L’étude récemment menée par Electroustic, spécialiste en connectique et produits Ethernet pour l’industrie, a révélé une approche souvent très précaire des sociétés sur la sécurité de leur système d’information. Ainsi, une part édifiante de 34% des personnes interrogées ont rapporté que leur entreprise n’avait établi aucune politique dans ce domaine, faisant ressortir un manque d’information significatif sur les risques de sécurité les plus courants, à une époque où l’Internet industriel et les accès distants aux données sont régulièrement mis en place dans les usines. L’inquiétude des utilisateurs est bien présente, identifiée dans l’étude par 31% des réponses plaçant le piratage en première préoccupation, suivi par l’erreur humaine (17%) et par les échanges avec le cloud (11%).
S’il est vrai que la plupart des brèches de sécurité sont causées par des attaques externes, elles se présentent souvent sous la forme de logiciels malveillants et pourraient être évitées par une infrastructure appropriée, associée à une formation adaptée du personnel. Paul Carr, directeur général d’Electroustic, s’explique sur ce point en précisant que « l’éventail très large de produits disponibles pour la sécurité de l’IT industrielle, peut s’avèrer à double tranchant. Bien qu’il y ait de nombreuses options possibles à sélectionner, l’inexpérience peut facilement amener les entreprises à dépenser une fortune dans des systèmes ne répondant pas à leurs besoins spécifiques ».
Selon M. Carr, il est donc crucial de mettre en place une sécurité des réseaux offrant plusieurs niveaux de défense situés dans des pare-feu industriels. Ceux-ci doivent être faciles à implémenter et à gérer, tout en affichant des qualités de fiabilité, de souplesse et de robustesse. Un bon système de sécurité IT doit garantir à une société qu’il remplit ou même dépasse les critères requis par le NERC CIP (North American Electric Reliability Corporation Critical Infrastructure Protection) et par les standards ISA/IEC-62443.
Outre cet aspect technique, les réponses recueillies dans l’étude d’Electroustic faisant apparaître un manque de prise de conscience et de formation du personnel, suggèrent que ces deux points devraient être mieux pris en compte par les entreprises industrielles. A cet effet, une charte d’utilisation des technologies de communication et d’information devrait être formellement établie par chaque société. Cela passe également par un programme d’information du personnel, idéalement complété par des stages pratiques permettant à chacun de faire face aux cyber risques, aussi bien en tant qu’employé qu’en tant qu’individu.
