Le cyber-risque lié aux systèmes de gestion opérationnelle (OT) menace bientôt un navire près de chez vous

Le risque cyber a généralement été associé aux systèmes informatiques, mais il faut changer cette perception sans tarder. Alors que la sophistication des cyberattaques ne cesse de croître, il est non seulement nécessaire de mettre en place des solutions résilientes, mais aussi d'élargir le champ d'application des mesures de protection. 

Pourquoi les cyberrisques liés aux technologies opérationnelles (OT) augmentent-ils ? 

Les cybermenaces maritimes se multiplient à mesure que de plus en plus de navires sont connectés à Internet et que leurs opérations se numérisent. Une convergence des systèmes informatiques et opérationnels (OT) est en cours, les équipementiers équipant leurs systèmes de capteurs pour la collecte de données, ce qui crée davantage de points d'entrée pour les cybermenaces. 

Les exploitants de navires utilisent un éventail croissant d'outils pour la collecte de données, la maintenance à distance et les jumeaux numériques tout au long du cycle de vie, ce qui augmente les vecteurs de menace potentiels pour les attaquants. 

Les pirates informatiques s'attaquent de plus en plus à des cibles maritimes, que ce soit à des fins commerciales ou malveillantes. En exploitant les vulnérabilités IT/OT, par exemple en ciblant des systèmes obsolètes à l'aide de techniques de phishing et d'ingénierie sociale, les cybercriminels tentent d'accéder aux systèmes des navires et, une fois dans le réseau, peuvent compromettre les systèmes OT. 

Les conséquences peuvent avoir des répercussions sur la sécurité des personnes, l'environnement et l'exploitation des navires. 

Quels sont les risques pour les équipements OT ? 

Les risques pour les équipements OT, tels que le moteur, les systèmes électriques ou l'électronique de la passerelle, vont de la perte de contrôle des systèmes de navigation à l'avant et à l'arrière de la passerelle à la compromission des données de navigation et autres données de sécurité. La perte de contrôle de la navigation ou l'impact sur la cargaison, ainsi que le brouillage ou l'usurpation du GPS, sont autant de problèmes concrets.

Les systèmes OT embarqués provenant de plusieurs fabricants d'équipements constituent des cibles de choix pour les cyberattaques. Le piratage des fonctions critiques des systèmes du navire, telles que la manutention de la cargaison, la propulsion et la direction, l'alimentation auxiliaire, les émissions et le contrôle de la pollution, peut entraîner une perte de contrôle et, à terme, une défaillance des opérations du navire. 

Comment puis-je me protéger contre ce risque ? 

Les armateurs et les exploitants de navires disposent de plusieurs leviers pour atténuer les risques et se protéger contre les cybermenaces. Ils sont également soumis à une pression croissante pour se conformer à la réglementation et aux certifications, en particulier aux Exigences unifiées élaborées par l'Association internationale des sociétés de classification (IACS). 

À l'instar des autres équipements à bord des navires, les systèmes électroniques de la passerelle et les systèmes de passerelle intégrés modernes d'aujourd'hui doivent être conformes aux Exigences unifiées (UR) E26 et E27 de l'IACS. 

Alors que l'UR E26 exige des chantiers navals qu'ils démontrent que les navires qu'ils construisent sont cyber-résilients en respectant un ensemble minimal d'exigences en matière de cybersécurité, l'UR E27 se concentre sur la cyber-résilience des systèmes et équipements individuels à bord. 

Si l'accent a été mis sur la conformité dans le secteur maritime, les opérateurs du marché de l'énergie doivent noter que l'UR E26 s'applique également aux plateformes offshore.

Comment savoir si mon équipement OT est sûr et conforme ? 

Les UR de l'IACS ne s'appliquent actuellement qu'aux navires neufs, mais l'IACS et l'OMI s'attendent à ce que les mêmes normes s'appliquent bientôt aux navires existants réglementés par la convention SOLAS. 

Pour les navires neufs, les parties prenantes devront collaborer avec leur partenaire technologique et la société de classification afin de démontrer que le navire a été construit et est exploité conformément aux exigences de l'UR lors d'un audit par une société de classification. 

La réalisation d'audits réguliers, de tests de pénétration ou d'évaluations par des tiers sont autant de leviers permettant aux exploitants de maintenir une posture sécurisée et conforme pour les équipements OT. 

La conformité suffit-elle à garantir la sécurité ? 

La conformité aux UR ou à d'autres réglementations ne protège pas en soi les actifs ou la flotte. La conformité constitue une base minimale, mais une approche proactive et continue de la cybersécurité est nécessaire. Les armateurs et les exploitants doivent collaborer avec leurs partenaires technologiques pour s'assurer qu'ils disposent d'un niveau de cybersécurité approprié. 

Cela inclut, entre autres, la protection au niveau du réseau, des appareils et du personnel, et peut s'étendre à l'utilisation de services de détection proactive qui évaluent l'efficacité des mesures de protection mises en place.

Il existe des solutions permettant de détecter les cybermenaces visant les équipements OT, associées à une séparation des réseaux IT/OT et à des mesures de sécurité et de contrôle à plusieurs niveaux. 

En conclusion, alors que les risques cybernétiques liés aux systèmes OT continuent de croître dans le secteur maritime, il est essentiel d'adopter des mesures de sécurité complètes et d'opérer en conformité avec les règles IACS E26 et E27. 

En comprenant les risques, en mettant en œuvre des protections robustes et en restant vigilants, les armateurs et les exploitants peuvent contribuer à protéger l'exploitation de leurs navires contre les cybermenaces et à améliorer la sécurité de leurs équipages et de l'environnement. 

Vous souhaitez vous assurer que les systèmes OT à bord de vos navires sont conformes et protégés ? Contactez dès aujourd'hui votre bureau Marlink local pour discuter de la manière dont nous pouvons vous aider.