Un mardi matin, chez un fabricant de meubles de Saint-Georges, en Beauce. Un rançongiciel a chiffré l'ERP et le serveur de fichiers pendant la nuit. Les automates et les machines à commande numérique n'ont pas été touchés. Pourtant, l'usine est à l'arrêt : sans l'ERP, plus de bons de travail; sans le poste d'ingénierie, plus de programmes à charger; et l'écran de supervision de la ligne de finition, branché sur le même réseau que les bureaux, affiche la note de rançon.
C'est le scénario le plus courant dans le manufacturier : l'attaque vise l'informatique de gestion, mais c'est la production qui paie. Le Centre canadien pour la cybersécurité considère le rançongiciel comme la principale cybermenace criminelle pour les infrastructures essentielles au pays, et il observe que des acteurs ciblent de façon opportuniste les équipements industriels accessibles par Internet, en exploitant des logiciels d'accès à distance mal sécurisés ou des mots de passe par défaut.
Bonne nouvelle : pas besoin de tout reconstruire. Deux références, le modèle Purdue et la série de normes IEC 62443, donnent un langage commun avec vos intégrateurs et un plan d'action à la mesure d'une PME.
En bref
- Dans une usine, un rançongiciel qui frappe les bureaux suffit souvent à arrêter la production : séparer l'informatique de gestion (TI) de l'informatique industrielle (OT) est la première protection.
- Le modèle Purdue sert à cartographier vos systèmes; IEC 62443 sert à fixer les exigences, zone par zone.
- L'accès à distance des intégrateurs et des fournisseurs d'équipements est souvent le point le plus faible : centralisez-le, protégez-le par MFA et activez-le seulement sur demande.
- Commencez par un inventaire passif et une sauvegarde des programmes d'automates, avant d'acheter des outils.
Pourquoi l'usine s'arrête même quand l'attaque vise les bureaux
En OT, les priorités sont inversées par rapport aux TI. Au bureau, on protège d'abord la confidentialité. À l'usine, ce sont la disponibilité et la sécurité des personnes qui passent en premier. Un correctif qui exige un redémarrage peut signifier un arrêt de ligne; une analyse réseau trop agressive peut faire planter un vieil automate.
Résultat, plusieurs faiblesses s'accumulent avec les années :
- un réseau « à plat » où les postes de bureau peuvent joindre les écrans de supervision (HMI) et les automates (PLC);
- des HMI et des postes d'ingénierie sous d'anciennes versions de Windows, rarement mis à jour;
- des logiciels d'accès à distance installés par différents intégrateurs, avec des mots de passe partagés;
- des clés USB qui circulent entre le bureau et le plancher;
- des liens directs entre l'ERP, le système d'exécution de la fabrication (MES) et les machines.
Le modèle Purdue en cinq minutes
Issu des travaux de l'Université Purdue, ce modèle découpe l'entreprise industrielle en niveaux. Ce n'est pas une norme, mais c'est l'outil le plus simple pour décider où tracer les frontières.
| Niveau | Contenu | Exemple dans une usine québécoise |
|---|---|---|
| 0 | Procédé physique : capteurs, actionneurs, moteurs | Sondes de température d'un four de séchage |
| 1 | Contrôle de base : automates (PLC), contrôleurs | Automate qui pilote la scie à panneaux |
| 2 | Supervision : HMI, SCADA, postes d'ingénierie | Écran tactile de la ligne de finition |
| 3 | Opérations du site : MES, historien, serveurs de production | Serveur MES qui reçoit les ordres de fabrication |
| 3,5 | DMZ industrielle | Passerelle d'accès à distance, copie de l'historien |
| 4 | Réseau d'affaires : ERP, courriel, bureautique | ERP, comptabilité, courriel |
| 5 | Entreprise et infonuagique | Microsoft 365, portail des clients |
Le niveau 3,5 est un ajout moderne au modèle d'origine, et il est essentiel. La règle d'or : aucun flux direct entre le niveau 4 et les niveaux 0 à 2. Tout passe par la DMZ industrielle, et chaque flux est justifié.
IEC 62443 sans le jargon
La série ISA/IEC 62443 encadre la sécurité des systèmes d'automatisation et de contrôle industriels. Sa force : elle répartit les responsabilités selon les rôles. Les documents les plus utiles pour une PME :
- 62443-2-1 : les exigences du programme de sécurité de l'exploitant, c'est-à-dire vous.
- 62443-2-4 : les exigences envers les fournisseurs de services, comme vos intégrateurs. Excellent pour rédiger vos contrats.
- 62443-3-2 : l'évaluation des risques et le découpage en zones et conduits.
- 62443-3-3 : les exigences de sécurité du système et les niveaux de sécurité (SL 1 à 4).
- 62443-4-1 et 4-2 : les exigences envers les fabricants d'équipements, pour le développement sécurisé et les composants.
- TR 62443-2-3 : un rapport technique sur la gestion des correctifs en environnement industriel.
