La convergence IT/OT est à l'origine de 38 % des stratégies de sécurité zero trust des entreprises selon une dernière étude d'EMA. (crédit ; usertmk/Freepik)
Avec l'intégration des systèmes OT à la sécurité de l'IT, le nombre d'équipements nécessitant une connectivité réseau augmente et une segmentation plus importante devient nécessaire pour isoler ces terminaux. Les architectures zero trust peuvent contribuer à atténuer la complexité de cette gestion.
La sécurité répondant aux principes du zero trust est essentielle pour les entreprises qui font converger les technologies opérationnelles (OT) avec l'infrastructure IT. Une étude d'Enterprise Management Associates (EMA) montre comment cette convergence impacte la stratégie et la mise en oeuvre de la sécurité orientée zero trust. Historiquement, les entreprises ont protéger les systèmes OT, lesquels comprennent les contrôles de sécurité physique, les systèmes de chauffage, ventilation et climatisation (CVC), les systèmes de contrôle industriel comme l'équipement d'automatisation des usines et les scanners médicaux, en les isolant physiquement des réseaux IT. Cette méthode protège les systèmes OT contre les menaces, mais elle empêche également les entreprises de renforcer l'automatisation et l'efficacité de leurs opérations métiers.
Les raisons de la convergence IT/OT
Les entreprises veulent que l'accès des utilisateurs finaux et des applications professionnelles aux systèmes OT et l'interaction avec ces systèmes soient flexibles. Par exemple, dans un hôpital, l'équipement d'imagerie médicale exige qu'un médecin interagisse physiquement avec l'équipement pour accéder au dossier de son patient. Sans la convergence IT/OT, ces médecins ne pourraient pas y accéder depuis n'importe où. Ensuite, les entreprises souhaitent pouvoir extraire des données des systèmes OT, ce qui est impossible sans connectivité réseau. Par exemple, les fabricants peuvent collecter des données en temps réel de leurs chaînes de montage afin d'identifier avec des applications analytiques spécialisées des points d'améliorations possibles et prédire les perturbations de la production. Si la convergence des deux systèmes peut stimuler l'innovation, elle expose ceux de l'OT aux menaces qui prolifèrent dans le monde numérique. Les entreprises ont souvent besoin d'autres solutions de sécurité pour protéger les systèmes IT.
Le dernier rapport (payant) d'EMA, intitulé « Zero Trust Networking : How Network Teams Support Cybersecurity », révèle que la convergence IT/OT est à l'origine de 38 % des stratégies de sécurité zero trust des entreprises. Cette approche consiste à appliquer des politiques et des contrôles granulaires d'authentification, d'autorisation et de segmentation pour garantir un accès aux réseaux avec le moins de privilèges possible. Cette stratégie implique fréquemment une vérification continue de l'accès autorisé en analysant le comportement et en demandant aux systèmes et aux utilisateurs de s'authentifier à nouveau. Le zero trust est particulièrement utile pour la convergence OT, car elle permet d'authentifier l'accès sur la base de facteurs autres que l'identité de l'utilisateur et d'appliquer une segmentation granulaire du réseau pour restreindre les modes de communications que les dispositifs OT peuvent avoir sur un réseau IT.
Principes stratégiques du zero trust pour l'OT
Basée sur une enquête menée auprès de 270 professionnels de l'IT, l'étude fait ressortir que la convergence IT/OT est corrélée à une approche différente de ce modèle de sécurité. Par exemple, en général, les deux principes directeurs majeurs des initiatives zero trust sont la prévention des accès non autorisés et la prévention de l'impact négatif du zero trust sur les performances du réseau et l'expérience de l'utilisateur. Avec cette stratégie axée sur l'OT, les entreprises sont moins préoccupées par l'impact sur les performances du réseau. Elles privilégient plutôt la simplicité de gestion. La convergence IT/OT ajoute à la complexité du réseau en augmentant le nombre de terminaux à connecter et le niveau de segmentation nécessaire pour les isoler. Les architectures zero trust conçues pour simplifier la gestion peuvent atténuer ces problèmes.
Exigences de l'OT en contexte zero trust
La convergence IT/OT pousse les entreprises à fixer des priorités différentes pour répondre aux exigences des solutions zero trust. Au moment de la modernisation des solutions d'accès à distance sécurisé selon cette architecture, les entreprises axées sur les technologies OT ont surtout besoin de capacités de gestion de politiques granulaires. En effet, ces entreprises disposent souvent d'une solution d'accès à distance sécurisé qui peut bloquer l'accès au réseau en cas de comportement anormal ou de changement d'état d'un équipement Par contre, lors de la mise en oeuvre d'une segmentation réseau zero trust, les entreprises axées sur les technologies OT recherchent surtout une solution avec des contrôles de segmentation dynamiques et qui s'adapte facilement. Ces sociétés ont aussi davantage besoin d'un outil d'observabilité du réseau capable de prendre en charge le zero trust. En règle générale, elles veulent un outil d'observabilité qui facilite la conception de politiques d'accès.
Les défis de l'OT à l'ère du zero trust
Les personnes interrogées ont identifié les différents défis à relever dans le cadre de leurs projets zero trust. L'enquête a montré que les projets axés sur l'OT présentaient quelques problèmes particuliers. Tout d'abord, elle fait ressortir que ces entreprises risquent d'avoir plus de difficultés à adapter les technologies d'accès à distance sécurisées existantes, comme les VPN, aux exigences du zero trust. De plus, les sociétés ont plus de chance d'être confrontées à un manque généralisé de produits zero trust efficaces sur le marché. Apparemment, la plupart des fournisseurs de ce type de solutions se concentrent sur les cas d'usage traditionnels de l'IT, plutôt que sur l'OT. Il y a aussi de fortes chances que les sondés soulignent que leurs outils d'observabilité du réseau ne parviennent pas à supporter le zero trust, ce qui sous-entend qu'elles ont besoin d'autres outils de surveillance capables d'étendre leur visibilité aux systèmes OT.
Suivez-nous