Mission de cybersécurité : répondre aux besoins évolutifs de l'industrie
Nous sommes tous de plus en plus connectés et de plus en plus conscients de la sécurité. Si l'on parle de l'internet des objets (IoT) et des dispositifs interconnectés dans presque tous les contextes de notre vie, la sécurité est essentielle. C'est un fait acquis mais qui mérite d'être souligné : la question est de savoir comment développer en permanence des pratiques pour atténuer les cyberintrusions ciblées. Le projet SMESEC, financé par l'Union européenne, a mis des experts en cybersécurité à contribution et teste actuellement le concept dans une infrastructure réelle de la ville de Patras, en Grèce.
Le rôle des technologies de l'information (TI) et des technologies opérationnelles (TO)
Afin d'apprécier comment mieux construire les pratiques de cybersécurité, il est bon de comprendre ce que sont les environnements des technologies de l'information (TI) et des technologies opérationnelles (TO) et comment ils fonctionnent et interagissent. Comme l'explique Gartner , l'informatique désigne l'ensemble des technologies de traitement de l'information, y compris les logiciels, le matériel, les technologies de communication et les services connexes. L'OT, quant à elle, concerne le matériel et les logiciels qui détectent ou provoquent un changement par le biais de la surveillance et/ou du contrôle direct des dispositifs physiques, des processus et des événements dans l'entreprise.
De manière générale, les priorités de l'informatique sont la confidentialité et la sécurité des données ; l'intégrité et la disponibilité des informations ne sont pas aussi importantes. L'OT donne toujours la priorité à la possibilité de travailler avec les appareils, c'est-à-dire à leur disponibilité, et la confidentialité joue donc un rôle secondaire.
Vers la nécessaire convergence de l'informatique et de la télématique
Pourtant, dans de nombreux secteurs industriels, la différence n'est pas aussi nette. Dans le cas de l'IdO industriel, les machines sont connectées à des capteurs en réseau et à des logiciels qui fournissent des données permettant des analyses intelligentes pour optimiser les processus industriels. Nous pouvons constater que les frontières entre les scénarios OT et IT peuvent facilement s'estomper.
La nature des systèmes étant en constante évolution, les entreprises doivent réagir en alignant les politiques et les outils informatiques et télématiques. La coexistence ne suffit pas, les processus et le flux d'informations doivent être convergents. Comme l'explique Cisco, cet alignement peut se traduire par d'importantes économies de coûts.
Un projet dédié avec un financement européen
Dans le cadre du programme de l'UE pour la recherche et l'innovation, une initiative spécifique répond à ce besoin essentiel. SMESEC est l'acronyme de "Protecting Small and Medium-sized Enterprises digital technology through an innovative cyber-SECurity framework", un projet mené par un groupe international d'experts en cybersécurité de 7 pays. Le projet a été spécialement conçu pour aider les (petites et moyennes) entreprises ayant des connaissances limitées en matière de cybersécurité. Le résultat est un cadre de cybersécurité facile à installer et à déployer, développé en 36 mois, qui sera prêt à être mis en œuvre par ces entreprises.
Le SMESEC a maintenant terminé ses 24 premiers mois de déploiement avec succès d'un cas d'utilisation réel pour les services industriels où les outils de cybersécurité sont intégrés et orchestrés, améliorant réellement la solution IoT utilisée pour surveiller les opérations des actifs industriels.
Fort de son expérience dans la fourniture de services technologiques basés sur l'IdO à l'industrie depuis plus d'une décennie, l'un des partenaires du projet, Worldsensing, a inclus un cas d'utilisation à développer dans un lieu hors laboratoire : un stade de football dans la ville de Patras, en Grèce.
Ajouter des solutions de cybersécurité au domaine de l'IdO industriel
Une infrastructure réelle a été sélectionnée pour émuler une situation réelle où la technologie IoT est utilisée pour la surveillance de la santé structurelle, où une infrastructure donnée est surveillée pour garantir son intégrité et prévenir tout événement indésirable tel qu'une défaillance structurelle.
La maintenance préventive de toute infrastructure doit gérer le domaine des technologies de l'information sans négliger les informations liées aux technologies de l'information. Cela est particulièrement important si des éléments matériels et logiciels distribués coexistent et si la communication est assurée par de multiples méthodes et protocoles.
Le stade de football Panachaiki est l'un des plus anciens stades de Patras. Construit en 1939 et d'une capacité de 25 000 personnes, il est toujours opérationnel et accueille régulièrement des matchs. Des opérations de maintenance et des contrôles structurels ont lieu pour s'assurer que tous les locaux peuvent être utilisés en toute sécurité. Il y a une demande croissante d'informations de la part des autorités afin qu'elles puissent appliquer des actions correctives proactives à la gestion de l'infrastructure, si nécessaire.
