Vous me direz que le titre de ce billet est absurde, car toutes les entreprises se protègent. En fait, ce n’est pas si évident que cela, l’actualité se charge de nous le rappeler.

source.

Une conjonction d’éléments rappelle cette nécessité. Il y a quelque temps, G. Poupard de l’ANSSI le répétait dans un article et un peu après, le CLUSIF sortait un document fort intéressant sur la protection des SCADA. Arrêtons-nous quelques instants sur ce document.

Il déclare s’adresser en premier lieu aux RSSI (cf. p 5). La question qui vient alors légitimement à l’esprit est la suivante : mais que font donc les DSI ? Les directeurs des systèmes d’information de l’entreprise devraient quand même se saisir du sujet des SCADA (plus largement de l’informatique de production) s’ils ne veulent pas se voir reléguer à des tâches subalternes. Mais ceci fera l’objet d’un prochain billet.
La figure de la page 11 montre que la prise en considération de ce sujet n’a débuté qu’aux alentours de 2008, date des premières publications recensées. C’est un peu tard, même s’il y avait des raisons à cela (exposées dans mon livre).
Les 5 phases présentées en p 17 sont intéressantes :

1. connaître le milieu ;
2. sensibiliser le comex ;
3. élaborer la politique de sécurité du SI industriel ;
4. décliner cette politique au niveau opérationnel ;

5. maintenir sous contrôle les cyber risques.

Cela va sans dire, mais cela va aussi mieux en le disant.

Tout ceci pour dire que c’est un document qui se lit bien (et vite pour ceux qui sont pressés), de plus fort pertinent au vu de la récente actualité visant les SCADA et qui s’appelle Dragonfly. Vous pouvez vous renseigner sur ce sujet en lisant cet article et cet autre encore. D’après ce qui s’écrit, la puissance informatique des SCADA aurait été utilisée pour stocker un backdoor dont le but était de récolter des informations confidentielles. Un accès par rebond en ciblant les SCADA. Bel exploit.

Ceci illustre bien l’utilité de la protection des informatiques de l’entreprise et donc l’intérêt de ne pas laisser les informatiques devenir orphelines. Le chantier est encore énorme. Il est plus que temps de s’y mettre.