Un regard sur la cybersécurité OT dans l’industrie maritime

en rendre compte. L'OT est le matériel ou le logiciel qui surveille ou contrôle le fonctionnement des appareils physiques, tels que les grues dans les ports ou le système de positionnement dynamique d'un navire.

cisa.gov/news-events/cybersecurity-advisories). /aa24-038a). Les responsables estiment que cette activité prépare à de futurs conflits où les adversaires américains souhaitent paralyser les infrastructures critiques.

À titre d'exemple, des vulnérabilités ont été révélées par des responsables américains lors d'un récent témoignage au Congrès, selon lequel les grues navire-terre (STS) fabriquées en Chine et utilisées dans le système de transport maritime (MTS) ont le potentiel d'être exploitées à distance. Si elle est exploitée, elle pourrait empêcher les grues de fonctionner et entraîner des perturbations dans les ports et les navires. Le risque OT est un danger réel et actuel dont les organisations du secteur maritime doivent être conscientes et chercher à atténuer.

Le MTS est l'un des plus grands des 16 secteurs d'infrastructures critiques aux États-Unis, qui comprennent les voies navigables, les ports et les connexions terrestres, ce qui facilite la circulation des personnes et des marchandises vers et depuis les voies navigables.

Avec plus de 900 ports et d'innombrables terminaux et installations, le MTS comprend des navires des secteurs commercial, civil, gouvernemental et militaire. En conséquence, il contient des milliers de systèmes OT qui contrôlent tout, des grues portuaires au moteur ou au système de navigation d'un navire.

De plus, chaque port disposera de systèmes OT différents en raison de son objectif particulier : un port de fret disposera de davantage de systèmes OT prenant en charge le mouvement des conteneurs maritimes, tandis qu'un port de croisière se concentrera sur le mouvement des personnes.

À mesure que de nouvelles technologies sont développées, elles sont souvent ajoutées en tant que fonctionnalités améliorées aux systèmes OT existants construits à la fin des années 1990 ou au début des années 2000, les premières étapes de l'automatisation.

Ces dernières années, ces anciens systèmes OT ont été connectés à Internet pour fournir aux parties prenantes un accès à distance permettant de contrôler les systèmes dans le monde entier. Et si la numérisation et l'automatisation croissantes des systèmes et des processus peuvent offrir la perspective d'une plus grande efficacité et compétitivité au sein des organisations, elles peuvent également créer l'opportunité d'une plus grande exposition aux cyber-risques à travers la croissance des « surfaces d'attaque » potentielles – les façons dont les cyber- les attaquants peuvent pénétrer dans les systèmes.

Plus que jamais, les organisations maritimes doivent s'assurer d'être « cyber-résilientes » en étant préparées, prêtes et capables de se défendre et de se remettre de tout cyber-incident susceptible de menacer leur sûreté, leur sécurité et leur productivité.

La convergence IT/OT peut brouiller les frontières entre les fonctions de réseau informatique et les fonctions de contrôle critiques de l’OT, ce qui rend plus difficile pour les opérateurs de comprendre pleinement comment leurs systèmes interagissent les uns avec les autres.

Dans le pire des cas, ce malentendu pourrait empêcher les opérateurs de rétablir rapidement les opérations en cas de cyberincident au sein du réseau d'un navire.

Pour identifier les vulnérabilités de la convergence IT/OT, les spécialistes de la cybersécurité OT sont connus pour effectuer des évaluations de sécurité à l'aide d'outils et d'approches informatiques d'entreprise, ce qui peut poser problème.

Plus précisément, ces évaluations causent souvent plus de mal que de bien dans les environnements OT, étant donné que les évaluations utilisées ont été créées en pensant aux systèmes informatiques. La réalité est que les systèmes OT devront interagir avec le réseau différemment de leurs homologues informatiques.

De plus, les systèmes OT peuvent contenir du matériel incapable de résister à certains types d’évaluations informatiques, ce qui peut lui-même provoquer une interaction négative conduisant à un arrêt, en particulier sur les systèmes existants.

Tout cela montre que la modernisation peut être une arme à double tranchant ; une connectivité accrue permet un contrôle d'accès immédiat, avec des données opérationnelles et des ajustements en temps réel, tout en augmentant en même temps l'exposition au risque d'un adversaire potentiel qui pourrait utiliser cette même connectivité pour affaiblir les opérations du MTS telles que les fonctions portuaires ou les mouvements de navires.

Les étapes pour améliorer la cyber-résilience

Alors, comment développer un plan de gestion des actifs de cybersécurité résilient ? Il existe quatre domaines clés qu'une organisation doit prendre en compte  : la gestion des actifs, la gestion de la configuration, la gestion des vulnérabilités et la gestion de la détection et des réponses, à travers  :

Sécuriser ce que vous savez

Évaluation de la criticité

S'engager dans le processus

Évaluation des options manuelles et automatisées

Mais avant d’entrer dans les détails, il est important de mettre en évidence un facteur clé de succès dans les quatre étapes : les opérations OT et IT travaillent ensemble pour garantir que tout écart entre les deux est identifié et comblé.

