{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:RB26KBP2TDHQ4J7WRYFPDDRAU4J2V3VS", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00011.parquet"}
SCADA : les responsables sécurité prennent leurs marques
Assises de la Sécurité : L'infection de sites par le virus Stuxnet a mis en lumière la vulnérabilité des infrastructures industrielles, qui impose une prise en compte des risques informatiques. Les responsables sécurité de la SNCF, de Cofiroute et de Saint Gobain s'emparent du débat aux Assises de la Sécurité (Monaco).
Christophe Auffray
Monaco, envoyé spécial - Le virus Stuxnet a remis sur le devant de la scène la sécurité des systèmes industriels, souvent critiques comme le sont ceux pilotant les centrales nucléaires, par exemple.Différents incidents sont survenus sur des systèmes SCADA (Supervisory Control And Data Acquisition), dont certains étaient la conséquence de malveillances. Ainsi en 2003 le ver Nachi contaminait des réseaux de distributeurs automatiques de billets. L'année dernière, un informaticien du service routier de la ville de Los Angeles a lui été jugé pour une modification du système gérant les feux de signalisation, qui avait provoqué quatre jours d'embouteillage.Pour autant, les menaces ne sont pas nouvelles et les experts de la sécurité les ont déjà abordées ces dernières années. Une accentuation des risques est cependant notée ; celle-ci a plusieurs causes, dont la principale est sans doute la migration des environnements informatiques industriels sur des solutions standardisées, tel que Windows. Accentuation des risques« On banalise le système d'exploitation, mais aussi le réseau de trames de données. On passe, et c'est je pense un phénomène dangereux, sur des systèmes d'hypervision qui ne sont pas nécessairement hébergés dans des locaux bien sécurisés ou qui ont une passerelle entre une informatique conventionnelle et une informatique industrielle... Tout cet environnement s'est standardisé et ouvert, sans que pour autant les responsables de production aient mis en place des moyens de sécurité » résume le président du Clusif, Pascal Lointier.Les entreprises commencent à réagir à cette mutation en confiant la supervision de la sécurité de cette informatique industrielle, habituellement gérée hors de la DSI, à un acteur clé : le RSSI. C'est ainsi le cas au sein de la SNCF. Pour autant, sa légitimité n'est pas acquise. Ce changement implique par ailleurs une évolution organisationnelle et un travail de sensibilisation.« Il a été décidé que le système de management de la sécurité, essentiellement basé sur les SI classiques, allaient s'étendre sur la partie SI industriel à partir de l'année prochaine » annonce le RSSI de la SNCF, Sylvain Thiry. « La SNCF n'est pas un cas isolé, et très souvent, ces systèmes industriels ne sont pas sous la responsabilité des RSSI » ajoute-t-il.Etendre le périmètre des responsables de la sécuritéPremière étape préconisée donc, étendre le périmètre des responsables et directeurs de la sécurité. Chez Cofiroute, concessionnaire autoroutier privé, la standardisation de l'environnement industriel est déjà une réalité, notamment sur le tunnel Duplex A86 où les applications sont déployées sur des OS Windows 2000 et 2003. Toutefois, cette architecture est supervisée par la sécurité informatique.Les différents risques d'exploitation ont été identifiés : pannes, virus, intrusion et malveillance. Et des réponses sont apportées.« Sur le volet pannes et sinistres, il faut savoir que ces systèmes ont été conçus dès le départ pour être redondants : les réseaux, les fibres, les salles informatiques, l'alimentation sont doublées. Un clone de la salle d'exploitation est également disponible sur un deuxième site » détaille ainsi Laurent Beaussart, à la fois RSSI et directeur adjoint des systèmes opérationnels chez Cofiroute.Sas de décontamination et isolement des réseaux chez Cofiroute Pour faire face à la menace virale, Cofiroute a mis en place une architecture de protection interne qui s'appuie notamment sur un « sas de décontamination », en fait un passage obligé pour tout code entrant. Outre une sensibilisation des personnels exploitants, des règles classiques d'hygiène informatique ont été appliquées, parmi lesquelles le vérouillage des ports UBS.Afin de prévenir les intrusions, Cofiroute a isolé ses réseaux. Aucune connexion vers l'extérieur n'est possible, hormis pour une application spécifique, qui contractuellement impose une télémaintenance. Pour bloquer les attaques potentielles sur ce canal, une liaison point-à-point lui est dédiée avec des postes surveillés en interne.Enfin, si de l'OS Windows est déployé, l'architecture ne repose pas intégralement sur ce type de plate-forme. « Il y a de la logique dans les automates. Typiquement, les régimes de ventilation sont codés dans les automates. En cas de dysfonctionnement, ces derniers peuvent eux-mêmes déclencher la ventilation. Des consoles annexes, système par système, permettent quant à elles de prendre la main en cas d'incident sur la supervision centrale » complète Laurent Beaussart.La sécurité ne rentre pas dans la logique des applications métiersToutefois, la sécurité n'est pas encore un composant de l'ADN de ces briques implémentées en informatique industrielle. « Sur les aspects fonctionnels, ces applicatifs sont bien conçus. En revanche, les volets techniques et sécurité ne rentrent pas dans la logique métier de ce type d'application. Les RSSI ont un devoir d'évangélisation à faire auprès de ces prestataires, afin par exemple de remplacer l'authentification classique par mot de passe par une authentification par un annuaire » constate le RSSI de Cofiroute.La question de la sécurisation de l'informatique industrielle s'est également posée au sein de Saint Gobain, avec comme déclencheur de risque la convergence de technologies. Typiquement, l'informatique d'une usine du groupe français s'articule autour du pilotage direct des lignes de production, de l'aide à la production et à la qualité, enfin de la planification et de l'approvisionnement.Pour des questions principalement de coûts et de facilité de déploiement, les logiciels tels que Windows sont entrés dans les usines. Mais les nouveaux besoins de l'informatique industrielle peuvent eux-aussi être des facteurs de risque.