Haute sécurité pour les données sensibles - esolva ag
jouer_simple_cross

esolvaBLOG - l'information sur une seule page est un jeu d'enfant

Des nouvelles de votre énergie : c'est ce que vous propose esolvaBLOG. Si vous vous inscrivez régulièrement, ce BLOG vous tiendra au courant.

Haute sécurité pour les données sensibles

11. août 2020 article de partage :

Seuls les systèmes de mesure intelligents testés (iMS) peuvent être utilisés pour le déploiement des compteurs intelligents. Toutefois, ces derniers ne protègent pas automatiquement contre toutes les cyberattaques. Le facteur décisif est la manière dont l'iMS est utilisé en fonctionnement et intégré dans le système global. Un bon niveau de sécurité ne peut être atteint que par des mesures techniques et organisationnelles complètes.

 
 
Dans le cadre de la stratégie énergétique 2050, la Confédération a posé les bases d'un déploiement de compteurs intelligents à l'échelle nationale. Selon l'actuelle ordonnance sur l'approvisionnement en électricité, article 31e "Introduction de systèmes de comptage intelligents", 80 % de tous les dispositifs de comptage doivent répondre aux exigences des systèmes de comptage intelligents d'ici le 1er novembre 2027. La plupart des gestionnaires de réseaux de distribution (GRD) savent que le réseau électrique, leur "joyau de la couronne", nécessite des mesures de protection particulières. Après tout, le réseau électrique fait partie de l'infrastructure essentielle de chaque pays.  
En raison de la multiplication des réseaux et de la numérisation, le besoin de protection se déplace de plus en plus vers le cyberespace. Le déploiement du compteur intelligent y contribue également, car les mondes de l'informatique et de l'OT (technologie opérationnelle) fusionnent de plus en plus, ce qui, considéré dans son ensemble, génère de nouvelles zones d'attaque. Chaque gestionnaire de réseau de distribution est responsable et doit faire sa part pour protéger les infrastructures critiques.

La "sécurité par la conception" ne suffit pas à elle seule

Composants iMS avec interfaces et systèmes environnants comme un système complet avec des points d'attaque possibles.

Le StromVV stipule à l'article 8b Contrôle de sécurité des données, au paragraphe 1, que seuls les systèmes de comptage intelligents dont les éléments ont été testés avec succès pour garantir la sécurité des données peuvent être utilisés. Ce contrôle de la sécurité des données est une bonne approche pour obliger les fabricants à installer certains mécanismes de sécurité dans leurs systèmes.  
 
Mais l'utilisation d'un système certifié ne suffit pas ; la certification ne fait que confirmer la sécurité des données du système testé. Le facteur décisif pour la sécurité est la manière dont le système est utilisé, c'est-à-dire la manière dont il est exploité. Chaque entreprise dispose déjà d'une infrastructure informatique, qui peut prendre différentes formes. Un système de mesure intelligent est donc intégré dans un environnement existant avec les points faibles correspondants. Cependant, ce système global avec tous ses composants est décisif pour la sécurité du fonctionnement.  
 
Les compteurs intelligents utilisés de manière généralisée présentent un certain nombre d'avantages pour l'entreprise de services publics. De nombreux processus peuvent être rendus plus efficaces grâce à eux, ce qui suscite à son tour d'autres désirs. Afin de pouvoir les utiliser, diverses interfaces de et vers l'iMS sont nécessaires. Les cyberattaques commencent généralement au le maillon le plus faible de la chaîne pour obtenir un accès initial à une entreprise. Une fois à l'intérieur, les attaquants peuvent généralement se déplacer sous le radar et se propager d'un système à l'autre. Un exemple classique est l'attaque de phishing ciblée sur un employé ayant accès à l'iMS. Si l'ordinateur de l'employé est infecté, d'autres informations (par exemple les données d'accès, les applications utilisées, les sites web visités) peuvent être recueillies.

Exigences pour le fonctionnement de l'iMS

Le TPE est également conscient de l'importance de l'opération. Par conséquent, outre les lignes directrices relatives aux audits de sécurité des données figurant à l'annexe 2 "Exigences opérationnelles pour le SGI en matière de sécurité des données", elle a également publié des exigences relatives au fonctionnement sécurisé d'un SGI. Ces exigences couvrent des domaines importants tels que les stocks, le contrôle d'accès, les relations avec les fournisseurs et la sécurité des communications. Les exigences sont basées sur des normes internationales communes Normes et recommandations établies. Toutefois, il incombe à l'exploitant de déterminer avec quelle précision et dans quelle mesure une exigence est mise en œuvre.  
 