Trop souvent dans le passé, l’OT et l’IT ont travaillé en silo ; le matériel d'un côté et le logiciel de l'autre. Si votre objectif est de créer un plan solide de gestion des actifs de cybersécurité, il doit y avoir une harmonie entre ces deux domaines critiques et ils doivent donc être examinés de manière globale.

Étape 1 – Visibilité et contrôle – sécuriser ce que vous savez

Il est impossible de sécuriser ce que vous ne connaissez pas. C'est pourquoi il est essentiel de connaître vos actifs et de protéger le travail que vous consacrez à leur définition ainsi que les risques qui y sont associés en documentant efficacement les modifications.

Entreprendre un audit complet de votre réseau IT et OT est la première étape fondamentale du plan, offrant la possibilité d'identifier tous les matériels et logiciels et, ce faisant, de mieux comprendre les points d'attaque possibles. Comment ces actifs interagissent-ils à travers le réseau organisationnel ? À titre d'exemple, considérons les actifs qui pourraient être mis à jour via un port USB d'un fournisseur ou facilement accessibles pendant la maintenance d'un fournisseur tiers.

Étape 2 – Criticité

La criticité examine les actifs d'une organisation sur lesquels vous devez réellement vous concentrer, les opérations qui sont fondamentales et la manière dont les systèmes et les composants fonctionnent ensemble pour soutenir la performance de ces opérations.

Lorsque les deux ont une criticité élevée, ils deviennent alors une priorité et vous devriez envisager de vous concentrer ici.

Étape 3 – Le processus

L’étape du processus doit être considérée comme un processus vivant et continu, centré sur la criticité.

La clé du succès est de s’assurer que les risques et les processus critiques ont été soigneusement évalués, identifiés et gérés avant de mettre en œuvre des changements importants. Cette référence permet au processus MOC d'évaluer, de modifier, de surveiller et de mettre à jour en permanence, en identifiant tout nouveau danger potentiel qui pourrait résulter de ces changements.

Les processus de gestion des changements sont conçus pour garantir que toutes les mises à jour ou modifications requises/identifiées sont correctement documentées, testées et mises en œuvre sans perturber les opérations. Plutôt que de précipiter les changements identifiés – avec les risques inhérents que cela peut engendrer – le processus MOC permet de mettre en œuvre correctement des changements efficaces et appropriés.

Cette étape du processus concerne la traçabilité, la responsabilité et l’atténuation des risques.

Les organisations doivent vraiment être ouvertes au changement au niveau culturel pour que cette approche s’intègre pleinement. À titre d’exemple, les mises à jour logicielles ne sont pas souvent considérées comme faisant partie du processus de gestion des changements, mais elles doivent être considérées comme tout aussi importantes que les mises à jour et les remplacements de matériel.

Grâce à cette approche, les processus et procédures sont intégrés dans un MOC efficace qui peut permettre à une organisation de combler le fossé entre les silos matériels et logiciels.

Étape 4 – Manuel ou Automatisé

Que vous optiez pour des méthodes manuelles ou automatisées, l’essentiel est d’utiliser les meilleures approches pour votre organisation. Il ne s’agit pas d’OT contre IT : ce sont les deux qui travaillent ensemble pour obtenir les résultats les plus efficaces en matière de cyber-résilience et de cyber-gestion.

Idéalement, les décisions fondées sur les données devraient faire partie de la culture organisationnelle en matière de gestion des actifs de cybersécurité. Cependant, terminer l’étape 4 ne constitue pas la fin de l’histoire. Il faut le considérer comme un processus continu, vivant et évolutif.

Le développement continu est essentiel et porte sur quatre domaines clés  :

Surveillance du réseau et alertes

La gestion d'actifs

Gestion des vulnérabilités

Gestion de la configuration

Conclusion

Les systèmes OT servent souvent de base à de nombreux processus dans l’industrie maritime et dans d’autres secteurs d’infrastructures critiques. Même si la modernisation technologique crée un environnement caractérisé par une collaboration, une communication et une connectivité accrues, elle ne prend généralement pas en compte la sécurisation des systèmes existants.

La cybersécurité OT, en tant que pratique, doit trouver un équilibre entre être suffisamment innovante pour faire face aux menaces actuelles, tout en conservant des outils et des pratiques capables de communiquer avec les systèmes existants pour mieux maintenir la sécurité opérationnelle.

De plus, les systèmes OT sont intrinsèquement différents de leurs homologues informatiques ; ces différences doivent être prises en compte lors de l'élaboration de politiques et de systèmes de cybersécurité, plutôt que de puiser dans les cadres et approches existants de gestion des risques informatiques de l'entreprise, ce qui peut finalement créer un scénario de « cheville carrée dans un trou rond ».

Plus d'informations:

une source d'information numérique mondiale pour les investisseurs et les chefs d'entreprise

com est un éditeur numérique d' Tout investissement implique des risques et des pertes possibles Contacter directement la direction et les IR de chaque entreprise concernant des questions spécifiques.

investorideasinformation sur le fil de presse Investorideasinvestorideas

investorideasasp

Obtenez d'excellentes idées de trading et des alertes d'actualité

Vous avez 100 $ ?

/h2>