Sécurité isolée ou connectée : quel risque préférez-vous gérer
Deux philosophies pour protéger les systèmes critiques : les isoler entièrement des réseaux externes (l'isolement physique), ou les maintenir connectés et défendre la connexion. L'isolement supprime la voie d'attaque à distance mais complique les mises à jour, la surveillance et l'exploitation, et n'est jamais aussi absolu qu'il n'y paraît. La connectivité permet une défense moderne mais laisse la porte perpétuellement entrouverte. Le choix porte en réalité sur les risques qu'un exploitant préfère gérer.
Architecture isolée
Un système isolé physiquement n'a aucune connexion réseau avec le monde extérieur, mises à jour, données et administration ne franchissent la frontière que par transfert physique contrôlé. La conception supprime entièrement la surface d'attaque à distance, pariant que ce qui ne peut être atteint ne peut être piraté à distance.
Points forts
- +Aucune voie d'attaque à distance, l'intrusion par le réseau est écartée
- +Insensible aux coupures d'internet et au déni de service à distance
- +Impose un transfert délibéré et auditable de tout ce qui franchit la frontière
- +Convient aux sites qui doivent fonctionner lorsque toute connectivité tombe en défaut
Limites
- –L'isolement est poreux en pratique, supports amovibles et ordinateurs portables le franchissent
- –Correctifs et mises à jour deviennent lents, manuels et souvent négligés
- –Aucune télémétrie à distance : les intrusions à l'intérieur de l'isolement peuvent y demeurer invisibles
- –La friction opérationnelle pousse le personnel vers des contournements non documentés
Emploi typique
Les systèmes de contrôle les plus critiques, les réseaux classifiés et les installations isolées ou contestées qui doivent fonctionner dans un isolement complet.
Architecture connectée et défendue
Une architecture connectée accepte des voies réseau externes et concentre l'effort sur leur défense : segmentation en couches, authentification forte, surveillance continue et réponse rapide. Elle parie qu'une connexion surveillée et bien conçue est plus sûre qu'une illusion d'isolement non surveillée.
Points forts
- +Surveillance continue et réponse aux incidents rapide et à distance
- +Correctifs et mises à jour en temps utile maintiennent les défenses à jour
- +Le diagnostic à distance et le soutien fournisseur réduisent les interruptions
- +Supervision centrale de nombreux sites distribués à la fois
Limites
- –Une surface d'attaque à distance permanente qu'il faut défendre pour toujours
- –Dépendante d'une connectivité qui peut tomber en défaut ou être attaquée elle-même
- –La complexité de la défense en couches croît avec chaque service ajouté
- –Les liaisons vers le cloud et les fournisseurs peuvent acheminer une télémétrie sensible à travers des juridictions étrangères
Emploi typique
Parcs de services publics distribués, opérations industrielles modernes et toute infrastructure dont l'échelle rend impraticable une administration manuelle sur site.
Lequel répond à votre besoin
Partir de la conséquence et de la portée. Les systèmes dont la compromission est catastrophique, et qui peuvent opérationnellement tolérer l'isolement, systèmes de sûreté, enclaves classifiées, installations isolées, justifient la friction d'un véritable isolement physique. Les parcs trop vastes ou dynamiques pour être administrés à la main ont besoin de connectivité, défendue correctement.
Si l'isolement est retenu, il doit être conçu et non décrété : procédures de transfert contrôlé, balayage des supports, surveillance à l'intérieur de l'isolement, et reconnaissance honnête que la frontière sera franchie. La plupart des échecs d'isolement célèbres furent des échecs de discipline à la frontière, non du concept.
De nombreux parcs critiques aboutissent à un modèle hybride : les couches internes de contrôle et de sûreté isolées, les couches de supervision connectées et fortement surveillées, avec des voies unidirectionnelles conçues là où les données doivent circuler vers l'extérieur. Là où la connectivité fait intervenir des services de cloud ou de fournisseur étrangers, l'acheminement des données et la juridiction appartiennent à l'évaluation des risques au même titre que les contrôles techniques.
Capacités pertinentes
Questions fréquentes
Un isolement physique rend-il un système impiratable ?
Non. Il supprime la voie réseau à distance, mais mises à jour, supports et ordinateurs portables de maintenance franchissent encore la frontière, et des attaques bien documentées ont emprunté précisément ces voies. Un isolement physique est un contrôle fort, non une garantie, et il doit être exploité avec discipline.
Pourquoi ne pas simplement tout isoler ce qui est critique ?
Parce que l'isolement a des coûts d'exploitation : mises à jour manuelles, aucune surveillance à distance, réponse lente et lourde charge de personnel sur chaque site. Pour de vastes parcs distribués, ces coûts deviennent leur propre risque, à mesure que des systèmes non patchés et non surveillés vieillissent en silence derrière l'isolement.
Qu'est-ce qu'une architecture hybride ?
Le compromis courant : les couches internes de contrôle et de sûreté sont isolées, les couches de supervision sont connectées et intensivement surveillées, et là où les données doivent quitter la zone protégée, elles circulent par des voies unidirectionnelles conçues à cet effet.
Que doivent considérer les exploitants d'installations isolées ?
Si le site peut dépendre d'une connectivité, et dans quelle mesure. Les installations qui doivent fonctionner malgré une perte de communication ont besoin d'une sécurité pleinement opérante hors ligne, surveillance locale, réponse locale et protection qui n'a pas besoin de « téléphoner » pour fonctionner.