12 oct. , 14:30–15:20 (America/New_York), Track 1 (206b)
Langue: Français
Il est souvent mentionné que la protection des technologies opérationnelles et des environnements de supervision et de contrôles demande une approche différente à la cybersécurité conventionnelle. On nomme entres autres comme défis particuliers les environnements méconnus ou documentés des équipes TI, la présence de systèmes désuets qui ne peuvent être remplacés, ou encore la présence de nombreux points d’entrées au sein du réseau de contrôle qui sont mal protégés. Dans cette conférence, nous nous attarderons moins à décrire et expliquer ces problèmes, mais nous centrerons plutôt sur les solutions. Inspiré de missions réelles où KPMG a su aider ses clients à adapter leur programme de cybersécurité, nous présenterons un réseau fictif criblé des vulnérabilités le plus souvent identifiées dans des environnements de production, puis expliquerons comment celles-ci ont pu être corrigées ou mitigées de façon efficace et pragmatique.
Les principaux vecteurs de risques qui seront couverts inclus :
- Le manque de visibilité au sein du réseau de contrôle, le manque de compréhension des flux de données entrants/sortants et des communications internes à la zone nécessaires à la production, le manque de compréhension de la valeur réelle des actifs et de leur niveau de criticité aux opérations, la présence de points de connexion entrants et hors-bandes inconnus, etc.
- L’interconnexion des réseaux corporatifs et des réseaux de contrôles, le manque de contrôle des flux entre les deux zones, le partage d’un même système de gestion des identités et des accès, le manque de segmentation au sein de la zone de contrôle, la présence de systèmes à multiples cartes réseaux.
- Le manque de standardisation dans l’accès distant des fournisseurs, des opérateurs et des ingénieurs de procédés. Le manque de force dans l’implémentation de contrôles d’authentification et de gestion des privilèges pour les connexions depuis la zone corporative. Le partage de comptes et la problématique du transfert de fichiers interzones.
- La présence de trafic sensible non-chiffré, la présence de systèmes permettant l’authentification à la fois depuis la zone corporative et la zone de contrôle.
Surcharge du rôle des serveurs de traitements et des automates, manque de validation d’intégrité dans les communications de l’environnement de contrôle, vulnérabilités dans la couche applicative de l’écosystème de contrôle.
Cumulant plus de 10 ans en consultation en infrastructure TI et en cybersécurité, Etienne a participé à la réalisation d’un grand nombre de mandats dans des organisations de toutes tailles et de diverses industries. De la sécurité offensive à la réponse aux incidents, il a cumulé un bagage technique qu’il met aujourd’hui à profit afin d’offrir aux clients de KPMG un accompagnement stratégique et tactique pragmatique dans leurs défis de cybersécurité.