Bien que les entreprises du secteur des biosciences soient devenues encore plus importantes pour nous pendant la pandémie, elles ont toujours eu à faire face à des défis de taille dans le domaine de la cybersécurité. Exploités dans un environnement hautement validé fonctionnant généralement 24h/hx7j/7, ces systèmes de fabrication ne suivent pas les chronologies de cycle de vie classiques et ils ne peuvent généralement pas faire l’objet de mises à jour de sécurité en temps voulu.
De plus, de nombreuses entreprises pharmaceutiques et de biofabrication subissent d’intenses pressions pour réduire leurs coûts, s’adapter aux demandes du marché et accroître la qualité sur l’ensemble de leurs produits. Cette pression aboutit à une adoption accélérée des technologies numériques, à des systèmes plus interconnectés et à des processus de fabrication hautement automatisés pour satisfaire aux exigences commerciales autour de l’agilité des capacités de fabrication et d’une plus grande conformité sur le plan de l’intégrité des données. Mais, ces initiatives de transformation numérique ajoutent de la complexité à l’équation régissant les risques pour la sécurité puisqu’elles augmentent la surface d’attaque et permettent aux acteurs malveillants de cibler des systèmes stratégiques, dont bon nombre sont des systèmes existants exécutés sur des systèmes d’exploitation obsolètes.
Malheureusement, l’univers des menaces étant en constante évolution, de nombreuses entreprises de fabrication relevant du secteur des biosciences ont fait l’objet de cyberattaques, notamment par des rançongiciels. Ces incidents peuvent avoir de graves conséquences et des impacts majeurs sur l’entreprise.
Fin 2020, Favera, un fabricant pharmaceutique dont le siège est au Luxembourg, a annoncé qu’il avait été victime d’une cyberattaque ayant entraîné la mise à l’arrêt de ses opérations. Bien qu’on ne sache pas combien de temps a mis l’entreprise pour rétablir les opérations normales, cet incident a eu un effet néfaste sur sa fabrication et sur la livraison auprès des consommateurs.
Et n’oublions pas l’attaque NotPetya sur Merck en 2017, dont on a rapporté qu’elle a coûté 1,4 milliard de dollars US de pertes pour Merck.
Quel est l’enjeu
Les arrêts suite à une cyberattaque peuvent être coûteux et générer du temps improductif. Mais, l’impact n’est pas seulement sur les finances ou la propriété intellectuelle, il peut aussi porter sur la collectivité. Des billions de produits, notamment des médicaments et des vaccins, sont livrés aux hôpitaux et sur le marché mondial pour venir en aide aux êtres bien-aimés – mamans, papas, garçons, filles, etc. Lorsque vous réfléchissez à la vaste consommation de ces produits, vous constatez que nos vies de tous les jours dépendent de la mission assurée par les entreprises de biosciences pour livrer des produits de qualité avec fiabilité.
Ces opérations de fabrication sont indispensables à notre économie. Malheureusement, de nombreux acteurs malveillants sont animés de motifs divers pour exécuter leurs attaques – gains financiers, espionnage ou avantages concurrentiels – parce qu’ils ont conscience des enjeux et savent pertinemment que de nombreuses usines de fabrication en biosciences sont à la merci de menaces sophistiquées, et de tactiques et techniques modernes.
Mesures d’atténuation des risques
Fort heureusement, il existe plusieurs mesures qui peuvent être prises pour atténuer le risque de cyberattaques et renforcer votre posture générale en matière de cybersécurité. Les paragraphes qui suivent détaillent quelques domaines d’action recommandés, sur la base d’expositions récurrentes observées dans les évaluations de la cybersécurité dans les biosciences. En parcourant les questions ci-dessous, réfléchissez aux pratiques actuelles de votre entreprise et à votre degré de maturité dans votre cheminement vers la cybersécurité.
- Comment faites-vous collaborer les intervenants IT et OT ? – Vous devez partager les connaissances et les expériences des deux domaines afin d’évaluer et d’atténuer les risques. Référez-vous à un cadre de cybersécurité tel que celui du NIST afin d’identifier les lacunes dans votre posture en matière de sécurité IT/OT, en faisant appel à une équipe pluridisciplinaire (personnel informatique, experts métier en sécurité, automaticiens et partenaires tiers de confiance). Utilisez ce cadre pour élaborer ou mettre à jour une stratégie unifiée qui tient compte de la convergence des environnements IT et OT.
- Comment prioriser vos lacunes en matière de sécurité ? – Vous devez prendre des décisions efficaces sur la réduction des risques afin d’obtenir le meilleur retour sur investissement en termes d’élimination des risques. Adoptez une approche basée sur les risques pour prioriser les lacunes existantes et élaborer une feuille de route stratégique destinée à combler celles-ci en fonction des niveaux de criticité ou de la tolérance aux risques des propriétaires d’actif. Les vulnérabilités ICS ne partagent pas toutes le même niveau de risque ; alignez-vous sur le risque.
