Longtemps, les acteurs industriels se sont crus épargnés par l'accroissement du niveau de cybermenace. Les systèmes d'information de leurs usines fonctionnaient en vase clos, offrant une surface d'exposition réduite aux risques.

La transformation numérique a changé la donne. Portés par la dynamique de l'Industrie 4.0, les acteurs industriels ont généralisé l'Internet des Objets (IoT) et ouvert leur SI à leurs clients et partenaires. Dans l'« Usine du futur », un flux continu de données généré par les capteurs, les commandes numériques et les machines-outils connectées vient alimenter le MES (Manufacturing Execution System).

De Stuxnet à NotPetya

La crise sanitaire liée au Covid-19 a contribué à fragiliser les systèmes d'information industriels. La mise en place du télétravail a notamment introduit de nouvelles failles de sécurité. Selon le rapport 2021 d’IBM Security, le secteur manufacturier occupe désormais la deuxième place des secteurs d’activité les plus visés par des cyberattaques alors qu’il n’était qu’en huitième position l’année précédente.

Le virus Stuxnet qui aurait permis en 2010 aux Américains de prendre le contrôle des centrifugeuses iraniennes d’enrichissement d'uranium, ou l’opération « Heartbleed » qui a visé une aciérie allemande en 2014, n'étaient qu'un prélude à une vague généralisée de cyberattaques.

En France, le malware NotPetya a impacté, en 2017, le chiffre d'affaires de Saint-Gobain à hauteur de 220 millions d’euros. La même année, la cyberattaque Triton a permis à des pirates de prendre le contrôle du système de sécurité d'un site pétrochimique de Schneider Electric, en Arabie Saoudite. Une première mondiale.

Arrêt de la production

Les conséquences d’une cyberattaque dans le domaine industriel peuvent être particulièrement lourdes. La moindre interruption d'une chaîne de production entraîne une perte sèche de chiffre d’affaires sans compter les risques de divulgation de secrets industriels ou la dégradation de la réputation de l’entreprise.

L’Agence nationale de la sécurité des systèmes d’information (Anssi) a publié un guide dédié à la protection des systèmes industriels dits SCADA (Supervisory Control and Data Acquisition). Face à cet accroissement de la menace et alors que la France ne parle que de réindustrialisation, les industriels doivent prendre le dossier de la cybersécurité à bras le corps. Ils peuvent notamment s'appuyer sur la norme IEC 62443 qui fait référence dans leur domaine, et rapproche la sécurité des systèmes d’information (ISO 27000) et la sécurité industrielle (avec ses différentes normes sectorielles).

Les acteurs industriels doivent par ailleurs compenser leur retard en matière de sensibilisation de leurs collaborateurs aux risques cyber. C'est bien connu, le maillon faible de toute politique de cybersécurité principale se situe entre l'écran et le clavier : 90 % des violations de la cybersécurité sont causées par une erreur humaine, selon Verizon. Il convient de rappeler à intervalles réguliers les règles fondamentales de sécurité afin de réduire les comportements à risques comme ouvrir la pièce jointe d’un mail suspect, surfer sur des sites illicites ou utiliser une clé USB. Mais la mise en place d’outils complémentaires est également essentielle