Global Security Mag : Qu’allez-vous présenter à l’occasion des Assises de la Sécurité ?

Fabien Miquet : En guise de rétrospective, retraçons le chemin parcouru par Siemens depuis 2016, au gré des dernières présentations effectuées aux Assises de la Sécurité. Il y a trois ans, nous présentions la certification par l’ANSSI de nos automates et commutateurs industriels, les premiers au monde (S7-1518-4, XM-408). Il y a deux ans, nous annoncions la certification par l’ANSSI de notre gamme complète d’automates programmables industriels SIMATIC S7-1500 ainsi qu’une offre de services pour sécuriser les environnements industriels. En novembre 2017, cette même gamme était officiellement qualifiée par l’ANSSI, encore une première !

Néanmoins, comme nous le rappelions lors de notre atelier de l’an dernier, la cybersécurité n’est pas qu’une question de produits et de solutions techniques éprouvées et approuvées. Nous nous efforcions alors de remettre l’humain, la nécessaire collaboration des modes IT & OT, ainsi que la valeur confiance au centre de l’échiquier cyber. Nous y présentions également l’initiative « Charter of Trust » que notre motivation intacte continue de porter avec nos partenaires. Pour rappel, cette charte basée sur 10 principes de base tend à élever le niveau de sécurité des infrastructures, des produits et solutions de grands groupes signataires de la charte mais que nous souhaitons voir se répandre largement aux plus grands nombres.

Cette année, nous avons fait le pari pour notre atelier 2019 d’être quelque peu « disruptif » pour employer un terme à la mode, en assumant notre statut de pionnier et en adoptant un angle de présentation quelque peu différent, celui du retour d’expérience, mettant en lumière la méthode et les moyens mis en œuvre plus que le résultat.

GS Mag : Quel sera le thème de votre conférence cette année ?

Fabien Miquet : Le titre de notre conférence est le suivant : « Visas de sécurité, l’étape d’après : le maintien en qualification d’une gamme complète de produits par l’exemple ». Il s’agit de faire partager le retour d’expérience Siemens issu du maintien en qualification de notre gamme phare S7-1500 (v2.6), décroché auprès des autorités début mai 2019.

Alors pourquoi ce thème ? Parce que figurer sur le podium des produits qualifiés selon l’ANSSI est déjà en soi un réel challenge, mais y demeurer n’en est pas moins un autre ! En effet, ce niveau d’excellence requis pour une qualification de sécurité implique une validité limitée de 2 à 3 ans. Être le premier qualifié, c’est aussi être le premier à remettre son titre en jeu en quelques sortes…

Nous détaillerons la méthode et les moyens mis en œuvre pour y arriver, qui nous permettent aujourd’hui d’afficher ce nouveau succès, gagné au sein du groupe Siemens mais aussi et surtout pour et au service de nos clients : nous détenons à ce jour la seule gamme à avoir obtenu la reconnaissance auprès de l’ANSSI d’un tel niveau de confiance en nos processus de développement et de production.

GS Mag : Quelles sont les principales menaces que vous avez pu identifier en 2019 ?

Fabien Miquet : Les principales menaces sont relativement bien identifiées, elles n’ont pas forcément eu beaucoup besoin d’évoluer dans le temps ces derniers mois : ransomwares (avec arrêt potentiel de l’appareil de production), attaques sur la supply chain (l’attaquant, cherchant l’efficacité maximum, cède souvent à la facilité en s’attaquant au maillon potentiellement le plus faible de la chaîne globale), exploitation des failles habituelles de systèmes industriels trop souvent encore « insécure by design » (ne respectant pas le principe de défense en profondeur ni même d’hygiène sécurité de base, non mis à jour…). Bien évidemment, l’humain reste encore et toujours un vecteur d’attaque privilégié (ingénierie sociale facilitée par un manque de sensibilisation et formation des collaborateurs, notamment à l’usage des réseaux sociaux, utilisation négligente de clés USB…).

Nous sommes aujourd’hui dans l’aire de la transformation digitale et de l’industrie 4.0, réalité nécessaire tant la valorisation des données de production pour ne citer qu’elle représente une avancée formidable pour nos clients. Néanmoins, cette digitalisation, synonyme de toujours plus d’interconnexions, s’accompagne fatalement d’une augmentation de la surface d’attaque et les « bonnes vieilles recettes » ont encore de beaux jours devant elles...

GS Mag : Quid des besoins des entreprises ?

