OT Risk Assessment

Sécuriser votre environnement OT

À l'heure où la fréquence des cyberattaques contre les Operational Technology (OT) augmente, il est plus important que jamais de sécuriser l'environnement OT de votre organisation. Les adversaires utilisent diverses méthodes pour infiltrer les réseaux et causer toutes sortes de dommages financiers : soit directement en arrêtant ou en ralentissant la production, soit indirectement en volant et en vendant les secrets commerciaux de votre organisation.

Pour réduire les risques de cyberattaque, il convient d'identifier et de mettre en œuvre les contre-mesures possibles. Le fait de ne pas mettre en œuvre ces contre-mesures, ou de les mettre en œuvre de manière incorrecte, constitue un risque pour votre organisation.

En savoir plus sur OT Risk Assessment

1. Pourquoi procéder à une Risk Assessment ?
2. Pourquoi une OT Risk Assessment est-elle nécessaire ?
3. En quoi consiste une OT Risk Assessment ?
4. La méthodologie QAROT
5. Les résultats d'une assessment

Pourquoi procéder à une "Risk Assessment" ?

Une évaluation des cyberrisques permet de déterminer de manière structurelle les cyberrisques présents dans votre environnement. Il n'est possible de comprendre l'efficacité des contre-mesures (existantes) qu'après avoir explicitement identifié ces risques. Il est alors possible de réfléchir à de nouvelles contre-mesures, si elles sont nécessaires, et à leur efficacité potentielle.

En outre, l'évaluation de la gravité des risques identifiés permet de décider des contre-mesures et de les classer par ordre de priorité, et de décider en connaissance de cause si les coûts de leur mise en œuvre sont en rapport avec les conséquences potentielles. En outre, une évaluation des risques permet d'obtenir une vue d'ensemble des forces et des faiblesses de votre organisation. Cette vue d'ensemble peut, à son tour, être utilisée pour améliorer la préparation en cas de cyberattaque ou pour prévenir une cyberattaque en remédiant aux faiblesses identifiées.

Pourquoi une OT Risk Assessment adaptée est-elle nécessaire ?

Contrairement aux technologies de l'information, les risques dans les environnements OT n'affectent pas seulement la confidentialité, l'intégrité et la disponibilité des données ou des processus, mais peuvent également avoir une incidence sur la fiabilité, les performances et la sécurité des installations. En outre, les différents types de Industrial Control Systems (ICS), tels que les PLC, les DCS et les systèmes SCADA, requièrent une attention particulière car ils constituent l'épine dorsale de tout environnement OT. Pour évaluer correctement les risques et proposer des contre-mesures dans ces environnements, il convient de tenir compte de ces différences.

En quoi consiste une OT Risk Assessment ?

Bureau Veritas Cybersecurity utilise sa propre méthodologie d'évaluation des risques basée sur les assets, appelée "Quantitatively Assessing Risk in Operational Technology" (QAROT). Cette méthodologie est conforme à la norme IEC 62443-3-2 et intègre les points forts de la norme ATTandCK de MITRE pour les ICS et de la norme ISO 31010. La combinaison de ces normes nous permet d'effectuer des assessments de risques qui vont au-delà de la simple conformité. En collaboration avec nos clients, nous définissons les niveaux de sécurité cibles requis par la norme CEI 62443-3-2, sur lesquels nous basons systématiquement les objectifs de l'assessment.

QAROT intègre d'autres normes de la famille IEC 62443, telles que -3-3 et -4-2, afin de fournir des conseils cohérents et exploitables basés sur les exigences de sécurité fondamentales que ces normes décrivent. En outre, QAROT utilise la base de données des cyberattaques technologiques opérationnelles (OTCAD) de Bureau Veritas Cybersecurity, accessible au public, lorsqu'il s'agit d'établir la gravité des risques identifiés.

La méthodologie QAROT

QAROT utilise une approche descendante pour identifier et évaluer les risques: il déduit les contre-mesures applicables en tenant compte de tous les assets dans un environnement OT. Ces contre-mesures sont basées sur ATTandCK pour ICS et sont combinées avec IEC 62443-3-3 et -4-2 pour évaluer objectivement leur mise en œuvre et leur efficacité au sein du système considéré. Cette combinaison permet à Bureau Veritas Cybersecurity d'identifier structurellement les lacunes potentielles et les risques qu'elles représentent.

L'assessment commence par la création d'un diagramme de zones et de conduits basé sur les plans du réseau et l'inventaire des assets de l'organisation. Le contenu du diagramme est discuté avec le client lors d'un atelier afin de s'assurer qu'il représente correctement l'environnement évalué. Au cours d'ateliers consécutifs, nous déterminons avec notre client l' impact des objectifs possibles de l'adversaire et nous établissons les niveaux de sécurité atteints par les contre-mesures existantes basées sur les assets et les zones/conduits.