Analyse de la cybersécurité dans l’industrie manufacturière : identité, lacunes à distance

Une usine peut réparer le toit qui fuit tout en laissant le quai de chargement grand ouvert. Voilà l’ambiance de la dernière histoire de sécurité dans l’industrie manufacturière : les progrès en matière de correctifs reçoivent les applaudissements, puis l’identité et l’accès à distance arrivent sur scène avec un pied-de-biche. La sécurité est amusante comme ça, c’est-à-dire qu’elle consiste surtout en une série de notes de bas de page évitables portant des chaussures de sécurité.

Ce qui s’est passé, selon Cybersecurity Dive

Eric Geller, de Cybersecurity Dive, a rapporté que les fabricants progressent dans l’application des correctifs, d’après le rapport de Black Kite sur le secteur manufacturier. Le même article indique que la gestion des identités reste une faiblesse majeure, le genre de phrase qui pousse les intervenants en réponse aux incidents à fixer silencieusement le plafond.

Cybersecurity Dive a également signalé que les mauvaises configurations restent répandues dans le secteur, notamment les logiciels d’accès à distance accessibles depuis Internet. Traduction : une équipe de sécurité peut être en train de gagner la course de la gestion des vulnérabilités pendant qu’un autre chemin d’accès oublié vend tranquillement des billets pour la séance catastrophe de l’après-midi.

Cela ne rend pas l’application des correctifs moins importante. Cela signifie que les correctifs ne sont pas une formule magique, malgré ce que les tableaux de bord laissent entendre lorsqu’ils deviennent verts et que tout le monde souffle enfin. La gestion des vulnérabilités réduit une catégorie de risque, tandis que les contrôles d’identité et la gestion de l’exposition déterminent si un intrus obtient un chemin utilisable vers l’environnement. Un serveur corrigé derrière une identité faible et un accès à distance négligé vaut mieux qu’un serveur non corrigé, mais personne ne devrait confondre « mieux » avec « terminé ».

Pourquoi le rayon d’impact dans les usines compte, selon MxD

MxD affirme que le secteur manufacturier reste la principale cible mondiale de la cybercriminalité, et cite près de 5 500 attaques par rançongiciel réussies contre des organisations en 2024. MxD note également que les acteurs malveillants ciblent de plus en plus les fournisseurs tiers dont les protections sont insuffisantes.

C’est important parce que l’industrie manufacturière est rarement une petite île bien nette avec une seule page de connexion et un seul responsable du risque. Elle comprend des fournisseurs, de la maintenance à distance, des systèmes de production, des systèmes métier, et un calendrier où les temps d’arrêt ont une personnalité très coûteuse.

C’est pourquoi les faiblesses liées à l’identité méritent l’attention du conseil d’administration, et pas seulement un ticket triste dans le backlog. Si un compte fournisseur, un utilisateur inactif ou un outil d’accès à distance exposé devient le chemin d’entrée, le problème qui en résulte risque de ne pas rester poliment cantonné aux e-mails. Les incidents de sécurité dans l’industrie manufacturière peuvent devenir des problèmes de planification, de qualité, de clients et d’assurance. La motivation de l’attaquant n’a rien d’un développement de personnage compliqué : trouver un levier, créer de la pression, se faire payer, recommencer jusqu’à être arrêté.

Pourquoi l’identité et l’accès à distance volent la vedette, selon Cybersecurity Dive

Le rapport de Cybersecurity Dive sur les conclusions de Black Kite place deux sujets inconfortables à côté des progrès en matière de correctifs : les faiblesses de la gestion des identités et les logiciels d’accès à distance accessibles depuis Internet. Cette association est importante parce que la gestion des vulnérabilités dispose souvent d’un processus plus propre que l’hygiène des identités.

Les correctifs ont des avis, des scores de gravité, des fenêtres de maintenance et, de temps en temps, une CVE assez dramatique pour mériter une bande-son. L’identité, elle, a de vieux comptes, des accès partagés, des autorisations trop larges, des exceptions pour les fournisseurs, et quelqu’un qui insiste sur le fait que l’usine s’arrêtera si quoi que ce soit change.

L’accès à distance, c’est la même histoire avec plus de voyants qui clignotent. Il est essentiel dans de nombreuses usines, surtout lorsque des fournisseurs ou des spécialistes doivent assister des équipements, mais l’exposition à Internet transforme la commodité en invitation permanente. La leçon pratique consiste à classer les systèmes d’accès à distance exposés comme des vulnérabilités hautement prioritaires, même lorsqu’aucun nouvel exploit n’y est associé. Les acteurs malveillants n’ont pas besoin que votre environnement soit entièrement cassé ; ils ont besoin d’un seul élément joignable, d’un identifiant utile, et d’assez de temps pour que vos alertes fassent une petite sieste.

Ce que cela signifie concrètement pour vous

Les articles de Cybersecurity Dive et de MxD suggèrent un modèle opérationnel utile : continuez à appliquer les correctifs, mais arrêtez de les traiter comme tout le tableau d’affichage. Commencez par inventorier les logiciels d’accès à distance joignables depuis Internet, puis supprimez les expositions inutiles et placez les accès restants derrière une authentification plus forte et une autorisation plus stricte.

Passez en revue les comptes de fournisseurs et de partenaires avec la même méfiance que vous réservez aux pilotes d’imprimante surprises. Si un compte n’a pas été utilisé, possède trop de privilèges ou appartient à une relation que personne ne peut expliquer, félicitations, vous avez trouvé le brouillon du rapport d’incident de demain.

La démarche tournée vers l’avenir consiste à mesurer les correctifs, l’identité, les mauvaises configurations et l’accès à distance comme une seule image du risque. Les fabricants qui n’améliorent qu’un de ces domaines peuvent tout de même être plus en sécurité, mais les attaquants auditionneront simplement les autres. Pour les bâtisseurs et les équipes de sécurité, la prochaine priorité n’est pas d’acheter un tableau de bord plus brillant ; c’est de prouver que les chemins d’accès sont connus, nécessaires, surveillés et révocables. Internet continuera d’essayer de tomber en morceaux, mais nous n’avons pas besoin d’en préinstaller les charnières.