Les sites industriels français sont de plus en plus digitalisés, interconnectés et automatisés. Cette modernisation des outils de travail est une vraie révolution qui présente autant d’opportunités que de risques.

Les systèmes numériques connectés sont tous exposés à la même menace : les cyber-attaques. Pour dessiner les contours de ce risques et en évaluer les conséquences : télécharger le flash cyber-sécurité du BARPI.

La base nationale des accidents technologiques (base ARIA) a recensé des accidents liés à des attaques informatiques :

➡️ Un réseau de stations d’épuration piraté en Europe, des logiciels malveillants d’extraction de crypto-monnaie ont été détectés sur des serveurs connectés à ce réseau. Même si cette attaque semble inoffensive elle ralentissait fortement les équipements informatiques utilisés pour gérer les installations. Le risque est alors qu’un dysfonctionnement survienne lors d’une situation d’urgence et que la station d’épuration rejette des eaux polluées.

➡️ Un haut fourneau hors de contrôle à la suite du piratage du système informatique de la production. Des hackers se sont infiltrés dans le réseau informatique de l’entreprise pour nuire. Selon le rapport de l’organisme d’état allemand, ils disposaient de capacités techniques avancées et maîtrisaient également les processus de production industriels. Le résultat de ce piratage a été l’endommagement du fourneau.

⚠️Ce risque est encore sous-estimé malgré une médiatisation importante des cyber-attaques visant des entreprises. La cyber-sécurité industrielle doit se développer sachant que, dans la majorité des attaques étudiées par le Bureau d’Analyse des Risques et Pollutions Industriels (BARPI), les logiciels malveillants ont été introduits accidentellement par des employés.

Le flash publié par le BARPI a identifié les points de vigilance suivants :

➡️ Réseau de télécommunication / Système de téléalarme ou de diffusion de l’alerte aux populations voisines ou administrations concernées : Le système est-il correctement dimensionné : nombre de lignes téléphoniques ? Les opérateurs (société de gardiennage) sont-ils suffisamment formés à son utilisation ? Est-il régulièrement testé ? La liste des personnes à prévenir est-elle régulièrement vérifiée (pertinence des numéros de télécopieur) ?…

➡️ Attaque virale : L’entreprise dispose-t-elle d’une politique de sensibilisation des utilisateurs ? Une veille sur ces questions est-elle réalisée ? (site de l’Anssi, responsable cybersécurité dans l’entreprise)

➡️ Mises à jour du matériel informatique : Sont-elles régulièrement planifiées ? Font-elles l’objet d’une analyse de risque ? Comment s’assure-t-on que les mises à jour ne sont pas potentiellement dangereuses ?

➡️ Programmation des automates : Est-ce que le sous-traitant est audité et habilité pour les interventions qu’il a à réaliser (qualité de la programmation / connaissance du process industriel et des installations) ?

Lors d’une réunion organisée par l’AFINEGE et France CHIMIE Île-de-France le 12 février dernier, la DRIEE (direction régionale de l’environnement et de l’énergie d’Île-de-France) expliquait aux industriels que la cybersécurité était un sujet émergent dans le cadre de ses inspections sûreté.

Pour aller plus loin dans la prévention de la cybersécurité industrielle, une étude est téléchargeable sur le site internet du BARPI.

Yann Lesueur – Ingénieur HSE  – yann.lesueur@echoline.fr