Mardi matin, six heures quinze. L'équipe de nuit signale que trois écrans de supervision sont éteints. Le serveur de conduite ne répond plus. Sur deux postes, un message de rançon s'affiche. La ligne de production est à l'arrêt. La question est de savoir ce que vous faites en premier.
La plupart des organisations industrielles disposent d'un plan de réponse aux incidents pour leur environnement informatique. Un incident touchant la production obéit à d'autres contraintes : il existe des risques pour la sécurité des personnes, des systèmes qui ne se redémarrent pas sans préparation, et des procédés qui doivent être arrêtés selon une procédure établie. Les décisions prises pendant la première heure déterminent en grande partie si l'arrêt se comptera en heures ou en semaines.
Obligation légale : les incidents significatifs doivent être déclarés au maCERT dans les délais fixés par la DGSSI. Le décompte commence au moment où vous constatez l'incident, et non lorsque vous en comprenez la cause.
Les 60 premières minutes : plan d'action
Alerte et première évaluation
Établissez la situation : quels systèmes sont touchés, existe-t-il un risque pour les personnes ou l'environnement, et l'incident dépasse-t-il le périmètre informatique ? Réunissez la cellule de crise en y intégrant le personnel de production, et pas seulement l'informatique.
Sûreté et isolation
En présence d'un risque, arrêtez les procédés selon les procédures prévues. Isolez le segment concerné et coupez la liaison entre bureautique et production. N'éteignez pas les systèmes porteurs de traces, sauf impératif de sûreté : un système éteint ne pourra plus être analysé.
Détermination du périmètre et communication
Recensez les systèmes, zones et sites atteints. Informez la direction et commencez à consigner. Sollicitez votre partenaire de réponse à incident et appréciez si une déclaration au maCERT s'impose.
Confinement
Limitez la propagation : isolez les zones touchées, bloquez les comptes suspects, fermez les accès de tiers. Vérifiez que les systèmes instrumentés de sécurité restent opérationnels et basculez en conduite manuelle lorsque cela peut se faire sans risque.
Premier plan de rétablissement et déclaration
Établissez une première estimation du délai et des moyens nécessaires. Transmettez la déclaration si l'incident présente un caractère significatif. Consignez actions, décisions et horodatages : ces éléments serviront à la déclaration complémentaire, à l'assureur et au retour d'expérience.
Les 5 erreurs les plus courantes lors d'incidents OT
- Éteindre les systèmes dans l'urgence. Les traces disparaissent et le procédé peut rester dans un état non maîtrisé. L'isolation est préférable à l'extinction.
- Ne pas associer le personnel de production. Les équipes informatiques ne connaissent pas le procédé ; les opérateurs savent quels systèmes sont critiques pour la sûreté.
- Restaurer une sauvegarde sans l'avoir vérifiée. Le code malveillant peut y figurer depuis plusieurs semaines. La vérification précède la restauration.
- Laisser la communication s'organiser d'elle-même. Sans protocole établi, chacun appelle chacun. Désignez un responsable unique de la conduite de l'incident.
- Ne rien consigner. Ce qui n'est pas documenté ne pourra pas être établi ensuite. Affectez dès la première minute une personne à cette seule tâche.
Avez-vous un plan de réponse aux incidents OT ?
Le test est simple : si votre système de supervision tombe demain, savez-vous quoi faire ? Disposez-vous :
- d'un plan de réponse propre à l'environnement industriel, et non d'un seul plan informatique ?
- des coordonnées d'une équipe d'investigation ayant l'expérience de ces environnements ?
- de procédures d'arrêt maîtrisé des procédés de production ?
- de sauvegardes éprouvées des configurations d'automates et des projets de supervision ?
- d'un protocole de communication pour la cellule de crise ?
- d'une procédure de déclaration compatible avec les délais légaux, y compris hors heures ouvrées ?
Si plus de deux de ces questions appellent une réponse négative, l'élaboration de ce plan constitue l'étape suivante. Ce travail se conduit posément à froid ; il ne se conduit pas pendant un incident.
La préparation coûte moins cher que la réparation. Élaborer et éprouver un plan de réponse représente une fraction de ce que coûte un incident subi sans préparation, en pertes de production, en remise en état et en explications à fournir ensuite.
Être préparé à un incident OT ?
Resotech aide les organisations industrielles marocaines à élaborer et à tester des plans de réponse aux incidents propres à l'OT, de l'exercice sur table au plan complet conforme aux obligations de la loi 05-20.
Nous contacter