Malgré des améliorations, la cybersécurité OT reste problématique

Fortinet a dévoilé, mi-juin 2023, les principaux enseignements de l’édition 2023 de son rapport « State of Operational Technology and Cybersecurity ». « Les acteurs industriels utilisant des technologies OT ont certes renforcé leur posture de sécurité, mais des améliorations restent encore possibles et souhaitables », synthétise John Maddison, chef du marketing chez Fortinet.

Le rapport s’appuie sur une enquête auprès de 570 professionnels des technologies OT issus de 14 pays : Afrique du Sud, Allemagne, Australie, Brésil, Canada, Égypte, États-Unis, France, Inde, Japon, Mexique, Norvège, Nouvelle-Zélande et Royaume-Uni.

L’étude montre une baisse du nombre d’incidents cyber contre les systèmes OT, qui reste toutefois très élevé. En 2022, 94% des répondants indiquaient que leur organisation avait subi au moins une intrusion dans l’année. La proportion tombe à 75% en 2023, en recul mais toujours préoccupant. 49% des entreprises ont subi au moins une attaque par phishing, et 32% une attaque par ransomware sur les 12 derniers mois.

Selon Fortinet, la complexité des systèmes OT reste également problématique. Près de 80% des répondants recensent ainsi plus de 100 dispositifs OT compatibles IP dans leurs environnements opérationnels. Cette prolifération d’outils complique fortement l’intégration et l’application des politiques de cyberprotection. Le vieillissement des infrastructures complexifie encore la donne, 74% des répondants utilisant des systèmes industriels âgés d’entre 6 et 10 ans.

En revanche, les responsables OT semblent moins enclins en 2023 à surestimer leur niveau de cyberprotection. Ils ne sont ainsi plus que 13% à juger leur entreprise « très mature » en matière de cybersécurité, contre 21% en 2022.

De même, la quasi-totalité des entreprises ont compris que la cybersécurité était une affaire de spécialistes. 95% prévoient ainsi de confier (ou ont déjà confié) leur cybersécurité OT à leur RSSI plutôt qu’à un manager ou à une équipe opérationnelle. Désormais, la majorité des responsables de la sécurité OT sont des spécialistes de la sécurité informatique et non plus du développement produit.