Afin de surveiller la stabilité de la structure, 10 enregistreurs de données Worldsensing ont été installés. Ces nœuds sans fil sont équipés de capteurs d'inclinaison, de vibration et de température et transmettent les données à deux passerelles et à une infrastructure en nuage dupliquée. La stabilité des terrasses du stade est étudiée afin d'établir une dépendance entre les charges et le mouvement de la structure, en fixant des seuils d'alarme pour activer des plans d'urgence.
Kostas Lampropoulos, de l'université de Patras, explique que l'utilisation d'appareils IoT haut de gamme permet aux autorités du stade d'accéder en temps réel aux données relatives à l'inclinaison des piliers en ciment, ce qui est essentiel pour la stabilité de l'ensemble de la construction. Il souligne que la capacité à collecter un large ensemble de données historiques fournit aux ingénieurs une vue d'ensemble du comportement de la structure à différentes températures et charges, par exemple pendant un match de football où le stade est plein de monde.
"Le projet SMESEC est une opportunité exceptionnelle pour les directeurs techniques du stade, ainsi que pour les ingénieurs chargés d'évaluer et de certifier la santé structurelle du stade." Kostas Lampropoulos, Groupe des architectures et de la gestion des réseaux, Département d'ingénierie électrique et informatique, Université de Patras.
L'équipement de surveillance a été installé dans le stade et l'infrastructure en nuage a été mise en service pour gérer le projet. Depuis juillet 2018, le système recueille des informations à partir des données acquises par l'instrumentation in situ. Et la contribution du SMESEC a permis d'inclure une couche ajoutant des exigences de sécurité de haut niveau aux exigences fonctionnelles standard. Cette couche de cybersécurité est ajoutée en évaluant la criticité de chaque actif qui forme la structure d'information. Les menaces potentielles affectant chacun des actifs ont été identifiées en tenant compte de la probabilité d'occurrence de l'événement et de l'impact qui en résulte.
Prêt pour les utilisateurs non experts
Les systèmes industriels IoT sont couramment utilisés par des exploitants d'infrastructures aux profils divers mais généralement axés sur la dimension OT et ayant une faible expérience en matière de cybersécurité.
Le projet s'efforce de rendre la cybersécurité des produits IoT plus facile à déployer et à exploiter. Dans ce but, des experts locaux comme l'université de Patras et le personnel de l'exploitant du stade ont été impliqués dès le début. Le projet a ainsi évolué pour répondre à leurs besoins. Par exemple, une solution de visualisation frontale est en cours de développement suite à une demande directe de l'utilisateur.
L'utilisateur devient un atout actif dans la protection de l'infrastructure en recevant des informations actualisées dans les domaines opérationnels et de la sécurité. Afin de mieux couvrir les besoins éventuels des utilisateurs, le projet a catégorisé différents profils avec une expertise différente en matière de cybersécurité.
Une voie passionnante pour l'intégrité, la confidentialité et la disponibilité des données.
La solution développée est plus que la somme de différentes solutions de sécurité : le système est capable de corréler des entrées de données hétérogènes pour déclencher des alarmes informatiques qui complètent les alertes OT déjà recueillies par le système Worldsensing.
Les exploitants du stade sont disposés à étendre la collaboration avec le projet et à installer des dispositifs IoT supplémentaires dans d'autres zones du stade. Antonis Koukouvinis, ingénieur en chef du processus de certification de la sécurité au stade, souligne que cette pratique devrait être adoptée dans de nombreuses autres structures et bâtiments à travers la ville de Patras, dont certains sont des monuments historiques datant du 2e siècle Α.C.
"Patras étant une zone hautement sismogène, les zones de rassemblement de la ville doivent être activement surveillées avec cette solution améliorée afin d'identifier rapidement tout dommage structurel et de prévenir les incidents qui peuvent avoir un impact grave sur la sécurité publique." Antonis Koukouvinis, ingénieur en chef du processus de certification de la sécurité au stade de football Panachaiki, Patras, Grèce.
Le projet a maintenant 12 mois de plus pour continuer à développer l'intégration réelle de la cybersécurité et des technologies IoT, et apporter des solutions de sécurité à la société. Les utilisateurs finaux de plusieurs secteurs industriels pourront accéder à la fois aux domaines OT et IT grâce à un outil unifié qui permet de vérifier de manière complète et fiable l'état des infrastructures à tout moment.
Ce projet a reçu un financement du programme de recherche et d'innovation Horizon 2020 de l'Union européenne sous la convention de subvention n° 740787 (SMESEC). Ce travail est soutenu par le Secrétariat d'État suisse à la formation, à la recherche et à l'innovation (SERI) sous le numéro de contrat 17.00067. Les opinions exprimées et les arguments employés dans ce document ne reflètent pas nécessairement les vues officielles de ces organismes de financement.
