Cybersécurité des infrastructures critiques pour une défense connectée et un contrôle opérationnel

La cybersécurité des infrastructures critiques protège les systèmes qui soutiennent les services essentiels. Cypher Sentinel ajoute une couche souveraine de convergence à l’environnement de sécurité existant, reliant les contextes de sécurité IT et OT approuvés aux fonctionnalités natives et à la coordination assistée par l’IA. Les opérateurs définissent la frontière de déploiement et l’autorité des actions affectant leurs systèmes.

Protégez le service, le processus et les données

Les technologies opérationnelles comprennent les systèmes de contrôle industriels (ICS) et les systèmes de supervision et d’acquisition de données (SCADA) utilisés pour surveiller et contrôler les processus physiques.

Une décision de cybersécurité dans un environnement opérationnel peut affecter un processus physique. La protection des infrastructures critiques doit donc tenir compte de la continuité des services, des contraintes d’ingénierie et des personnes responsables d’une exploitation sûre.

Le NIST SP 800-82 Rev. 3 traite des exigences particulières de performance, de fiabilité et de sûreté des technologies opérationnelles. Ces exigences doivent faire partie du processus de sécurité dès le départ : comment les données sont collectées, comment une alerte est évaluée et qui peut autoriser une modification d’un système opérationnel.

Reliez les contextes de sécurité IT et OT

L’approche de Cypher Sentinel fondée d’abord sur l’intégration commence par les systèmes SIEM, de terminaux, d’identité, de réseau et de surveillance OT déjà en place. Les passerelles d’intégration et les API relient les sources et processus sélectionnés à la plateforme de convergence. Le pilote vérifie les interfaces, le sens des données, les autorisations et les versions de produits nécessaires au cas d’usage choisi.

• Contexte d’identité et d’accès : comprenez le compte, le chemin d’accès distant et le rôle autorisé impliqués dans l’enquête.
• Contexte des actifs et des services : reliez l’activité observée aux systèmes affectés, à la zone opérationnelle et aux dépendances des services.
• Contexte de sécurité : reliez les alertes, événements et renseignements sélectionnés nécessaires à l’enquête sur le scénario.
• Autorité opérationnelle : identifiez l’équipe pouvant approuver la réponse, son périmètre autorisé et la voie de reprise.

L’architecture de la plateforme explique comment s’articulent les entrées, le contexte partagé, la coordination des fonctionnalités et les limites d’action.

Un processus à évaluer : l’accès distant d’ingénierie

Considérons un scénario de pilote illustratif impliquant l’utilisation suspecte d’un compte distant d’ingénierie. Intégrez à l’enquête les signaux approuvés d’identité, de terminaux et de surveillance. Examinez la criticité de l’actif, les travaux en cours et la fenêtre de maintenance. L’opérateur responsable choisit ensuite l’action permise et consigne la décision. Ce processus doit être validé au regard de vos systèmes et procédures pendant le pilote.

Définissez le périmètre autour du service essentiel

La même architecture de convergence peut être évaluée au regard d’exigences opérationnelles différentes. Définissez les actifs importants et les dépendances des services avant de choisir un périmètre technologique.

• Énergie et services publics : donnez la priorité à la continuité, à l’accès d’ingénierie et à la frontière entre systèmes d’entreprise et environnements de contrôle.
• Eau et activités industrielles : identifiez les processus, les contraintes des équipements et les activités de maintenance autorisées qui donnent un sens opérationnel à une alerte.
• Communications et transports : cartographiez les dépendances des services, l’administration distribuée et l’effet d’une réponse sur les opérations connectées.
• Infrastructure financière : établissez les exigences d’identité, de services transactionnels et de preuves pour les systèmes inclus dans le pilote.

Chaque pilote doit documenter les appareils, protocoles, versions et outils de surveillance existants dont il dépend. Confirmez la couverture et la méthode de collecte nécessaires à cet environnement avant d’élargir le périmètre.

Gardez le déploiement et la réponse sous votre contrôle

L’opérateur définit où la plateforme fonctionne, où résident les données et les clés, quelles identités peuvent l’administrer et quelles connexions externes sont permises. Le plan de déploiement couvre également l’hébergement des modèles, les sources de renseignement, les procédures de mise à jour et les fonctionnalités nécessaires en cas de perte de connectivité. Consultez la plateforme souveraine de cybersécurité pour les décisions de déploiement.

L’automatisation doit respecter l’autorité opérationnelle. Distinguez l’observation et les recommandations des actions soumises à approbation et de tout processus automatisé délimité. Pour les actions pouvant affecter la production ou la sûreté, définissez le décideur responsable, les vérifications opérationnelles et la procédure de reprise avant d’activer le processus.

Construisez un pilote autour de la sûreté opérationnelle

Un pilote utile est assez ciblé pour être évalué et assez pertinent pour éclairer la décision de déploiement suivante. Commencez par un service ou un site et par un scénario de menace dont les équipes de sécurité et d’exploitation reconnaissent l’importance.

• Établir les limites : identifiez les actifs, les contraintes d’exploitation, les sources de données permises et les personnes responsables du pilote.
• Vérifier la collecte : convenez de la méthode de collecte, y compris la télémétrie passive ou existante lorsque cela est pertinent, et évaluez son impact opérationnel.
• Mettre le processus à l’épreuve : enquêtez sur le scénario choisi avec les intégrations sélectionnées, les approbations convenues et la procédure de reprise.
• Examiner les preuves : comparez l’exhaustivité des données, l’effort d’enquête, le délai jusqu’à une décision approuvée et l’impact opérationnel à la référence documentée.

Passez du pilote à un déploiement plus large au moyen d’une décision d’acceptation des systèmes et fonctionnalités évalués. Utilisez les résultats pour préciser la couverture d’intégration, les responsabilités opérationnelles et le cas d’usage suivant.

Intégrez les preuves d’assurance à l’architecture

Utilisez les exigences sectorielles applicables et vos normes d’exploitation internes pour définir les contrôles et preuves nécessaires. Les objectifs de performance en cybersécurité intersectoriels de la CISA fournissent une base volontaire et priorisée de pratiques de sécurité. Les recommandations du NIST sur la sécurité OT constituent une référence pour les contraintes des systèmes industriels et d’autres systèmes physiques.

Pour chaque exigence, identifiez la fonction de plateforme ou l’outil existant pertinent, la configuration, le responsable et les preuves à examiner. Une implémentation et une évaluation documentées établissent le dossier d’assurance de l’environnement réel.

Préparez les infrastructures durables au changement cryptographique

Intégrez la cryptographie à la revue des actifs et des dépendances : où les clés et certificats sont utilisés, quelles communications doivent être protégées, comment les mises à jour logicielles sont authentifiées et quels équipements peuvent être modifiés. Cypher Sentinel apporte des fonctionnalités cryptographiques avancées à la plateforme de sécurité pour que les fonctions sélectionnées soient évaluées avec l’architecture opérationnelle globale.

Le NIST appelle les organisations à commencer la migration post-quantique en identifiant la cryptographie vulnérable et en planifiant les mises à jour. ML-KEM, normalisé dans FIPS 203, traite de l’établissement des clés ; ML-DSA et SLH-DSA, normalisés dans FIPS 204 et 205, traitent des signatures numériques. La transition doit tenir compte de l’interopérabilité des protocoles, du cycle de vie des clés, des contraintes des équipements et des fenêtres de changement approuvées. Lisez la présentation de la cybersécurité post-quantique.