Industrie & Technologies : En quoi la version 17 de TIA Portal représente une avancée en termes de cybersécurité ?
Fabien Miquet : Premièrement, avec cette nouvelle version, notre portail devient compatible avec la TLS v1.3. Ce protocole de sécurisation permet d'authentifier chaque équipement connecté et de chiffrer de bout en bout les échanges entres les automates, les IHM [interface humain machine, ndlr], les panels, les stations d’ingénieries, etc. La TLS repose sur une gestion de certificats, des sortes de cartes d’identité numérique propres à chaque équipement qui contiennent des clés de chiffrement et permettent aux équipements de s’authentifier. Ces protocoles sont très répandus dans le monde de l’IT [les systèmes d’information des entreprises, ndlr] mais, à notre connaissance, nous sommes les premiers à utiliser la version 1.3 pour des automates industriels. Avant, nous utilisions un protocole propriétaire pour le chiffrement, le S7+, mais il ne permettait pas de certification individuelle de matériel. Avec des certificats individuels, si un équipement est corrompu, on peut l’isoler et lui donner un nouveau certificat. Tout cela rajoute cependant de la complexité. Le TIA Portal v17 centralise la gestion de tous ces certificats et nous avons ajouté un assistant de sécurité intégré, le « security wizard », pour accompagner les utilisateurs dans la configuration de leur sécurité.
Quelles autres nouveautés introduit TIA v17 en matière de cybersécurité ?
Cette nouvelle version offre aussi une gestion beaucoup plus fine des droits et accès utilisateurs. Avant, le choix était limité à la lecture simple ou à la lecture et l’écriture. Là, nous avons 18 niveaux ! Cela va permettre de créer des profils utilisateurs très étroits et précis. C’est le principe du moindre privilège, un b.a-ba de la sécurité : vous ne donnez à un utilisateur que les droits dont il a besoin pour son rôle. Autre nouveauté : un container sécurisé. Les PLC [automates programmables industriels en anglais, ndlr] pourront y stocker des données sensibles – comme des secrets de production ou des paramètres sensibles des automates – de façon chiffrée, directement dans un espace interne à leur mémoire. Nous nous sommes encore une fois inspirés de ce qui se fait dans l’IT.
Pourquoi ces évolutions ?
Tout cela est issu d’un certain contexte : l’accélération de la digitalisation avec la crise sanitaire. Même nos clients les plus réticents s’y mettent. Mais il n’y a pas de digitalisation sans cybersécurité. Cette accélération représente en effet une opportunité pour les cyberattaquants puisque la digitalisation augmente la surface d’attaque [le nombre de points d'entrée potentiels]. Les cyberattaques ont ainsi été multipliées par 4 l'an dernier, selon l’Anssi. C'est notamment pour cela que nous avons nous-mêmes accéléré en matière de cybersécurité. Les évolutions de TIAv17, et en particulier le passage au standard ouvert TLS, traduisent un bond de 2 à 3 ans en avant dans notre feuille de route.
Quelle est la principale tendance dans les cyberattaques ?
Les attaques ont migré de l’IT vers l’OT [les systèmes d’information industriels, pour « operational technologies », ndlr]. Les attaques d’il y a 10 ans, comme Stuxnet, par exemple, étaient spécialement forgées contre l’OT. L’OT, avant, c’était de la logique câblée [en opposition à la logique programmée, ndlr], des actuateurs, de simples automates entrées-sorties... Les systèmes d’information IT et OT étaient complètement distincts et séparés. On n'arrivait à l’informatique qu’au niveau des stations Scada [« système de contrôle et d’acquisition de données en temps réel », ndlr]. Aujourd’hui, IT et OT sont liés. Les automates industriels ont des processeurs, de la mémoire vive, des cartes réseaux... Les tablettes tactiles et les systèmes d’exploitations Linux ou iOS sont entrés dans les usines. Les cybercriminels de l’IT retrouvent dans les usines les technologies avec lesquels ils ont été biberonnés : les systèmes OT deviennent des systèmes IT comme les autres, donc attaquables comme les autres.
Qu’est-ce que cela implique pour la cybersécurité et les automaticiens ?
Il n’est plus possible de continuer les pratiques de l’OT d’il y a 10 ans, avec des comptes utilisateurs génériques qui empêchent toute traçabilité, des architectures à plat sans aucune segmentation, des armoires de commandes pas fermées à clé et accessibles à tous... Si l’OT se trouve exposé aux mêmes menaces que l’IT, alors il faut importer les bonnes pratiques et les solutions de l’IT et en faire les standards de l’OT. Cela rentre dans ce que l'on appelle la convergence IT/OT. C'est une question de matériels et de logiciels, mais pas seulement. Cela suppose de meilleurs échanges entre informaticiens et automaticiens et une plus grande implication des utilisateurs d'automatismes.
