cybermenaces sur les chaînes de production : quelles solutions ?

• des systèmes de contrôle industriel en proie à des attaques croissantes
• l’interconnexion entre IT et OT, un facteur aggravant
• cybersécurité des chaînes d’approvisionnement : que dit la loi ?
• gestion des risques cyber sur les chaînes d’approvisionnement : quelles sont les bonnes pratiques ?

des systèmes de contrôle industriel en proie à des attaques croissantes

des enjeux cruciaux pour l’industrie

En raison de leur importance capitale, les systèmes de contrôle industriel sont de plus en plus ciblés par les cyberattaques. Selon une étude de Dragos, société spécialisée en cybersécurité industrielle, les attaques ciblant les infrastructures critiques auraient même augmenté de 50 % en 2023 par rapport à l’année précédente. Ces attaques peuvent non seulement causer une interruption de l’activité, mais aussi compromettre la confidentialité des process industriels, en nuisant à la propriété intellectuelle et industrielle. Une cyberattaque fructueuse peut ainsi permettre aux hackers d’accéder à des secrets de fabrication ou à des plans stratégiques. 

des chaînes d’approvisionnement complexes aux vulnérabilités nombreuses

Dans un rapport paru en avril 2024 portant sur les prévisions de cybermenaces d’ici 2030, l’Agence de l’Union européenne pour la cybersécurité (ENISA) identifiait la supply chain et sa dépendance logicielle comme cible numéro un des pirates informatiques. En cause, la complexité des chaînes d’approvisionnement qui s’est accrue ces dernières années avec la transformation numérique des entreprises. Pour une meilleure gestion de la production et des stocks, les différents acteurs de la chaîne logistique sont désormais interconnectés, ce qui fragilise la sécurité des systèmes d’information. L’exploitation d’une vulnérabilité chez un fournisseur de services peut en effet être le point d’entrée d’une compromission de la chaîne logistique de bout en bout.

l’interconnexion entre IT et OT, un facteur aggravant

des mesures de sécurité insuffisantes

L’interconnexion croissante entre les technologies de l’information (IT) et les technologies opérationnelles (OT) augmente les risques de menace cyber. Via des rançongiciels, virus, et autres logiciels malveillants, les cybercriminels exploitent les failles des systèmes IT des organisations pour accéder aux systèmes opérationnels, provoquant perturbation de la production, corruption, et vol de données. Une situation qui s’explique en partie par l’absence de mise en place de mesures de sécurité suffisantes et adaptées pour lutter contre les attaques dirigées contre les chaînes d’approvisionnement modernes. En effet, les cybercriminels ne s’attaquent pas directement au système d’information de l’entreprise visée, mais infiltrent les services informatiques tiers afin de compromettre sa chaîne logistique. Par ailleurs, les solutions de sécurité mises en œuvre sont souvent trop traditionnelles et ne permettent pas une gestion des risques efficace dans une approche préventive.

l’interdépendance des logiciels et des fournisseurs de la chaîne d’approvisionnement

La cybersécurité des chaînes d’approvisionnement d’une organisation est notamment affectée par deux éléments : l’intégration de nombreux composants et logiciels tiers, et l’interconnexion avec les systèmes informatiques de ses fournisseurs de services et autres parties prenantes de la supply chain. Cet état de fait est principalement responsable de la multiplication des vulnérabilités et de la difficulté des industriels à optimiser la gestion des risques de leur chaîne d’approvisionnement.

cybersécurité des chaînes d’approvisionnement : que dit la loi ?

la directive NIS2

La réglementation joue un rôle essentiel dans la cybersécurité industrielle. La directive NIS2 (Network and Information Systems Directive), adoptée par le Parlement européen en 2022 et applicable en France en octobre 2024, vise à renforcer la sécurité des systèmes d’information des organisations : elle impose des normes strictes en matière de gestion des risques et de notification des incidents, notamment dans les chaînes d’approvisionnement. Des obligations auxquelles les fournisseurs de services de la chaîne logistique doivent également se conformer.

le Cyber Resilience Act (CRA)

