Note à l'attention de nos clients et partenaires au Moyen-Orient
Plus d'informations
En comprenant les risques uniques associés aux environnements OT et en mettant en œuvre des mesures de sécurité appropriées, les organisations peuvent réduire de manière significative la probabilité et l'impact des cyberattaques et des perturbations opérationnelles.
La gestion des risques est bien plus complexe que la gestion des vulnérabilités. En particulier dans OT , où l'application des correctifs doit souvent être reportée jusqu'à la prochaine fenêtre de maintenance — à supposer qu'il y en ait une —, il est essentiel de comprendre la relation entre l'exposition, le risque et la tolérance. Cela implique d'abord de savoir quels actifs sont vulnérables, puis d'évaluer la probabilité qu'une menace connue les exploite par rapport à l'impact d'une exploitation et à la tolérance de l'organisation face à ce risque. Un événement à fort impact dont la probabilité de survenue est infime peut être jugé moins critique qu'un événement à faible impact dont on sait qu'il se produit plusieurs fois par semaine. En utilisant cette formule, il est facile de donner la priorité à la protection des actifs vulnérables aux événements à la fois à fort impact et susceptibles de se produire.
Cette approche générale du risque s'applique à tous les risques cybernétiques, mais voici les principales différences entre la manière dont le risque est évalué dans OT informatiques et dans OT .
La différence la plus notable réside peut-être dans le fait que, dans OT devons tenir compte à la fois des risques cybernétiques et des risques opérationnels, y compris les risques liés aux processus, car les anomalies opérationnelles sans rapport avec une menace cybernétique sont bien plus courantes. Du côté informatique, si le serveur de messagerie d’une entreprise tombe en panne, l’impact sur l’activité est minime. (Certains employés pourraient même apprécier cette pause !) Mais si un serveur critique tombe en panne dans un environnement opérationnel, le risque peut être considérable. Colonial Pipeline en est un excellent exemple. Lorsque les pirates informatiques de DarkSide ont exigé une rançon pour les données de leur réseau informatique, l'attaque a mis hors service les systèmes de facturation et de comptabilité, ce qui allait certainement entraîner des coûts considérables. Mais l'entreprise a été contrainte de fermer le pipeline car les opérateurs ont perdu l'accès à un outil de surveillance de la sécurité et ne pouvaient pas vérifier si le pipeline lui-même avait été compromis — un risque énorme qu'ils ne pouvaient évidemment pas tolérer.
Dans le domaine de l OT, l'évaluation des risques est entièrement axée sur les conséquences telles que la sécurité physique, l'environnement et la continuité des opérations. Que vous évaluiez les risques dans une installation de traitement postal, une usine d'emballage de viande, un cargo ou un entrepôt, avec l'OT , vous vous préparez toujours au pire jour. Quelle catastrophe pourrait se produire et avoir des répercussions sur des milliers de personnes ?
Chaque composant d'un réseau OT fait partie d'un processus plus large dans un environnement très distribué. Tout est connecté et a des conséquences. Dans un centre de données, vous pourriez probablement redémarrer un serveur sur deux sans que cela n'ait d'incidence. En OT, si une machine a un problème, il faut immédiatement savoir de quoi elle dépend et ce qui en dépend. À partir de là, quelles sont les conséquences d'un arrêt d'urgence ? Dans une raffinerie de pétrole, si quelqu'un appuie sur le bouton d'arrêt d'urgence, ce sont des millions de dollars qui disparaissent en un instant et quelques mois pour remettre le site en service.
Dansle domaine des technologies de l'information, le risque lié aux appareils repose uniquement sur les vulnérabilités, et il est pratiquement possible d'éliminer le risque en appliquant des correctifs. Dans le domaine des OT, le risque est à plusieurs niveaux. La plateforme de Nozomi Networks calcule le risque des actifs sur la base de cinq facteurs : risque de vulnérabilité, risque d'alerte, risque de communication, risque lié aux appareils, criticité des actifs et contrôles compensatoires. Les clients peuvent utiliser ces scores tels quels, ou ils peuvent ajuster le poids de chaque variable jusqu'à ce que le calcul reflète précisément la façon dont leur organisation attribue le risque, de sorte qu'il est utile.
En particulier au niveau de l'usine et du directeur, les parties prenantes de OT n'ont que peu d'intérêt pour les scores de risque numériques. Nos clients nous disent souvent : "Je n'ai pas besoin d'un chiffre ; j'ai juste besoin de montrer à mon patron un graphique avec une ligne qui descend et qui indique que notre risque diminue au fil du temps, ce qui signifie que notre programme cybernétique fonctionne." Il n'y a pas d'échelle de Richter pour le risque OT où un 5,1 signifie la même chose d'une région à l'autre ou même d'une usine à l'autre.
