La stratégie de sauvegarde des systèmes d’information industriels (OT) peut-elle se résumer à appliquer les recommandations de l’ANSSI dans son guide « Sauvegarde des systèmes d’information » ? C’est sans compter sur les spécificités de ces environnements contraints. Un enjeu grandissant pour davantage de secteurs avec l’arrivée de NIS 2, qui insiste bien sur la nécessaire continuité d’activité.
3-2-1, la formule de base pour les sauvegardes
En matière de sauvegarde, il est courant d’entendre parler de la règle du « 3-2-1 ». Cette formule simple permet de mémoriser le principe selon lequel toute donnée devrait faire l’objet de trois copies, sur deux supports différents et à un emplacement physique distinct du site qu’elle concerne. Ainsi, il existe toujours une solution en cas de perte, de corruption, de défaillance ou de destruction d’une des copies. Sous réserve que ces sauvegardes aient bien été testées pour une restauration efficace.
À l’échelle d’une entreprise ou d’une organisation, les stratégies de sauvegarde informatique se fondent sur deux notions clés que sont la perte de données maximale admissible (PDMA) et la durée maximale d’interruption admissible (DMIA). Elles permettent de déterminer quelles sont les informations essentielles pour assurer la disponibilité des systèmes, ainsi que leur fréquence de mise à jour et les modalités de leur restauration.
Le concept de perte de données maximale admissible (PDMA) invite à repenser la vision absolue que nous tendons à avoir de la sauvegarde : sortir du « tout ou rien » ouvre la voie à des stratégies de sauvegarde et de restauration plus pragmatiques, fondées sur le besoin réel.
Les bonnes pratiques de sauvegarde informatique sont-elles adaptées à l’OT ?
Il faut bien reconnaitre que le « 3-2-1 » n’est pas la norme dans les systèmes d’information industriels.
De plus, certaines spécificités de ces environnements doivent être prises en compte pour une stratégie de sauvegarde réellement efficace. Voici cinq points de vigilance sur le sujet :
- Cartographie incomplète des systèmes industriels : Dans l’OT, certains éléments cachés (shadow OT) échappent parfois à la sauvegarde. Il est également primordial de ne pas oublier la sauvegarde de la configuration des composants réseau (switch, etc.).
- DMIA inconnue : Il est important de définir précisément la DMIA pour l’ensemble des applications et données métier des SI industriels. Ce besoin doit être évalué de manière réaliste pour orienter la stratégie de sauvegarde.
- Procédure de sauvegarde et de restauration en mode dégradé : Lors d’une attaque, les usines sont souvent isolées de sorte à conserver une production en mode dégradé. Cela signifie que le SI industriel est alors déconnecté du SIE (Système d’information de l’Entreprise) … et parfois privé d’accès à la procédure de sauvegarde et restauration !
- Absence de réseau d’administration ou de VLAN : Sauf exception, il n’y a pas de réseau d’administration ni de VLAN dédié dans les SI industriels. Or c’est par eux que l’ANSSI incite à faire transiter les flux de sauvegarde. Étant donné que la mise en place des mesures d’une feuille de route cyber en environnement industriel est longue (3-7 ans) et fastidieuse, il est recommandé de ne pas l’attendre pour instaurer un système de sauvegarde et de restauration opérationnel. Celui-ci permettra de redémarrer rapidement les SI industriels et de limiter les impacts d’une cyberattaque pendant cette phase critique.
- Réticence aux tests de restauration : Quand des sauvegardes OT existent, les industriels sont généralement réticents à en tester la restauration, car le processus a généralement un impact sur la production et il y a rarement d’environnements de préproduction. Autre point, dans le cas d’une usine qui sauvegarderait tout via une solution centralisée, comment être sûr que les réseaux industriels sauront faire face au volume de données à restaurer ? Le processus pourrait s’étaler sur des jours, un délai rarement compatible avec les contraintes industrielles.
De la défaillance au cyber-risque : une AMDEC qui protège l’essentiel
L’ajout d’un volet cyber dans les AMDEC (Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité), citées notamment dans le guide de l’ANSSI, permet de prioriser les sauvegardes en identifiant et classant les risques selon leur criticité, pour concentrer les ressources sur les éléments les plus vitaux à sauvegarder
L’intégration d’un volet cyber dans les AMDEC améliore significativement la stratégie de sauvegarde en milieu industriel. En identifiant et classant les risques selon leur criticité cyber, cette méthode permet de prioriser les sauvegardes sur les systèmes et données essentiels à la continuité des opérations. Ainsi, les ressources sont allouées de manière efficace, garantissant que les informations et équipements vitaux soient protégés en priorité contre toute forme de défaillance ou d’attaque malveillante. Cette démarche proactive réduit le risque de perte irréversible et facilite un rétablissement rapide, renforçant la pérennité et la sécurité des infrastructures industrielles.
