La méthode EBIOS dans les SI industriels des photos : DCNS ...€¦ · La méthode EBIOS dans les SI industriels des infrastructures portuaires / 03.05.2016 / 3 Sécurité des infrastructures

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale

© D

CN

S J

une

2015

–al

l rig

hts

res

erve

d / t

odos

los

dere

chos

res

erva

dos

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale

La méthode EBIOS dans les SI industriels des infrastructures portuaires

Thierry MaurArchitecte CyberSécurité DCNS

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale

La méthode EBIOS dans les SI industriels des infrastructures portuaires / 03.05.2016 / 2

Sécurité des infrastructures portuaires

Activités DCNS le naval de défense, l’énergie, …

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale



Cherbourg

Brest / Ile-Longue

Lorient

Nantes-Indret

ParisBagneuxIssy-Les-Moulineaux

Toulon / Ollioules

Saint-Tropez

Angoulême-Ruelle

Marseille

Bases navales, infrastructures portuaires et sites de production• Brest / Ile-Longue

Maintien en condition opérationnelle de la flotte et énergies marines renouvelables

• CherbourgSous-marins

• Le Mourillon / OllioulesSystèmes d’information et de surveillance

• LorientCorvettes, frégates, destroyers

• Nantes-IndretSous-marins et R&D

• RuelleSous-marins, simulateurs et formation

• Saint-TropezArmes sous-marines

• ToulonMaintien en condition opérationnelle de la flotte

• Paris, Bagneux, Issy-les-Moulineaux, MarseilleSiège , systèmes d’information et de surveillance, énergies marines renouvelables et nucléaire civil

L’ensemble des sites certifié ISO 14001

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale



• Types d'installations qui s'appuient sur des systèm es de contrôles industriels (ICS)

• systèmes de contrôle et d'acquisition de données (SCADA )

• contrôler plusieurs installations distantes géographiquement

• systèmes numériques de contrôle-commande (DCS )

• superviser et contrôler plusieurs sous-systèmes locaux

• automates programmable industriel (PLC)

• commander des processus industriels par un traitement séquentiel

• envoi des ordres vers des actionneurs à partir de données d’entrées provenant de capteurs, de consignes et d’un programme

Les bases navales assurent une fonction de soutien aux navires

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale



Fonctions de soutien pour les navires à quai

• Energie

• Fluide

• Station pompage

• Manutention sécurisée

• INBS (Installation Nucléaire Base Secrète)

• Grue

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale



• Architecture et implémentation• réseau à plat, peu durcit

• protocoles historiques en clair

• directives s'opposent : bonnes pratiques (code lisible et commenté, …) vs programmation sécurisée

• Niveau de connectivité (ouverture du système)• ouverture à d’autres systèmes

• déport des postes de supervision et de conduite (espaces mutualisés)

• maintenance à distance

• étendue géographique (hors zones protégées)

• Accessibilité du système • Intervenants trés maturs techniquement / encore peu sensibilisés à la Cybersécurité

Les vulnérabilités des SI Industriels « en général »

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


• Particularités du SI Industriel• objectif : conduite d’installation (disponibilité) vs traitement des données

• lieu : entrepôts, usines, lieux isolés, en mer, dans l’air, … vs bureaux, salles informatiques, …

• intervenants : automaticiens, électrotechniciens, … vs informaticiens

• durée de vie : plus de 10 ans (parfois 30 ou 40 ans) vs environ 5 ans

• Tordre le cou du mythe de la protection « naturelle » des SI industriels • du fait de leur isolement et de leurs particularités techniques de moins en moins

vrai, il n’est plus nécessaire de pénétrer sur site pour atteindre les systèmes

Comparaison SI Industriel à un SI « traditionnel »


© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


• Livre blanc sur la défense et la sécurité nationale de 2013, Loi de Programmation Militaire

• La cybersécurité est un enjeu majeur des quinze années à venir

• Impérieuse nécessité de protéger les systèmes d’importance vitale

• Prise de conscience

• le ver Stuxnet (2010) montre que des attaques sur des installations industrielles sensibles peuvent se réaliser

• Une démarche pour Qui ?

• toutes les industries, datacenters, réseaux de distribution d'électricité « intelligent », systèmes de gestion technique des bâtiments (GTB), de gestion technique centralisée (GTC) et les systèmes embarqués...

• Une démarche qui s’articule avec la PSSI-Armées, EB IOS 2010, ISO27000 et les guides ANSSI

PSSI-Armées EBIOS 2010 ISO 27000 Mesures détaillées ANS SI

Démarche de sécurisation des SI industriels


© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale



Matrice de classification du système industriel

Classification du SI industriel (guides ANSSI)

Classe du SI industriel 1, 2 ou 3

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


• Homologuer les nouveaux systèmes industriels critiq ues

• Bases de connaissances (contraintes spécifiques, vu lnérabilités, mesures par classes et des modes d’implémentations)

• 32 contraintes relatives aux systèmes industriels

• maitrise des installations, contrats, réglementation, changements, économiques, maturité cyber, ...

• 22 vulnérabilités des systèmes industriels

• 283 Mesures de cybersécurité

• 122 Mesures organisationnelles (pour l'ensemble des 3 classes)

• 161 mesures techniques (pour l'ensemble des 3 classes)

• concerne tout le cycle de vie du SI depuis les études jusqu’à la gestion de l’obsolescence

Guide ANSSI des mesures détaillées


© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


Mesures détaillées

Méthode de classification et mesures principales

Maîtriser la SSI pour les systèmes

industriels

• Détermine une méthodologie cybersécurité pour les S I Industriels

• conception initiale, évolution, fin de vie, …

• Evalue le niveau de sensibilité du SI Industriel (c lasse)• profondeur de la démarche cyber à mettre en œuvre

• les objectifs de sécurité

• Prend les mesures cyber pour remplir les objectifs de sécurité fixés

• mesure technique / organisationnelle

• maintenir le niveau de sécurité et continuer de l’améliorer (MCS, Veille, Audit, …)

Mise en pratique sur les SI industriels des guides ANSSI


© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


La démarche cybersécurité pour les SI Industriels (en synthèse)


© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


Objectif de sécurité


FEROS : Fiche d’expression rationnelle des objectifs de sécurité de sécurité des systèmes

d’information

EBIOS : Expression des Besoins et

Identification des Objectifs de Sécurité

Norme ISO/CEI 27002:2013

Articles 5 à 18


• « Clé de voûte »

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


Modules EBIOS / Livrables


FEROS : Fiche d’expression rationnelle des objectifs de sécurité de sécurité des systèmes

d’information


PDS : Plan de sécurité

© D

CN

S J

une

2015

–al

l rig

hts

rese

rved

/ tod

oslo

s de

rech

osre

serv

ados

/ tou

s dr

oits

rés

ervé

s –

Cré

dits

pho

tos

: DC

NS

, Mar

ine

natio

nale


Conclusion

Questions / réponses / réactions à chaud…

Documents

La méthode EBIOS dans les SI industriels des photos : DCNS ...€¦ · La méthode EBIOS dans les SI industriels des infrastructures portuaires / 03.05.2016 / 3 Sécurité des infrastructures