Dans les environnements industriels, ajouter un outil de cybersécurité ne signifie pas simplement ajouter une couche de protection. Frédéric Breussin, fondateur et CEO d’AIoTrust, et Yves Duchesne, CEO et expert cybersécurité chez ACCEIS, rappellent qu’une solution de sécurité doit elle-même être éprouvée, notamment lorsqu’elle s’insère dans des systèmes où logiciels, matériels et équipements OT restent étroitement imbriqués.
Une tribune co-signée par Frédéric Breussin, fondateur et CEO de la solution de détection AIoTrust, et Yves Duchesne, CEO et expert cybersécurité chez ACCEIS.
À mesure que les cybermenaces progressent, les entreprises industrielles renforcent leurs dispositifs de protection avec de nouvelles solutions pour mieux détecter les attaques et surveiller les systèmes. Toutefois, chaque outil de protection intégré aux réseaux informatiques et industriels devient une composante de cet environnement et, à ce titre, peut introduire lui-même de nouvelles vulnérabilités. Une question mérite donc d’être posée : qui sécurise ces solutions de sécurité ?
Pour un industriel, intégrer une nouvelle solution de cybersécurité implique de s’assurer qu’elle ne crée pas, à son tour, de nouvelles vulnérabilités dans son environnement. Mais comment en avoir la garantie ? La réponse ne peut pas reposer uniquement sur les assurances du fournisseur. Car aussi rigoureux soient la conception de la solution, sa documentation ou ses tests internes, celui qui l’a développée reste nécessairement juge et partie.
La sécurité d’une solution ne s’affirme plus, elle se démontre
Pendant longtemps, la confiance pouvait largement se construire à partir de la réputation et de l’expertise du fournisseur, de sa documentation technique, de ses propres procédures de test ou encore d’une phase de POC. Ces éléments ne suffisent plus. La cybersécurité est en effet devenue une exigence beaucoup plus formalisée dans les relations entre clients et fournisseurs. Elle entre dans les critères de référencement, les appels d’offres et l’évaluation des risques liés à la chaîne d’approvisionnement.
Et les réglementations européennes renforcent cette évolution. La directive NIS2 élève notamment les exigences de gestion des risques cyber pour les organisations de nombreux secteurs critiques et intègre explicitement la sécurité de la chaîne d’approvisionnement. Et le Cyber Resilience Act (CRA) va plus directement encore dans le sens de cette responsabilisation des fournisseurs, en instaurant des exigences obligatoires de cybersécurité pour les produits matériels et logiciels comportant des éléments numériques, de leur conception à leur maintenance.
Le regard d’un tiers pour objectiver la sécurité
Pour apporter une preuve objective de la sécurité d’une solution, il devient alors nécessaire de faire intervenir un tiers de confiance, indépendant de celui qui l’a conçue. Son rôle n’est pas de promettre qu’une solution est exempte de toute vulnérabilité — aucune évaluation ne peut apporter une telle garantie — mais de confronter les affirmations du fournisseur à une analyse extérieure, menée selon une méthodologie et des référentiels reconnus.
Cette indépendance change la nature de la preuve apportée. Là où les tests réalisés en interne permettent au concepteur de vérifier que sa solution répond à ses propres exigences de sécurité, l’audit apporte un regard indépendant : il permet de questionner les choix de conception, de rechercher des vulnérabilités, d’éprouver les mécanismes de sécurité ou encore d’identifier des scénarios qui n’auraient pas nécessairement été envisagés par les équipes qui l’ont développée.
Pour l’industriel, l’avantage est bien sûr de disposer d’une information neutre et objective sur la sécurité de la solution. Mais la démarche constitue aussi, en elle-même, un signal de confiance : en acceptant volontairement de soumettre sa solution à un regard extérieur, le fournisseur témoigne de son sérieux et de sa transparence.
Dans l’industrie, l’audit doit aussi parler OT
Faire auditer une solution est une étape nécessaire. Mais encore faut-il s’assurer de la pertinence de l’audit. Si l’audit de cybersécurité est aujourd’hui une pratique bien établie dans le monde de l’IT, son application aux environnements OT et aux solutions qui mêlent logiciel et matériel est moins généralisée. Dans un environnement industriel, la cybersécurité ne s’arrête pas aux logiciels, aux réseaux ou aux systèmes d’information : elle touche aussi aux équipements physiques, aux systèmes de contrôle et aux interactions entre les mondes IT et OT.
Évaluer une solution industrielle suppose donc d’en comprendre à la fois l’architecture, les composants matériels et logiciels, les flux de données, mais aussi la manière dont elle interagit avec les équipements et les processus industriels. Car une vulnérabilité peut se situer autant dans le logiciel que dans un composant matériel, une interface de communication ou encore dans la façon dont ces différents éléments s’articulent. La capacité à croiser expertise cyber et expertise hardware est primordiale.
Le choix du tiers de confiance est donc aussi important que le principe même de l’évaluation indépendante.
Auditer pour rassurer, mais aussi pour progresser
Pour le fournisseur, faire auditer rassure ses clients, certes, mais cela apporte bien plus qu’un simple tampon. L’intérêt de la démarche réside aussi dans ce qu’elle permet d’apprendre sur sa propre solution. En la confrontant au regard et aux méthodes d’experts indépendants, l’audit peut mettre en évidence des vulnérabilités, mais aussi questionner certains choix techniques ou faire émerger des scénarios qui n’avaient pas été envisagés lors de la conception et des tests internes.
L’évaluation devient alors un outil d’amélioration de la solution. Les enseignements qui en ressortent permettent au fournisseur de corriger les éventuelles faiblesses identifiées, de renforcer ses pratiques de développement et, plus largement, d’intégrer la sécurité dans une logique d’amélioration continue.
Une vigilance d’autant plus nécessaire que les outils de cybersécurité occupent désormais une place centrale dans les environnements industriels. Dans l’industrie comme ailleurs, le premier risque serait de croire qu’un outil de sécurité est, par nature, sécurisé.