Comment sauvegarder les SI industriels ?
Il est essentiel de s’assurer que l’infrastructure de sauvegarde et de restauration est compatible avec la DMIA, cela passe souvent par des solutions hybrides avec stockage local pour les données critiques, et tests réguliers sur environnements dédiés.
De manière générale, la question principale de toute stratégie de sauvegarde est la suivante : puis-je restaurer les systèmes d’information industriels de manière acceptable ?
Un défi particulièrement corsé pour les systèmes très critiques qui ne peuvent pas être mis en réseau (et donc privés de sauvegarde centralisée), mais pas impossible : des solutions peuvent être élaborées avec de petits serveurs locaux type NAS. Attention toutefois aux supports amovibles type disques dur ou clés USB qui peuvent aussi devenir des vecteurs d’intrusion de malware.
Pour aller plus loin, nous avons listé certains éléments indispensables pour élaborer une réponse adaptée à votre environnement industriel :
- Connaitre sa PDMA et sa DMIA : Vous devrez, dans un premier temps, identifier parmi vos processus industriels lesquels nécessitent impérativement la restauration d’un historique peuvent s’en passer. Dans le cas d’une entreprise de logistique, par exemple, une perte de données de quelques minutes signifie devoir refaire un inventaire complet là où un automate sur une ligne de production continue n’aura besoin que de sa configuration pour reprendre ses cycles. a date de dernière sauvegarde devra donc être compatible avec le type de processus industriel et la stratégie de sauvegarde, alignée sur la DMIA.
- Prévoir une architecture de sauvegarde compatible avec le modèle PURDUE : Dans le cas des environnements industriels, il est important de s’assurer du positionnement des serveurs de sauvegarde afin d’éviter les flux entrants en provenance des SI bureautique. Pour garantir un meilleur niveau de cybersécurité, l’architecture du système de sauvegarde doit intégrer le concept de DMZ industrielle.
- Sauvegarder les bases de données : La sauvegarde des bases de données doit être récente et cohérente afin de permettre une restauration opérationnelle.
- Sauvegarder les évolutions de programme : Le mécanisme de sauvegarde des assets industriels doit intégrer la gestion des versions et toute modification des programmes automates doit être automatiquement intégrée dans le serveur de sauvegarde. Des logiciels de sauvegarde permettent de repartir d’une version antérieure et de s’assurer que toutes les modifications soient directement intégrées dans le serveur de sauvegarde.
- Mettre en place le chiffrement des sauvegardes : Ce procédé, parfois imposé par la réglementation, offre une protection contre la compromission de données et l’espionnage industriel.
- Ne pas oublier les secrets : Il faut donc porter une attention particulière à la sauvegarde des secrets (les clés de chiffrement utilisées pour des protocoles industriels par exemple, qui sont stockées dans les puces TPM de certains automates) et intégrer à la procédure de sauvegarde celle de réattribution de clé.
- Anticiper les conséquences de la virtualisation sur l’organisation : Si l’automatisme industriel est encore essentiellement composé d’automates physiques, les automates virtuels se répandent peu à peu. Ce phénomène de virtualisation facilite les sauvegardes, mais se pose la question des procédures de restauration en 24/7 et son impact sur les organisations (restauration des VM par support IT).
- Financer la mise en place de sa stratégie de sauvegarde : Le financement de la mise en place des bonnes pratiques de sauvegarde en milieu industriel doit figurer dans la feuille de route des ComEx. En attendant de réussir à débloquer les budgets nécessaires, certaines entreprises trouvent des moyens de gérer leurs sauvegardes de façon artisanale. Il faut veiller à ce que ces solutions « maison » restent sécurisées et qu’elles n’engendrent pas une augmentation de la surface d’attaque (sauvegarde sur support amovible).
En définitive, l’OT a des années de retard à rattraper sur l’IT et ses sauvegardes immuables. Heureusement, malgré des contraintes propres, la discipline peut s’appuyer sur des technologies de sauvegarde existantes et éprouvées.
À l’heure où sécuriser une usine prend plusieurs années, où la probabilité de subir une cyberattaque continue de croitre, investir dans de bonnes sauvegardes, rapides à restaurer constitue une approche pragmatique qui amène à plus de sérénité.
