Indinvest LT élabore une feuille de route de cybersécurité des technologies opérationnelles avec Rockwell

Le producteur italien d’aluminium Indinvest LT travaille avec Rockwell Automation et H.S. Automation à une évaluation complète de son niveau de cybersécurité des technologies opérationnelles. L’initiative vise à identifier les vulnérabilités, à évaluer les contrôles existants, à hiérarchiser les mesures correctives et à créer une feuille de route qui soutient la continuité des activités à mesure que les systèmes de production deviennent plus connectés.

Indinvest LT exploite une fonderie intégrée de billettes et des installations d’extrusion à Cisterna di Latina, au service des marchés industriels et architecturaux. Ces opérations combinent des équipements de procédé à forte consommation d’énergie, des variateurs, des automates programmables, des systèmes de supervision, des données qualité et des interfaces avec les systèmes de gestion. Dans un tel environnement, la cybersécurité ne constitue pas un objectif informatique isolé. Une analyse mal planifiée, une connexion distante non gérée ou un contrôleur indisponible peuvent affecter la production, la qualité des produits, l’intégrité des équipements et la sécurité.

Pourquoi une évaluation doit précéder l’achat d’une technologie

De nombreux programmes de sécurité industrielle commencent par l’achat d’une solution de surveillance ou d’un pare-feu. Cela peut être utile, mais les outils ne peuvent pas compenser un inventaire incomplet des actifs, des responsabilités mal définies ou des flux de données non documentés. Une évaluation structurée établit ce qui existe, détermine quels processus sont critiques, montre comment les systèmes communiquent et précise les conséquences opérationnelles d’une défaillance. Ce n’est qu’ensuite qu’une usine peut hiérarchiser les contrôles en fonction de la réduction des risques plutôt que de l’urgence dictée par le marketing.

Rockwell indique que sa suite d’évaluation de la cybersécurité des technologies opérationnelles s’aligne sur les normes IEC 62443 et les recommandations du NIST. L’intérêt de ces référentiels réside dans leur capacité à transformer une préoccupation générale de sécurité en travaux reproductibles : gouvernance, identification des actifs, segmentation, contrôle des accès, gestion des vulnérabilités, sauvegarde, réponse aux incidents et amélioration continue. L’évaluation ne doit pas être considérée comme un rapport de conformité ponctuel. Elle doit produire un registre d’actions attribué, avec des responsables, des dates, des dépendances et des critères de vérification.

L’analyse de PLC ProTech sur la planification des systèmes SCADA et les lacunes en matière de cybersécurité des technologies opérationnelles explique pourquoi l’architecture et la gouvernance doivent être traitées ensemble, plutôt qu’après la mise en service.

La découverte passive protège les actifs de production fragiles

L’identification des actifs dans une usine en fonctionnement doit être menée avec prudence. Les scanners classiques de vulnérabilités destinés aux environnements d’entreprise peuvent surcharger d’anciens modules de communication ou déclencher des défaillances dans des passerelles existantes. Un plan de découverte sûr commence généralement par la configuration des commutateurs, les projets des contrôleurs, les schémas, les dossiers de maintenance et l’observation passive du réseau. L’interrogation active est ensuite limitée, planifiée et testée sur des équipements représentatifs.

L’inventaire doit recueillir davantage que les adresses IP. Les informations utiles comprennent le responsable de l’actif, son emplacement, sa fonction, son micrologiciel, son système d’exploitation, son chemin de communication, la méthode de récupération prise en charge, le statut du cycle de vie du fournisseur et les conséquences d’une perte. Dans une ligne d’aluminium, un petit poste de travail d’ingénierie peut être plus critique sur le plan opérationnel qu’un gros serveur s’il constitue la seule voie prise en charge vers un automate programmable ancien.

Cartographier la cellule d’extrusion

Une zone d’extrusion peut comprendre les commandes des fours, la manutention des billettes, les automates des presses, les unités hydrauliques, les systèmes de traction, les scies, les systèmes de refroidissement, les contrôleurs de sécurité, les historiques et les systèmes qualité. L’évaluation doit cartographier à la fois le trafic normal de production et les connexions exceptionnelles utilisées pendant la maintenance. Un VPN fournisseur ouvert seulement deux fois par an peut constituer une voie non surveillée plus importante que le réseau des contrôleurs, observé en permanence.

Les diagrammes de flux de données aident à révéler les endroits où la confiance franchit des frontières. Les connexions entre les appareils de l’atelier et les systèmes de l’entreprise doivent passer par des conduits définis. L’accès d’ingénierie doit utiliser des comptes nominatifs, une autorisation limitée dans le temps et, lorsque cela est possible, des sessions enregistrées. Les identifiants partagés et les tunnels fournisseurs actifs en permanence compliquent la traçabilité et amplifient l’impact d’un ordinateur portable compromis.

