L’industrie 4.0 a surexposé au risque cyber les entreprises qui n’ont pas mené de front numérisation et sécurisation, au premier rang desquelles on retrouve les PME et les ETI industrielles. Comment effacer ce retard et préparer la suite ?
La cybersécurité en retard sur la numérisation des systèmes industriels
Tous les ans, ce sont les mêmes chiffres, la même tendance. Les attaques cybers contre les entreprises se multiplient. Sur l’année 2022, d’après une étude Checkpoint, on constatait une augmentation de 26% des raids. Et déjà en 2021, la Direction Générale des Entreprises estimait qu’une entreprise sur deux en France en avait été victime.
Dans l’industrie en particulier, la numérisation des équipements et des processus a ouvert de nombreuses brèches au cours de la dernière décennie.
Les écarts sont trop importants selon les secteurs
Un secteur sort toutefois du lot. L’aéro-défense, qui a intégré les plus hauts standards de sécurité dès le départ, quitte parfois à ralentir le passage à l’échelle de solutions 4.0 pourtant opérationnelles. Nous avions d’ailleurs discuté de ce cas particulier dans un article précédent, mettant en avant les contraintes des acteurs de ce marché et les moyens déployés par les éditeurs pour y remédier : accessibilité hors connexion ou opérations en débit réduit par exemple.
Guillaume Poupard, ancien directeur de l’ANSSI, décrit la situation pour la revue Polytechnique Insights : « Quand on parle de sécurité avec des gens issus de l’industrie de l’armement, ils ont déjà le vocabulaire et savent de quoi il est question fondamentalement. À l’inverse, il y a d’autres acteurs dans l’industrie lourde, comme le domaine du gaz ou de la chimie, où, historiquement, la question de la sécurité était essentiellement circonscrite à l’intégrité physique des sites industriels. »
Les PME et les ETI font office de portes d’entrée
Un autre constat s’impose, les grands groupes sont globalement mieux protégés que les plus petites organisations. Davantage de moyens donc davantage de ressources consacrées à la cybersécurité, mais une exposition résiduelle par le biais de fournisseurs ou de sous-traitants moins structurés. Les PME et ETI industrielles font office, pour les pirates, de portes d’entrée vers de plus grosses cibles.
Selon l’ANSSI, 54% des PME s’estiment à l’abri car leur taille ou la valeur de leurs informations n’est pas assez importante.
3 axes de progression, pour rattraper le retard et préparer l’avenir
Pour combler ce déficit de sécurité, les industriels ont trois leviers à activer :
- Les personnes tout d’abord. Former et sensibiliser en interne, et collaborer avec ses partenaires pour constituer un écosystème sûr, avec des standards communs. Pour les grands groupes, cela signifie aider ses partenaires à se former à se protéger. Pour les plus petites entreprises, solliciter des transfert de compétences et activer une veille sur les meilleures pratiques.
- Ensuite, les solutions. Les éditeurs et les offreurs de solutions ont dû faire évoluer leurs exigences en termes de sécurité. L’industrie a mis en place des labels et des indicateurs qui permettent d’identifier les meilleurs élèves.
- Enfin, les processus, avec une approche en trois temps. Identifier et patcher les failles potentielles, proposer un plan de défense en cas d’attaques avec des alertes et des actions visant à limiter leurs conséquences, mettre en place un plan de restauration après l’attaque.
Des investissements sont certes nécessaires mais ils s’accompagnent nécessairement d’une sensibilisation active des partenaires internes et externes. C’est l’un des piliers de la culture numérique, sur laquelle construire une transition saine et durable.
Échangez dès aujourd’hui avec nos experts pour découvrir nos solutions et exploiter tout le potentiel de l’industrie 4.0.
En savoir plus sur la cybersécurité des plateformes IIoT
Les entreprises doivent s'assurer qu'elles atténuent correctement les risques de cybersécurité tout en allouant efficacement les ressources et en facilitant les opérations quotidiennes. Mais face aux exigences et à la complexité de sécuriser et de maintenir sa propre plateforme IIoT, tenter de le faire peut s'avérer une tâche difficile.
En savoir plus