outre la phase initiale d’audit, et la définition des mesures à mettre en place, la norme prévoit également une surveillance régulière des systèmes.

2018-11-16T15:30:26+00:00novembre 16th, 2018|Actualités|