La loi sur la cyber-résilience, dont l’entrée en vigueur est prévue pour la fin de l’année 2024, introduit de nouvelles exigences en matière de cybersécurité des produits matériels numériques et logiciels mis sur le marché de l’UE. L’objectif ? Réduire le nombre de vulnérabilités et accroître la responsabilité des fabricants, qui seront bientôt responsables de la cybersécurité de leurs produits tout au long de leur cycle de vie. Une réglementation qui va, là encore, dans le sens d’une optimisation de la cybersécurité des chaînes d’approvisionnement, fortement impactées par les vulnérabilités des logiciels.

gestion des risques cyber sur les chaînes d’approvisionnement : quelles sont les bonnes pratiques ?

Les entreprises doivent ici trouver un équilibre entre plusieurs préoccupations majeures : le développement de la production, la satisfaction client, et la cybersécurité de leurs chaînes d’approvisionnement. Il existe néanmoins des solutions concrètes pour y parvenir : 

• mettre à jour de façon régulière ses logiciels et systèmes ;
• former ses collaborateurs aux risques encourus ;
• sécuriser ses sites de production ;
• sécuriser ses systèmes d’information ;
• sauvegarder ses données régulièrement ;
• se faire accompagner par des experts de la cybersécurité.

cybersécurité : quels profils recruter ?

Pour renforcer leurs dispositifs de sécurité, il est conseillé aux entreprises industrielles de s’entourer des professionnels suivants :

• analystes en cybersécurité
• ingénieurs en sécurité des systèmes et architectes SI
• responsables de la sécurité des systèmes d’information (RSSI)
• cryptologues
• spécialistes en gestion des risques
• experts en conformité réglementaire, etc.

Les cybermenaces se faisant de plus en plus nombreuses et complexes, les entreprises cherchent à recruter des profils capables d’anticiper les attaques des hackers, ou d’y réagir efficacement. Une demande croissante qui se heurte à la pénurie de talents à laquelle est confronté le secteur de la cybersécurité.

quelles formations pour répondre aux enjeux de cybersécurité dans l’industrie ? 

En réponse à cette pénurie de talents, les formations initiales et continues s’adaptent. Des écoles d’ingénieurs et des universités proposent désormais des parcours spécialisés en sécurité informatique. Certaines entreprises vont même jusqu’à créer leurs propres campus dédiés à la cybersécurité, ce qui constitue une nouveauté importante. Un projet emblématique dans ce domaine est le Campus Cyber à La Défense, initié par le président de la République et inauguré en février 2022. Ce campus réunit de grands acteurs de la cybersécurité et vise à contribuer à la formation initiale et continue de divers publics, tels que les agents de l’État, les salariés, les étudiants et les professionnels en reconversion, afin de renforcer globalement les compétences de l’écosystème. 

Du côté des formations à destination des personnes déjà diplômées, les écoles d’ingénieurs proposent de plus en plus de dispositifs pédagogiques. Par exemple, CentraleSupelec propose un Master spécialisé en cybersécurité, co-délivré avec IMT Atlantique. Destiné à des diplômés scientifiques ou techniques (Bac+5), ce programme vise à transmettre des compétences en sécurité des systèmes d’information. 

Bien que les écoles élaborent des programmes pour répondre aux besoins du marché, certaines inadéquations subsistent entre les compétences enseignées et les attentes professionnelles. Avec l’évolution rapide des méthodes et outils utilisés pour le suivi et le pilotage des chaînes d’approvisionnement, il est difficile pour les institutions éducatives de suivre le rythme. Les entreprises jouent alors un rôle crucial dans l’évolution des compétences des experts en cybersécurité. En investissant dans la formation continue et l’upskilling de leurs employés, elles peuvent combler les lacunes et s’adapter aux nouvelles menaces. Cette collaboration entre le monde éducatif et les entreprises est essentielle pour renforcer la cybersécurité et répondre efficacement aux défis actuels induits sur le marché de l’emploi dans la filière.

Vous souhaitez en savoir plus sur les parcours formation avec Expectra ? > https://www.expectra.fr/avantages-expectra/interim/formation/