La segmentation doit tenir compte des dépendances de production

L’approche par zones et conduits de la norme IEC 62443 est efficace, car elle regroupe les actifs selon leur fonction, leur criticité et leurs exigences de sécurité. Un réseau d’usine plat permet aux logiciels malveillants ou aux erreurs de configuration de se propager largement. La segmentation limite ces déplacements, mais une politique de pare-feu trop stricte peut également interrompre le trafic de contrôle sensible au facteur temps. Les ingénieurs ont besoin d’une matrice de communication vérifiée avant son application.

Un déploiement pratique commence souvent en mode surveillance. Les équipes observent les protocoles et les points d’extrémité réellement utilisés, les comparent à la conception prévue et examinent les exceptions. Les règles sont ensuite renforcées pendant des fenêtres contrôlées. Les services essentiels tels que la synchronisation horaire, l’authentification de domaine, la collecte des données historiques, la gestion des licences et la sauvegarde doivent être inclus. Les règles temporaires de mise en service doivent avoir des responsables et des dates d’expiration.

La hiérarchisation des risques doit inclure les conséquences physiques

La notation des risques en entreprise met souvent l’accent sur la confidentialité des données. Les systèmes industriels ajoutent la disponibilité, l’intégrité, la sécurité, l’impact environnemental et le délai de rétablissement. Une vulnérabilité exploitable à distance sur un affichage non critique peut être moins prioritaire qu’un contrôleur non pris en charge qui ne peut être restauré qu’à partir d’une station de programmation obsolète. L’évaluation doit combiner l’exploitabilité, les conséquences sur le processus et les mesures de protection existantes.

L’accent mis par Indinvest LT sur une feuille de route fondée sur les risques est donc important. Le résultat doit distinguer le confinement immédiat, les modifications d’ingénierie planifiées et le risque résiduel accepté. Les actions à court terme peuvent inclure la suppression des accès distants inutilisés, la modification des identifiants par défaut, la vérification des sauvegardes et l’isolement des actifs non pris en charge. Les projets plus longs peuvent concerner la mise à niveau des commutateurs, l’architecture des identités, les passerelles d’accès distant sécurisé ou la migration des contrôleurs.

Dans les environnements fortement équipés de solutions Rockwell, la gouvernance des micrologiciels est particulièrement pertinente. Le guide de décision de PLC ProTech sur les micrologiciels ControlLogix montre pourquoi la compatibilité, la conversion des projets, les modules de communication et la planification du retour arrière doivent être évaluées avant toute mise à niveau motivée par la sécurité.

Les sauvegardes ne sont utiles que si la récupération est répétée

Une évaluation doit vérifier les programmes des contrôleurs, les applications IHM, les paramètres des variateurs, les projets de sécurité, les recettes, les certificats et les licences, et pas seulement les images des serveurs. Les copies doivent comporter des indications de version et bénéficier d’une protection hors ligne ou immuable. Au moins un exercice de récupération doit être réalisé sur des équipements de secours ou virtualisés. Le temps nécessaire pour trouver les logiciels, activer les licences, établir la communication et restaurer un projet connu comme sain dépasse souvent le temps de téléchargement proprement dit.

Les plans de réponse aux incidents doivent également définir les rôles dans l’usine. Les opérateurs doivent savoir quels symptômes justifient une escalade. Les ingénieurs de contrôle ont besoin de procédures permettant de préserver les preuves sans prolonger l’arrêt. Les intervenants informatiques doivent disposer d’une règle claire interdisant d’isoler ou de redémarrer des actifs opérationnels sans autorisation liée au processus. Les exercices sur table peuvent révéler des hypothèses contradictoires avant qu’un incident réel ne survienne.

La connaissance locale de l’intégration constitue un contrôle stratégique

H.S. Automation, un fabricant d’équipements d’origine de niveau Gold du Rockwell PartnerNetwork, spécialisé dans les usines de production de profilés en aluminium, réalise l’évaluation. Cette connaissance locale des processus peut rendre les recommandations plus applicables. Les contrôles de sécurité qui ignorent les séquences de production, les fenêtres d’arrêt ou les limites de prise en charge des équipements restent généralement théoriques. Un partenaire familiarisé avec les machines peut traduire les risques en changements que la maintenance et les opérations sont capables de maintenir.

La réussite ne se mesurera pas au nombre de constats. Elle se mesurera à la capacité d’Indinvest LT à disposer d’une référence actualisée de ses actifs, d’une liste de priorités défendable, d’une meilleure capacité de récupération et d’un cycle d’examen reproductible. La maturité en cybersécurité se manifeste lorsque les exceptions sont documentées, que les accès temporaires expirent, que les sauvegardes sont testées, que les changements sont traçables et que la direction peut expliquer quels risques de production subsistent.

Cette initiative constitue un modèle utile pour les fabricants qui modernisent des usines exploitées depuis longtemps. Commencer par les faits, hiérarchiser selon les conséquences opérationnelles, mettre en œuvre par étapes contrôlées et vérifier que chaque contrôle fonctionne dans les contraintes réelles de production : c’est ainsi qu’une évaluation devient un facteur de résilience plutôt qu’un rapport supplémentaire.