« Nous avons des besoins d'interaction très forts entre les ERP et les systèmes de production, dans un sens, mais aussi dans l' autre. Et nous avons aussi des besoins de télémaintenance en interne, mais aussi avec des tiers. Des centres d'expertise vont ainsi se connecter à distance pour des opérations de maintenance » commente Cyril Moneron, directeur de la sécurité des systèmes d'information de Saint Gobain.La légitimité des DSI sur les systèmes informatiques industriels peu reconnue Particularité de Saint Gobain, la direction sécurité s'est auto-saisie de cette problématique afin d'identifier et prévenir les risques de l'informatique industrielle. « Nous avons déployé une méthode avec une approche par les risques pour essayer tant bien que mal de responsabiliser la partie non IT. Des correspondants dans les sites ont été identifiés pour être à 50/50 entre des gens de l'IT et de la production » précise Cyril Moneron.La sécurité des systèmes d'information s'efforce peu à peu de s'emparer de ce sujet, l'informatique industrielle, qui pour nombre d'entreprises est le centre névralgique de son activité. Néanmoins, le RSSI doit souvent au préalable convaincre de la légitimité de son intervention. « Au départ, nous n'avions pas de légitimité, et l'IT n'a toujours pas totalement cette légitimité sur les systèmes informatiques industriels. Nous avons parfois encore un peu de mal à nous faire entendre » reconnaît le DSSI de Saint Gobain.
Sujet: Sécurité Infrastructure Informatique Réseaux Cloud Monitor
Suivre via: RSS
﻿ salutmerci pour l'article qui fait un bon tour d'horizon de ce qui se passe sur le terrain.quelques idées qui me viennent cependant à la lecture :- on parle de redondance : mais ce n'est souvent que de la redondance pour la haute disponibilité, (pour bien faire il faudrait que le lapse de temps entre la synchronisation des unités de redondance soit différée sur l'une d'entre elles ... le pb étant de savoir ce qui est admissible de perdre comme infos avant de copier également les "virus" sur le système sain dédié à la sécurité et a la reprise ... c'est ce délai qui permettra réellement de protéger l'intégrité du système disons "de la dernière chance"- les applis métiers et le Métier en général ne considère pas la Sécurité car personne ne les y obligent ... seuls quelques grands Groupes qui ont des RSSI expérimentés font en sorte d'adjoindre des experts Sécurité aux grands projets comme l'acquisition et surtout l'intégration d'un ERP pourtant sensible (paie, cpté, GRC, stocks, commandes ...)en fait nous en sommes encore !!!! au niveau où l'expert sécurité est un empecheur de tourner en rond, (image du Qualiticien il y a qq années ...)je crois qu'une démarche saine est la sensibilisation aux risques pour l'entreprises d'un manque de considération pour la Sécurité des projets.la sécurité ce n'est pas une accumulation de concepts ce n'est QUE du concret : archivage, stockage, protection de l'information, (commerciale, gouvernance, R&D...), protection antivirale, protection physique des matériels, des sites et meme quelquefois malheureusement des personnels ...je crois fermement que la représentation du RSSI dans tous les projets est une solution et un lien indispensable avec le terrain, le Métier, la politique de l'entreprise et sa Gouvernance.peut etre :) y a t'il encore un peu de chemin a faire :)
8 octobre, 2010 07:46
Répondre ﻿ Bonjour... merci pour votre article interressant...Permettez un petit commentaires plus global :A force de vouloir sous traiter... les vrais industriels perdent le contrôle de ce qu'ils ont construit et exploitent. Leur negligeance n'a d'egal que leur deresponsabilisation.Depuis quand, un systeme de controle de centrale nucleaire ou même la surveillance d'une autoroute doit-il etre accessible de l'exterieur des exploitants?Depuis quand, surtout sur des systemes industriels, a-t-on le droit de mettre"une clef USB" sur une machine, sans que cela ait été prevu dans les procedures d'exploitation?Tout ce discours ne fait que reveler l'incroyable legereté voire même l'incompetence de ceux qui sont en charge... depuis le developpement au plus haut niveau, c'est a dire le schema directeur jusqu'a la plus simple des procedures d'exploitation decrite et executée par les utilisateurs du processus industriel.Ceci n'est pas anodin, car il demontre "l'esprit" global... où depuis la conception ce ne sont plus de vrai professionnels qui agissent, mais de "vulgaires" employés peu formés, peu responsables, peu experimentés et peu payés parce que souvent débutant encadrés par des arrivistes dont le seul merite c'est d'etre meilleurs dans la relation hierarchique que dans la qualité professionnelle.il faut bien connaitre le milieu des DSI et des SSII pour comprendre mon intervention ici. j'ai peur helas que la majorité des lecteurs ne s'imaginent pas a quel point est devenu "pauvre" nos niveaux a tous, a l'etranger compris, des qualités que nous mettons en avant avec tant de suffisance.Bonne journée a tous.
Répondre ﻿ Bonjour
JacquelineD
15 octobre, 2010 05:05
Les news les plus populaires	publicité Proposé par Dell
Portrait de pros : le maître du déplacement