Cependant, il y a aussi des domaines que l'annexe 2 ne couvre pas explicitement, mais qui sont importants pour le niveau de sécurité du système global. Il s'agit, par exemple, d'aspects organisationnels tels qu'une politique de sécurité de l'information à l'échelle de l'entreprise, la sécurité du personnel ou la gestion de la continuité des activités. Si une entreprise développe elle-même des interfaces ou des outils qui aident au fonctionnement de l'iMS, il faut également tenir compte des exigences en matière de développement de logiciels sécurisés.  
 
Les exigences opérationnelles d'un iMS sont certainement un bon outil et mettent en lumière certains points spécifiques des compteurs intelligents. Mais le respect de ces exigences ne suffit pas à lui seul à protéger adéquatement l'ensemble du système.

Définir le concept de sécurité avant le déploiement

Afin d'atteindre un bon niveau de protection, un certain nombre de mesures différentes sont nécessaires. Aucune entreprise n'est en mesure de mettre en œuvre toutes les mesures. Il est donc d'autant plus important de leur accorder la priorité. L'efficacité et l'efficience d'une mesure sont des paramètres importants pour l'établissement des priorités. L'efficacité indique dans quelle mesure une mesure peut contribuer à la protection. L'efficacité est une question d'efficacité économique. La mise en œuvre d'une mesure qui est est très coûteuse à mettre en œuvre, mais contribue peu à la protection, doit être examinée avec soin.  
 
Un bon exemple de mesure utile est le durcissement du dispositif et du système. La plupart des appareils et des systèmes ont plus de fonctions que ce qui est nécessaire à leur fonctionnement. Afin de réduire la surface d'attaque, les fonctions qui ne sont pas nécessaires doivent être désactivées ; cela inclut, par exemple, les interfaces inutilisées du compteur. En outre, des mots de passe standard sont définis à l'usine, qui doivent être adaptés en fonction des exigences de complexité propres au service public. Dans le cas d'une mise en service imminente d'un compteur intelligent, il est important de s'assurer que cette configuration "sûre" du compteur est à déterminer. L'ajustement ultérieur des compteurs installés sur le terrain sera très coûteux. Ce durcissement doit être étendu à tous les composants. Cela comprend également tous les composants du système de communication et du système de traitement des données des compteurs (ZDVS).  
 
Une autre mesure technique très répandue est l'utilisation de la cryptographie pour chiffrer les données pendant leur transmission. Cela permet de garantir la confidentialité des données, car celles-ci ne peuvent être lues en même temps que la transmission. Selon la méthode utilisée, cela permet également de garantir l'intégrité des données. Cela signifie que les données n'ont pas été modifiées pendant la transmission. Le cryptage doit donc être établi de bout en bout, c'est-à-dire du compteur à la ZDVS. Les technologies de cryptage actuelles sont difficilement craquables avec la longueur de clé appropriée. Cependant, si un attaquant est en possession des clés correspondantes, les données peuvent être décryptées et lues sans problème. Cela donne à la direction clé une Enroulez. Le stockage sécurisé des clés, mais aussi les changements périodiques doivent être définis au début du déploiement.  
 
Pour garantir que toutes les mesures de sécurité définies soient respectées pendant le déploiement, il est conseillé de définir au préalable un concept de sécurité dans lequel toutes les mesures de sécurité sont spécifiées avec précision et la manière dont elles doivent être traitées. Le concept de sécurité doit être connu de toutes les personnes impliquées dans le déploiement et l'opération du SGI. Des cours de formation spécifiques sur la sécurité de l'information sont les mieux adaptés à cette fin, dans lesquels le Les risques sont identifiés et la sensibilisation à ces risques est ainsi créée.

La reconnaissance des attaques devient de plus en plus importante

Cercle de nidification avec des tâches spécifiques par zone.

La situation de menace ne cesse de s'aggraver et les agresseurs se professionnalisent. Il ne suffit donc plus de mettre en œuvre le plus grand nombre possible de mesures préventives. Les exploitants d'infrastructures critiques doivent s'attendre à être la cible de telles attaques. Il est donc d'autant plus important de détecter ces attaques à un stade précoce et de réagir rapidement afin de limiter les dégâts. L'importance des mesures de détection ne cesse de croître, ce qui est également souligné dans les exigences relatives au fonctionnement de l'iMS : "Le système de mesure intelligent doit être protégé par des mesures de prévention et de détection.  
 
Pour couvrir ces domaines, le cadre d'imbrication est souvent utilisé comme alternative à la norme ISO 27001. Une grande attention y est accordée aux domaines de la "détection", de la "réaction" et de la "récupération".  
 
