Les cyberattaques contre les systèmes frigorifiques de supermarchés ont révélé les risques auxquels restent exposés certains équipements techniques. Installés et entretenus par des prestataires spécialisés, ces dispositifs échappent parfois aux contrôles informatiques habituels. Pour les PME, leur sécurisation se heurte aussi à des responsabilités mal définies et à des installations dont la durée de vie dépasse souvent celle de leurs logiciels. Bruno Laureti, DSI Group et associé d’EBS Group, revient sur les difficultés rencontrées sur le terrain.
Des installations qui échappent encore aux audits informatiques
Qu’il s’agisse de caméras de surveillance, de contrôle d’accès, d’installations frigorifiques, de panneaux photovoltaïques ou même de grues connectées, les entreprises disposent d’une multitude d’équipements techniques dont le fonctionnement repose désormais sur des composants informatiques. Leur sécurité ne relève pourtant pas toujours de la DSI, lorsqu’il en existe une.
« Dans les PME, c’est le quotidien », constate Bruno Laureti, DSI Group et associé d’EBS Group, interrogé sur la découverte d’équipements dont les équipes informatiques ignoraient l’existence. Les audits réalisés lors de la reprise d’un nouveau client se concentraient auparavant sur le parc informatique traditionnel, sans nécessairement intégrer les installations techniques.
Le périmètre s’est progressivement élargi. EBS Group a commencé par intégrer les caméras, les systèmes de contrôle d’accès et certains équipements connectés utilisés dans les entrepôts. D’autres installations, notamment dans le bâtiment ou la production d’énergie, demeurent plus difficiles à appréhender. « Ce sont des contrats qui sont gérés par d’autres entreprises », explique Bruno Laureti, évoquant des prestataires spécialisés dans des métiers dont l’informatique ne constitue qu’une composante. L’existence de ces contrats ne garantit pas que les connexions extérieures, les droits d’administration ou les mises à jour soient suivis dans le cadre de la politique de cybersécurité de l’entreprise.
Des frigos compromis malgré la protection du système informatique
Cette séparation a pris une dimension très concrète lors des récentes attaques contre les installations frigorifiques. Bruno Laureti évoque le cas d’un client touché, qui disposait pourtant de mesures de sécurité sur son système d’information. Les équipements frigorifiques, eux, n’étaient pas nécessairement à jour. L’incident a entraîné des pertes de marchandises, puis conduit EBS Group à travailler avec le frigoriste pour revoir les conditions de sécurisation et de maintenance des installations. Ainsi, une entreprise peut avoir investi dans la protection de son informatique sans avoir intégré l’ensemble de ses installations techniques à cette démarche.
Les interfaces d’administration exposées sur Internet, les protocoles anciens ou les configurations insuffisamment sécurisées constituent autant de points de vigilance. « Il y a des protocoles qui sont ouverts et qui n’ont aucune sécurité », souligne Bruno Laureti, qui évoque également des équipements insuffisamment durcis. Certains nécessitent encore une intervention physique pour être mis à jour, parfois au moyen de clés USB ou de connexions anciennes. Leur maintenance dépend alors autant de la disponibilité des correctifs que des possibilités d’intervention des prestataires.
Une responsabilité qui se perd entre les prestataires
La difficulté n’est pas seulement technique. Dans une PME, les équipements peuvent avoir été installés par un fournisseur, entretenus par une entreprise spécialisée et raccordés au réseau par un prestataire informatique. Chacun intervient sur une partie de l’installation, sans disposer nécessairement d’une vision complète de sa sécurité. « C’est une sorte de ping-pong qu’on vit déjà dans l’informatique depuis des années, en disant : ce n’est pas notre périmètre », observe Bruno Laureti.
La multiplication des intervenants complique notamment le suivi des accès et la coordination des opérations de maintenance. Pour Bruno Laureti, cette situation impose davantage de coopération avec les constructeurs et les entreprises spécialisées. Elle suppose aussi de mieux intégrer les exigences de sécurité informatique dès la conception des équipements.
Des matériels conçus pour durer plusieurs décennies
Le renouvellement des logiciels et celui des équipements industriels obéissent à des temporalités très différentes. Une machine peut rester indispensable à une activité longtemps après la fin de maintenance de son système informatique. Bruno Laureti cite le cas d’un client fabricant des moteurs destinés à des navires, avec des garanties pouvant atteindre quarante ans. « Dans l’informatique, quarante ans, ce sont de multiples révolutions et évolutions », rappelle-t-il. Or, ces équipements reposent sur une relation étroite entre matériel et logiciel. Leur mise à jour ne peut pas toujours être réalisée indépendamment des contraintes techniques imposées par le constructeur.
EBS Group intervient ainsi sur des machines-outils raccordées à des réseaux totalement isolés d’Internet, dont la maintenance nécessite des interventions sur place, notamment au moyen de clés USB. Lorsque les mises à jour ne sont plus possibles, limiter les connexions de ces équipements au reste du réseau devient l’un des moyens de réduire leur exposition, sans pour autant supprimer tous les risques.
Des risques identifiés, des investissements repoussés
Pour les PME, la première étape consiste à inventorier les équipements concernés, puis à définir un plan de remédiation. Encore faut-il pouvoir le financer. Bruno Laureti rencontre des dirigeants qui jugent ces investissements trop coûteux, faute d’avoir déjà subi les conséquences d’une attaque. « Je ne me suis jamais fait avoir, je n’aurai pas de problème, donc ce que vous proposez là coûte trop cher », résume-t-il.
Les contraintes économiques pèsent aussi sur les décisions. Dans l’automobile, souligne-t-il, un concessionnaire peut privilégier l’équipement de son atelier plutôt que sa sécurité informatique, au risque de voir son activité interrompue si ses installations sont compromises. La prise de conscience progresse, mais ne se traduit pas toujours dans les budgets. Bruno Laureti regrette notamment que les dispositifs d’accompagnement financier restent mal connus des PME, et parfois de leurs propres prestataires.