Parce que les arrêts industriels doivent être évités, en dehors des questions de sécurité, les acteurs industriels ont une tolérance au risque beaucoup plus élevée. Supposons qu'un appareil soit exposé à Telnet, mais qu'au niveau 2 de Purdue, il y ait des pare-feu au-dessus et en dessous, et que rien ne puisse parler sur ce port. Il s'agit d'un scénario courant en raison de la nature des systèmes OT . Le propriétaire de l'actif peut choisir de mettre en sourdine une alerte qui se déclenche parce que l'appareil est exposé à Telnet (ou au moins de réduire le risque de vulnérabilité dans la règle d'alerte), alors qu'un analyste informatique verrait l'alerte et voudrait patcher l'appareil immédiatement, ce que vous ne pouvez pas faire et n'avez pas besoin de faire.
Toute évaluation des risques commence par une analyse de l'impact sur l'entreprise afin d'identifier les joyaux de la couronne et d'établir des priorités pour leur protection. Dans les environnements industriels, la tâche est plus complexe, car il ne s'agit pas seulement d'évaluer les risques liés aux actifs, mais aussi d'identifier les processus les plus critiques et de déterminer comment les protéger. Un tapis roulant à l'intérieur de l'usine qui transporte le minerai de fer jusqu'au four est plus risqué qu'un tapis roulant qui transporte le courrier du bâtiment principal jusqu'à l'entrepôt. Ils peuvent utiliser la même technologie et les mêmes protocoles, mais les niveaux de risque sont très différents.
Plusieurs fournisseurs proposent des scores de risque calculés pour vous aider à comprendre le risque lié aux actifs. Ils peuvent sembler impressionnants dans un POC, mais dans quelle mesure vous aident-ils à surveiller et à réduire les risques au quotidien ? S'ils ne reflètent pas la manière dont votre organisation calcule les risques, vous les ignorerez probablement.
Networks Nozomi Networks identifie, évalue, atténue et surveille les risques au sein de votre environnement, aidant ainsi les opérateurs et les équipes SOC à collaborer pour hiérarchiser leurs efforts et prendre les mesures les plus efficaces afin de réduire les risques et d'accroître la résilience. Elle attribue des scores de risque à chacun de vos actifs pour vous aider à hiérarchiser vos efforts de sécurité, à traiter en priorité les risques les plus critiques et à prendre les mesures adéquates pour atténuer efficacement les menaces potentielles. Elle calcule le risque lié aux actifs en fonction de cinq facteurs : le risque de vulnérabilité, le risque d'alerte, le risque de communication, le risque lié aux appareils, la criticité des actifs et les contrôles compensatoires. Vous pouvez utiliser nos scores tels quels, ou personnaliser entièrement la pondération de chaque variable jusqu'à ce que le calcul reflète fidèlement la manière dont votre organisation évalue les risques. Vous pouvez même appliquer vos règles personnalisées par zone.
Lorsque vous examinez les risques liés à vos actifs OT , vous devez être en mesure de voir d'un coup d'œil quels sont les actifs les plus risqués par zone, par site, par fournisseur et de toute autre manière que vous souhaitez catégoriser. Vous devez également être en mesure de comprendre ce qui les rend risqués et ce que vous pouvez faire pour y remédier. Il est également important de voir comment les scores de risque individuels contribuent au score de risque de plus haut niveau du site ou de la zone auquel le bien appartient et, en fin de compte, au score de risque de l'ensemble de l'entreprise. Même en tenant compte de tout ce contexte, les scores de risque des actifs individuels n'ont que peu de valeur. Pour une bonne gestion des risques, il faut comprendre l'évolution des scores de risque dans le temps.
Le tableau de bord de Nozomi Networks montre vos scores de risque actuels par zone, par site et par d'autres catégories que vous sélectionnez. Si votre risque évolue dans la mauvaise direction, vous pouvez approfondir pour voir pourquoi et où vous devez ajouter les bons contrôles. Peut-être devez-vous verrouiller vos protocoles non sécurisés ou renforcer votre segmentation. Quoi que vous décidiez de faire, votre score de risque reflétera le degré d'impact de vos actions, en utilisant vos propres hypothèses de risque. Si votre score de risque était de 70 au niveau mondial et qu'il est descendu à 52, vous disposez maintenant d'un retour sur investissement solide pour justifier votre investissement.
La fonction Asset Risk offre une vue d'ensemble du risque associé à vos actifs IoT , avec des informations claires, personnalisables et exploitables sur le niveau de sécurité des actifs individuels, des zones, des sites, des capteurs et de l'ensemble de l'environnement. Les utilisateurs peuvent comparer leurs performances en matière de sécurité et suivre les améliorations au fil du temps, ce qui en fait un outil essentiel pour maintenir et améliorer la résilience opérationnelle.