Dans les opérations informatiques, la surveillance de tous les composants afin de détecter les dysfonctionnements à un stade précoce est indispensable. Lorsqu'il s'agit de détecter des incidents liés à la sécurité, on parle donc aussi de surveillance de la sécurité. L'évaluation des messages du journal relatifs à la sécurité (appelés "événements") vise à révéler les caractéristiques remarquables qui fournissent des informations sur l'utilisation illégale ou les attaques. Un système de gestion des incidents et des événements de sécurité (Siem) est généralement utilisé à cette fin. En cartographiant les logiques de détection par la combinaison de différents événements, il est possible de détecter des caractéristiques remarquables. Les systèmes modernes de Siem utilisent également l'apprentissage machine pour détecter les anomalies plus efficacement. Un Siem dépend des événements générés par tous les systèmes. Les exigences en matière de journalisation pour un SSI sont vagues : "Les événements pertinents pour la sécurité de l'information doivent être enregistrés et surveillés (journalisation et surveillance)". Ainsi, chaque opérateur d'un iMS doit définir pour lui-même quels sont les événements pertinents et les évaluer. Chaque fabricant génère des événements différents. Ainsi, lorsque l'on utilise des produits différents de différents fabricants, il faudrait combiner différents événements les uns avec les autres. Des lignes directrices uniformes pour les composants iMS simplifieraient l'évaluation des événements et donc la détection des attaques.

Préparer la réponse à un incident

Événements -> Alerte -> Incident - ce qui se passe, où et comment

Si une alarme est générée dans le cadre de la surveillance de la sécurité, il faut définir clairement comment y réagir. À cette fin, un opérateur iMS doit d'abord traiter cette question et se préparer à d'éventuels incidents. Afin de pouvoir réagir rapidement, les processus et les responsabilités doivent être clairement définis ; par exemple, si des signes d'accès non autorisé sont détectés sur plusieurs compteurs intelligents ou si des commandes de contrôle inhabituelles ont été déclenchées pendant quelques jours.  
 
Outre la procédure définie, il faut également disposer des ressources appropriées avec le savoir-faire nécessaire. Les cyberattaques peuvent être déclenchées de n'importe où dans le monde, les systèmes doivent donc être surveillés 24 heures sur 24. Pour assurer cette couverture, une organisation opérationnelle appropriée - généralement un Security Operation Center (SOC) - doit être mise en place. Comme ces personnes ne sont pas impliquées dans d'autres tâches opérationnelles, elles peuvent réagir directement à un incident. Une alarme est vérifiée par un employé du SOC (Security Analyst). S'il s'agit d'un incident (incident avec des effets négatifs), d'autres étapes définies sont immédiatement déclenchées selon un cahier de charges. Des informations complémentaires ou des personnes sont appelées pour traiter l'incident. En cas d'incident de grande envergure ayant des effets sur l'ensemble de l'entreprise, la gestion des urgences et des crises entre inévitablement en jeu. Les cyberincidents peuvent rapidement affecter plusieurs systèmes, affectant l'ensemble de l'entreprise. Il est donc d'autant plus important que la direction ait fait ses devoirs et ait développé à l'avance la gestion de la continuité des activités.  
 
Les exigences relatives au fonctionnement du SGI définissent également des lignes directrices pour la gestion des incidents de sécurité de l'information : "Pour assurer une approche cohérente et efficace du traitement des incidents de sécurité, y compris la notification des événements de sécurité et les faiblesses".

Rendre le fonctionnement de l'iMS "sûr

Plusieurs points sont cruciaux pour le fonctionnement sûr d'un iMS. L'utilisation d'un iMS certifié constitue une base importante. Le facteur décisif est la manière dont l'iMS est intégré dans le système global. Chaque chaîne est aussi forte que son maillon le plus faible. Les exigences définies par la VSE pour le fonctionnement de l'iMS constituent une bonne base, mais doivent être complétées par d'autres mesures de sécurité. Avant le déploiement, toutes les mesures de sécurité doivent être définies et enregistrées dans un concept de sécurité. En particulier, il convient d'accorder une importance suffisante aux mesures de détection et à la réaction aux incidents sera. En raison de l'évolution constante de la situation de la menace, la probabilité d'une attaque augmente. Une bonne préparation permet de détecter ces attaques à temps, de les arrêter et de prévenir des dommages ou des défaillances majeurs.

 
 
Auteur :  Gian Collenberg, responsable de la sécurité informatique

0 commentaires >>

Ajouter un commentaire
FR