Une zone regroupe des équipements qui ont les mêmes besoins de sécurité, par exemple tous les automates d'une ligne. Un conduit est le canal de communication contrôlé entre deux zones. Le niveau de sécurité visé va de SL 1, la protection contre une erreur ou une violation occasionnelle, à SL 4, la protection contre un attaquant aux moyens étendus et aux compétences industrielles poussées. Pour beaucoup de PME manufacturières, viser d'abord SL 1 ou SL 2 sur la plupart des zones est un point de départ réaliste.
Les sept mesures prioritaires
- Faire un inventaire passif. Automates, HMI, versions de micrologiciel, et surtout qui s'y connecte. Évitez les balayages actifs non planifiés sur le réseau de production.
- Segmenter TI et OT. Un pare-feu entre les deux, une DMZ industrielle, des zones par ligne ou par cellule.
- Encadrer l'accès à distance. Une seule passerelle dans la DMZ, un compte par technicien, l'authentification multifacteur, une activation sur demande et des sessions journalisées. Désinstallez les outils de prise de contrôle laissés sur les HMI.
- Changer les mots de passe par défaut des automates, des HMI et des équipements réseau industriels.
- Sauvegarder ce qui fait tourner l'usine. Programmes d'automates, configurations des HMI, recettes, licences, avec une copie hors ligne testée.
- Planifier les correctifs avec la production. Profitez des arrêts planifiés, comme la fermeture estivale que bien des usines calquent sur les vacances de la construction, et appliquez des mesures compensatoires quand un équipement ne peut pas être mis à jour.
- Préparer la réponse. Qui décide d'arrêter une ligne ? Comment fonctionner en mode manuel ? Où sont les numéros des intégrateurs à 2 h du matin ?
Prenons un usineur de Drummondville, au Centre-du-Québec, avec 60 employés. Quatre intégrateurs différents avaient chacun installé leur propre logiciel d'accès à distance. Les regrouper derrière une seule passerelle avec MFA a fermé la majorité des chemins d'entrée sans changer un seul automate.
La pression vient aussi des donneurs d'ordre
Les grands clients regardent de plus en plus la cybersécurité de leurs fournisseurs. Les sous-traitants de l'aérospatiale et de la défense doivent se préparer à la certification CPCSC, désormais exigée dans certains contrats de défense. Ceux qui fournissent l'énergie ou le transport surveilleront la mise en œuvre progressive de la LPCCE (projet de loi C-8), qui prévoit des obligations de gestion des risques liés à la chaîne d'approvisionnement.
Pour valider la frontière TI/OT, un test d'intrusion bien cadré est utile, en commençant par le côté bureau et l'accès à distance : notre article sur le test d'intrusion externe ou interne explique la différence. Tout test exige une autorisation écrite (Code criminel, art. 342.1) et, en milieu industriel, une coordination étroite avec la production.
Votre plan de 90 jours
- Jours 1 à 30 : inventaire passif, carte des flux entre bureaux et usine, liste de tous les accès à distance.
- Jours 1 à 30 : sauvegarde hors ligne des programmes d'automates et des configurations HMI.
- Jours 31 à 60 : pare-feu TI/OT, DMZ industrielle, passerelle d'accès à distance unique avec MFA.
- Jours 31 à 60 : remplacement des mots de passe par défaut.
- Jours 61 à 90 : exercice d'arrêt et de redémarrage d'une ligne après un incident simulé.
- Jours 61 à 90 : clauses inspirées de 62443-2-4 ajoutées aux contrats des intégrateurs.
Notre équipe peut commencer par un audit de cybersécurité centré sur la frontière entre vos réseaux de bureau et de production, puis vous remettre un plan priorisé qui respecte vos contraintes d'exploitation.
Questions fréquentes
Une PME manufacturière doit-elle être certifiée IEC 62443 ?+
Non, aucune loi n'oblige une PME manufacturière québécoise à obtenir une certification IEC 62443. La norme sert surtout de cadre commun pour structurer votre programme et pour formuler vos exigences envers les intégrateurs et les fournisseurs d'équipements. Certains donneurs d'ordre peuvent toutefois s'en inspirer dans leurs exigences contractuelles.
Nos automates ne sont pas branchés sur Internet : sommes-nous à l'abri ?+
Rarement autant qu'on le croit. Les réseaux de production réellement isolés sont l'exception : une clé USB, le portable d'un technicien, un modem d'accès à distance oublié ou un lien vers l'ERP suffisent à créer un chemin. Le premier exercice utile consiste à dessiner tous les flux qui entrent dans l'usine et qui en sortent.
Qui est responsable de la cybersécurité de l'usine, les TI ou la production ?+
Les deux, et c'est justement la difficulté. Les TI connaissent la sécurité, la production connaît les contraintes des procédés et de la sécurité des personnes. Désignez un responsable de chaque côté, donnez-leur un mandat commun signé par la direction et faites approuver toute modification du réseau de production par les deux.