Fabien Miquet : Compte-tenu de ce que nous venons de dire précédemment, les entreprises ont besoin aujourd’hui d’un double accompagnement : dans leur transformation digitale d’une part, afin de ne pas rater cette magnifique opportunité génératrice d’avantages concurrentiels certains, d’économies et d’optimisation et de la gestion de la production. Mais aussi un accompagnement d’un point de vue cybersécuritédans la réalisation de cette transformation digitale d’autre part. On ne peut attendre de l’humain (on en revient toujours à lui), qu’il accepte cette transformation digitale si les données et les infrastructures ne sont pas sécurisées au juste niveau. Ce pourquoi chez Siemens, nous avons pris le parti d’adresser les deux sujets, digitalisation et cybersécurité, de manière indissociable.

GS Mag : De quelle manière votre stratégie est-elle amenée à évoluer pour adresser ces enjeux ?

Fabien Miquet : Plus qu’une évolution, disons que nous continuons à dérouler notre stratégie. Inlassablement, le groupe Siemens a toujours été guidé par le besoin de ses clients. En matière de cybersécurité, cela pourrait se résumer par « sécuriser son business et celui de ses clients » et pour ce faire renforcer de manière continue les trois piliers sur lesquels repose une démarche cyber cohérente : l’humain (encore lui), les produits et solutions, et les process.
Pour ne citer que l’exemple des produits, nous ne nous sommes jamais freinés dans notre progression. Le maintien en qualification que nous citions précédemment est une nouvelle étape qui vient consacrer une fois de plus le groupe Siemens et sa politique de durcissement de ses produits, entamée 9 ans auparavant. Nous commencions alors déjà cette (r)évolution.

GS Mag : La sécurité et la privacy « by design » sont devenues incontournables aujourd’hui. De quelle manière intégrez-vous ces principes au sein de votre entreprise et de votre offre ?

Fabien Miquet : Siemens continue à investir énormément en matière de R&D afin de pouvoir proposer des équipements sécurisés « by design », la cybersécurité se doit de figurer au premier plan des roadmaps produits. Cela passe aussi par le fait d’éprouver nos process de développement et de production dont les certifications ont évolué avec le temps partant d’Achilles (Wurldtech), en passant par la certification IEC 62443-4-1 d’une vingtaine de nos sites de développement et de production dans le monde, jusqu’à la Qualification ANSSI. Enfin, encore et toujours le facteur humain : sensibiliser, former, éduquer…

GS Mag : Quels sont vos conseils en la matière, et plus globalement pour limiter les risques ?

Fabien Miquet : Plutôt que de se lancer dans une liste à la Prévert, je ne me permettrais d’en donner qu’un seul. On parle trop souvent de limitation ou de mitigation de risques, alors même que ceux-ci n’ont pas été clairement identifiés, rationnalisés et évalués.
En d’autres termes, comment peut-on prendre des mesures (solutions) aussi pertinentes soient-elles si aucune analyse de risques (besoins, objectifs de sécurité) n’a été menée ? Toute démarche cybersécurité devrait commencer par cette question : « Qu’est ce que, tout bien considéré, je décide de protéger et contre quoi ? ». Ne pas oublier non plus qu’une analyse de risques n’est jamais gravée dans le marbre, elle doit vivre et évoluée au grès des changements de contexte (évolution de la menace, des besoins, migration majeure au sein du système…).
La cybersécurité, c’est avant tout une question de bon sens, et si cela n’apparaît pas si évident que cela – il est vrai que comme tout domaine d’experts, la discipline a son jargon et ses subtilités – faites-vous accompagner. En effet, il est illusoire de croire que l’on peut avancer seul en matière de cybersécurité, un écosystème de confiance est essentiel.

GS Mag : Enfin, quel message souhaitez-vous faire passer aux RSSI ?

Fabien Miquet : Ce message pourrait aussi bien s’adresser aux RSSI, qu’aux directeurs Sûreté, qu’aux automaticiens, qu’aux décideurs : continuez à aller de l’avant comme vous le faites, et ne vous arrêtez surtout pas à la frontière.

Car le centre de gravité de la cybersécurité industrielle au juste besoin est là : quelque part à l’intersection des mondes de votre entreprise, équilibre plus ou moins stable à trouver entre vos réseaux IT, ceux de l’OT, les contraintes opérationnelles de vos collaborateurs et de vos clients, celles de la sécurité fonctionnelle et bien évidemment des considérations financières.

Pour tout renseignement complémentaire :

Contact principal
Fabien Miquet
Product & Solution Security Officer
Siemens Digital Industries
E-mail : fabien.miquet@siemens.com