Comment une compagnie des eaux nord-américaine a renforcé sa cyber-résilience grâce à OPSWAT

L'un des plus grands défis de l'entreprise était la vétusté de ses systèmes. Les systèmes OT hérités dont les vulnérabilités n'étaient pas corrigées créaient d'importantes failles de sécurité que des acteurs malveillants pouvaient exploiter. Ces vulnérabilités ne posaient pas seulement des risques d'indisponibilité des systèmes, mais pouvaient également entraîner des dommages physiques dans les systèmes critiques. L'entreprise a reconnu que la mise en œuvre d'une segmentation du réseau et de contrôles d'accès robustes était essentielle pour atténuer ces risques tout en assurant la continuité des opérations.

Les menaces d'initiés constituent un autre risque important en raison de mauvaises configurations accidentelles, d'une mauvaise utilisation ou de modifications intentionnelles des systèmes. Les employés et les sous-traitants ayant accès aux environnements OT peuvent involontairement perturber les opérations ou, dans de rares cas, modifier malicieusement des systèmes critiques.

En même temps, un accès sécurisé doit être mis en place pour le personnel interne et les fournisseurs tiers externes. Les accès non autorisés - qu'il s'agisse d'identifiants compromis, de privilèges d'administration excessifs ou de sessions à distance non gérées - peuvent rendre l'infrastructure critique vulnérable.

Notre évaluation sur place a révélé de graves lacunes dans la documentation relative à l'équipement installé sur le terrain, ce qui présente des risques importants en matière de conformité. L'un des principaux problèmes était l'absence d'inventaire et de classification précis des actifs, de nombreuses organisations s'appuyant encore sur des méthodes d'enregistrement manuelles et obsolètes. Sans système structuré de gestion des actifs, il devient difficile de suivre les appareils, d'évaluer les cyber-risques et d'appliquer les contrôles de sécurité, ce qui compromet la conformité aux normes NERC CIP, IEC 62443 et NIST 800-82.

Au-delà de la gestion des actifs, les évaluations des cyberrisques, les politiques de contrôle d'accès et les plans de réponse aux incidents étaient soit incomplets, soit inexistants. En raison de ces lacunes, les équipes de sécurité ne disposaient pas de lignes directrices claires pour gérer les menaces, restreindre les accès non autorisés ou répondre aux incidents de sécurité d'une manière normalisée et conforme.

Pour aggraver ces difficultés, les imprécisions des diagrammes de réseau tels qu'ils ont été construits ont entravé la capacité de cartographier la topologie actuelle du réseau et de valider les configurations de sécurité, ce qui a augmenté le risque de mauvaises configurations et de lacunes en matière de sécurité.

Lorsque notre client a connu une série de cyberincidents visant ses systèmes SCADA, son RSSI a compris qu'il devait adopter une approche plus solide pour sécuriser son infrastructure hydraulique.

Bien que la cybersécurité ait été la première motivation, la compagnie a découvert d'autres avantages opérationnels. La visibilité complète de leurs systèmes de contrôle a permis d'identifier les inefficacités dans leurs opérations de pompage, ce qui a conduit à des économies d'énergie d'environ 14 % sur l'ensemble de leur réseau de distribution.

Alors que les réglementations fédérales et nationales en matière de sécurité de l'eau continuent d'évoluer, l'implémentation de MetaDefender a permis à la compagnie des eaux du comté de se mettre en conformité avec la réglementation avec un minimum d'efforts supplémentaires.