Sécurité des systèmes industriels : l’Anssi tire le signal d’alarme

C’est un rituel. Les Assises de la sécurité informatique qui se tiennent du 2 au 5 octobre à Monaco, et réunissant la communauté des directeurs informatiques et leurs principaux fournisseurs, se sont ouvertes par un discours très attendu, celui du président de l’Anssi (Agence nationale de la sécurité des systèmes d’information), Patrick Pailloux. Cette année, il a tiré le signal d’alarme à propos de la vulnérabilité des systèmes industriels du fait de leur interconnexion grandissante avec le monde extérieur : "Les systèmes industriels, les systèmes de contrôle-commande, sont en train de migrer à grande vitesse vers l’IP (internet protocol, ndlr), de s’intégrer dans les systèmes d’information de l’entreprise voire d’être connectés à l’Internet, sans que l’on se soit véritablement préoccupé de leur sécurité", souligne-t-il.

Ne pas confondre sûreté et sécurité

De fait, les automates industriels, longtemps déconnectés de tout réseau extérieur, incorporent rarement des mécanismes de sécurité informatique de base comme l’authentification, la détection d’attaque, la traçabilité des événements de connexion…

Selon lui, le risque est d’autant plus grand que les industriels ont tendance à confondre sûreté (défense contre les défaillances) et sécurité (défense contre les malveillances). Or un attaquant informatique peut tromper les capteurs d’une machine industrielle en modifiant ses valeurs et ainsi neutraliser son dispositif de sûreté ! C’était le principe même de l’attaque Stuxnet découvert en 2010 qui a endommagé plusieurs milliers de centrifugeuses du programme nucléaire iraniens en les leurrant sur leur vitesse réelle de rotation.

Agir au plus vite

Pour Patrick Pailloux, il est encore temps d’agir. "Les acteurs malveillants n’ont pas tous encore le niveau d’expertise pour faire des dégâts. Mais on voit bien l’évolution en cours et cela nous inquiète […] Il est donc essentiel que dans ce domaine, on se retrousse les manches et on agisse", exhorte-t-il.

L’Anssi est déjà active. L’agence a constitué un groupe de travail avec les industriels du domaine afin de définir d’ici la fin de l’année un ensemble de règles de sécurité qui devra être mis en place au sein des systèmes de contrôle-commande industriels. Des mesures parfois radicales comme la déconnexion pure et simple d’Internet d’une installation industrielle critique.

Hassan Meddah

Sélectionné pour vous

Airbus renonce à entrer au capital d'Evidian, la branche cyber qui va se scinder d'Atos

Google identifie deux nouvelles campagnes d'espionnage visant Android et iOS

DataDome lève 42 millions de dollars pour son système de détection des cyberattaques basé sur l’IA