La majeure partie des infrastructures critiques européennes appartient à des secteurs tels que l'énergie, les transports et l'approvisionnement en eau. Ces infrastructures sont largement gérées et contrôlées par des systèmes SCADA (Supervisory Control and Data Acquisition), qui constituent un sous-groupe des systèmes de contrôle industriel (ICS). Au cours de la dernière décennie, la technologie SCADA a évolué, passant de systèmes isolés à une architecture ouverte reposant sur des technologies standardisées et fortement interconnectée avec d'autres réseaux d'entreprise et Internet.
Cette transformation a notamment pour conséquence une vulnérabilité accrue aux attaques externes. Des correctifs peuvent être appliqués afin d'optimiser la sécurité des systèmes SCADA.
Actuellement, deux des principaux problèmes liés à l'application de ces correctifs sont leur taux d'échec (60 %)[1] et leur rareté : moins de 50 % des 364 vulnérabilités publiques[2] disposaient de correctifs pour les systèmes SCADA.
Parmi les bonnes pratiques et recommandations permettant d'améliorer la sécurité des environnements SCADA, on peut citer :
• Contrôles compensatoires :
• Renforcement de la défense en profondeur par la segmentation du réseau afin de créer des zones de confiance communiquant via des contrôles d'accès ;
• Amélioration des systèmes SCADA par la suppression des fonctions superflues ;
• Utilisation de techniques telles que la liste blanche et l'inspection approfondie des paquets.
• Programme de gestion des correctifs et contrat de service :
• Les propriétaires d'équipements doivent établir un contrat de service de gestion des correctifs afin de définir les responsabilités du fournisseur et du client dans ce processus ;
• Les propriétaires d'équipements doivent systématiquement effectuer leurs propres tests. Ces tests peuvent être réalisés virtuellement ou en maintenant des systèmes de test distincts ;
• Les systèmes certifiés doivent être recertifiés après l'application d'un correctif.
Le professeur Udo Helmbrecht, directeur exécutif de l'ENISA, a déclaré : « Bien que la gestion des correctifs ne soit pas une solution miracle à tous les problèmes de sécurité des systèmes SCADA, il est important que les organisations mettent en place une politique de gestion des correctifs. L'Union européenne et ses États membres pourraient sensibiliser davantage à l'importance des correctifs en instaurant une gestion des correctifs dès l'établissement de nouvelles exigences relatives aux équipements. »

Plus d'informations