- Comment protégez-vous votre environnement immédiat ? – Vous devez avoir une architecture défendable, propre à votre environnement OT/ICS. De nombreuses attaques focalisées sur le secteur OT démarrent souvent dans l’environnement IT puis migrent vers l’environnement OT. Mettez en œuvre une architecture de cybersécurité moderne qui inclut les pratiques suivantes :
- Zone démilitarisée industrielle-FW/Structuration de réseau IT-OT et micro-segmentation pour la protection du périmètre OT et des actifs vulnérables à haute valeur au sein de l’environnement OT – voir cet exemple de la CISA.
- Gestion des identités et des accès afin de renforcer les stratégies de contrôle d’accès et par mot de passe
- Authentification multifactorielle pour renforcer la sécurité des connexions d’accès à distance
- Protection des terminaux pour renforcer l’intégrité et la sécurité des données
- Contrôles de sécurité USB afin de renforcer les stratégies portant sur les supports amovibles
Ces pratiques vous permettent de tirer parti d’une stratégie de défense en couches qui interdit l’accès aux utilisateurs non autorisés.
- Comment maintenez-vous une sensibilisation situationnelle ? – Vous ne pouvez pas répondre efficacement aux menaces si vous ne connaissez pas l’état de votre environnement OT/ICS. Veillez à déployer une surveillance continuelle des menaces afin de détecter toute anomalie ou activité suspecte dans votre réseau OT. Maintenez l’inventaire des actifs à jour et fixez une référence qui sert d’alerte à votre équipe de sécurité lorsque des appareils ou utilisateurs non autorisés accèdent au réseau.
- Comment vous préparez-vous à la gestion des réponses aux incidents ? – Votre capacité à répondre énergiquement à des incidents de sécurité est conditionnée par l’état de préparation de votre entreprise. Établissez un plan de continuité opérationnelle axé sur la résilience opérationnelle et réalisez des exercices de simulation pour éprouver ces guides de réponse aux incidents avant le « jour J ». Jeu de rôle impliquant des questions situationnelles telles que :
- L’usine peut-elle être isolée et être exploitée dans un état d’autonomie ? Si tel est le cas, combien de temps ?
- Le personnel de l’usine connaît-il les lignes de production à faire fonctionner ou sur lesquelles se concentrer pendant un état d’isolement ?
- Quelles sont les parties prenantes principales obligatoires et autorisées à prendre des décisions avisées au bon moment pendant une faille ou un incident de sécurité ?
- Quelles sont les ressources OT/ICS spécialisées prévues par un programme à honoraires anticipés pour les investigations dans les réponses aux incidents et les activités de correction ?
- En cas d’effacement total, combien de temps cela prend-il pour reprendre les activités normales après une attaque plutôt que de céder au versement d’une rançon potentielle ? Il faut être entraîné, alors préparez-vous.
- Comment sensibiliser à ces questions ? – Votre plus grande menace, involontairement dans de nombreux cas, provient de votre propre entreprise. Tenez régulièrement des séances de formation et de sensibilisation à la cybersécurité pour le personnel, incluant des activités de bonne gestion des mots de passe et des exercices de simulation d’hameçonnage par courriel.
Rockwell Automation aide à sécuriser les opérations relevant des biosciences
Rockwell Automation possède des solutions de cybersécurité éprouvées dans le secteur des biosciences et une grande expertise en automatisation. Qui plus est, nous avons des capacités logistiques inégalées lorsqu’il s’agit de mettre en œuvre des solutions de cybersécurité de manière cohérente dans des environnements OT multisites dans le monde entier.
Parmi les entreprises du secteur des biosciences figurant dans la liste Fortune 500, 95 % d’entre elles font confiance à Rockwell Automation pour améliorer la qualité des produits, réduire les pertes et les risques, et optimiser les opérations de production.
Par exemple, nous nous sommes associés à une entreprise pharmaceutique mondiale pour améliorer sa cybersécurité et soutenir ainsi sa croissance rapide. Livrant des services complets sur des sites du monde entier, nous avons mis sur pied un plan standard d’infrastructure réseau et IDMZ pour assister la mise en œuvre par phases de la capacité de production.
Une autre entreprise pharmaceutique mondiale avait besoin de réduire le risque opérationnel quantifiable par la mise en place d’une cyberstratégie OT complète, rapide et évolutive. Pour cette entreprise, nous avons assuré les prestations suivantes :
- Mise en œuvre d’une segmentation de réseau sur 64 sites répartis sur l’ensemble de l’entreprise
- Déploiement de services de détection des menaces pour obtenir un inventaire quotidien des actifs réseau du parc
- Développement d’une stratégie de sécurité des terminaux pour une gestion centralisée et sécurisée des supports portables dans l’environnement OT via l’application d’une « liste d’autorisations » et d’un nettoyage USB
Prendre des mesures pour réduire le risque
En savoir plus sur la manière dont Rockwell Automation peut apporter des solutions et services de cybersécurité dans le domaine des biosciences afin de réduire le risque pour votre entreprise et ses clients.
- Évaluez votre état de préparation en matière de cybersécurité avec notre boîte à outils et comparez-vous au niveau de préparation de plus de 100 entreprises industrielles.
- Téléchargez un exemple du modèle de plan de cybersécurité.
