L’ industrie allemande a un problème. Non, cette fois, nous ne parlons pas de pirates ou d’espionnage industriel, l’origine est tout simplement dans la communication.
À l’ère de l’Industrie 4.0, les nouvelles technologies de l’informatique entrent dans les usines. C’est là que deux mondes se rencontrent : la technologie opérationnelle (OT) et la technologie de l’information (TI). Combien de fois dans de telles situations cela provoque-t-il des difficultés de communication. Ce point concerne principalement les différentes priorités et le vocabulaire différent des personnes impliquées. L’informatique est traditionnellement très attachée à la confidentialité et à la protection des données, tandis que OT se concentre sur la disponibilité et la protection des employés et de l’environnement. Mais pourquoi est-il appelé « industrie allemande » dans la première phrase ? Tous les pays ne sont-ils pas identiques ?
La dualité de la
sécurité Dans ce cas, la réponse n’est pas vraiment. Du moins pas les pays anglophones. Les deux termes « sûreté » et « sécurité » représentent deux aspects distincts. La sécurité désigne la sécurité opérationnelle, c’est-à-dire la protection des personnes et de l’environnement contre les dommages physiques, tandis que la sécurité signifie la sécurité de l’information et donc principalement la protection des données. Les exemples suivants sont des actions typiques des deux domaines :
- Sécurité Une mesure de sécurité statique peut être, par exemple, la fixation de couvercles pour empêcher la propagation des éclats pendant les opérations de sciage. Il peut également s’agir d’une utilisation de systèmes de contrôle spéciaux qui surveillent le processus physique et l’interrompent en laissant des seuils définis ou en le mettant en mode sans échec.
- Sécurité La sécurité, d’autre part, utilise d’autres technologies de cryptage et mécanismes d’authentification pour assurer la confidentialité des données ou pour identifier une personne ou une machine et clarifier les autorisations.
En allemand, le mot « sécurité » constitue la base du terme deux fois. Cela entraîne régulièrement des difficultés de communication, puisque les deux parties peuvent interpréter le terme différemment. Cela peut entraîner des pertes de friction dans la communication, ce qui peut nuire à la protection des processus automatisés.
Autres différences entre la sûreté et la sécurité
D’ un point de vue juridique, la garantie de la sécurité est impérative , tandis que la sécurité est un investissement volontaire (encore largement) volontaire influencé par des facteurs économiques. Cela pourrait être dû à la les risques croissants associés à la numérisation changeront également à l’avenir, mais à l’heure actuelle, l’incitation à mettre en œuvre et à documenter la sûreté est tout à fait différente de celle dans le cas de la sécurité.
La sécurité est également très statique. Une fois implémenté, la machine ne change pas chaque semaine, de sorte que ce sujet peut être enregistré en premier. Certes, le vieillissement et l’usure des composants de sécurité peuvent se produire, ce qui peut nuire à leur fonctionnement. Cependant, ce n’est le cas que pour des périodes très longues (10-30 ans).
En revanche, la sécurité est si rapide car, par exemple, lorsqu’une nouvelle vulnérabilité d’un produit apparaît, une menace peut survenir immédiatement. Par conséquent, la sécurité doit être traitée différemment. Dans la CEI 62443, il y a donc la valeur de la « motivation d’attaque ». Cette valeur représente ce changement dynamique et augmente au fil du temps. Le danger augmente en conséquence et déjà rencontré Les mesures peuvent ne plus suffire.
En outre, la sécurité a été un problème depuis beaucoup plus longtemps que la sécurité industrielle. Cela est simplement dû au fait que la sécurité était déjà pertinente il y a 30 ans, mais la sécurité industrielle n’a vraiment gagné en importance que grâce à la mise en réseau numérique. Toutefois, les tendances actuelles indiquent fortement que la sécurité continuera de gagner de plus en plus d’importance à l’avenir.
Variété des normes
Les deux mondes sont également basés sur des normes différentes. Sur le plan de la sécurité, il s’agit principalement des éléments suivants :
- BSI IT Grundschutz
- Série ISO 27000
- CEI 62443
- NIST 800-82
Cependant, la protection informatique de base et la norme ISO 27000 se concentrent principalement sur la sécurité classique de l’entreprise. Bien que la protection informatique de base inclue des extensions spécifiques au secteur, elle n’est pas aussi entièrement conçue dans ce domaine que le IEC 62443.
Les normes suivantes s’appliquent en ce qui concerne la sécurité :
- ISO 61508 — Sécurité fonctionnelle
- EN 2006/42 — Directive Machines
- CEI 61511 — Industrie des procédés
- CEI 62061 — Sécurité dans les machines
- ISO 26262 — Automobile
- ISO 10218-1 et -2 — Sécurité des systèmes robotisés
Quelle norme convient pour laquelle l’application doit être testée individuellement. Ce qui est crucial, c’est que la nécessité de lier les deux mondes a également été reconnue dans les organismes de normalisation. Par exemple, la norme de sécurité ISO 61508 se réfère à la norme de sécurité IEC 62443 pour sécuriser les systèmes de sécurité.
Systèmes de sécurité à la cible des attaquants
Pourquoi une vision globale des deux mondes est devenue inévitable entre-temps peut être vu dans l’incident suivant :
Au cours de l’été 2017, un usine chimique a découvert des logiciels malveillants qui affectaient spécifiquement les systèmes de sécurité. Ceci a été conçu pour remplacer sa fonction. Le logiciel malveillant se caractérise par un très haut degré de spécialisation dans le système de sécurité utilisé. Ce n’est que par hasard que l’attaque a été découverte et qu’il n’y a pas eu d’impact supplémentaire.
En raison du niveau élevé d’expertise technique nécessaire pour écrire le code malveillant, ainsi que du manque de motivation financière derrière l’attaque, les experts supposent des attaquants soutenus par l’État.
Solution : Combinaison de sécurité et de sûreté
Le cas ci-dessus montre que l’impact des attaques numériques augmente en termes d’explosivité et peut également être utilisé comme moyen moderne de sabotage ou même de guerre. Cela rend la coopération étroite des personnes impliquées dans l’informatique d’autant plus importante et OT.
La première étape vers une meilleure compréhension au-delà des frontières ministérielles consiste à établir une communication claire. Pour ce faire, vous devez définir des termes uniques. En allemand, cela pourrait être :
- Sécurité de l’information = Sécurité
- Sécurité opérationnelle = Sécurité
Cependant, les termes anglais peuvent également être utilisés dans les documents et les conversations pour obtenir une affectation claire. Un point crucial devrait être que la « sécurité » peut se trouver dans des contextes différents et qu’une gestion consciente de celle-ci soit maintenue. De cette façon, les deux sujets peuvent être vécues et cultivés de manière durable.
