News & Insights

Malgré la croissance des nouveaux bâtiments commerciaux, les nouvelles constructions représentent encore une plus petite part du parc immobilier global, avec un âge moyen des bâtiments commerciaux aux États-Unis d’environ 50 ans. La plupart des gestionnaires d’installations et des TI travaillent avec un mélange de divers systèmes de bâtiments hérités.

Les systèmes existants sont ceux qui sont utilisés depuis longtemps, souvent au-delà de leur durée de vie initiale. Ils peuvent être basés sur des technologies désuètes, avoir une documentation médiocre, manquer de mises à jour de sécurité ou avoir des dépendances à l’égard d’autres systèmes désuets. Ces facteurs rendent les systèmes de bâtiments existants vulnérables à divers types de cyberattaques, comme les atteintes à la protection des données, le déni de service, les rançongiciels ou les infections par logiciels malveillants.

Identifier les vulnérabilités en cybersécurité dans les systèmes de bâtiments hérités est une tâche difficile, car ils peuvent ne pas être compatibles avec les outils, normes ou protocoles de sécurité modernes. De plus, les systèmes de construction hérités peuvent avoir une base de code vaste et complexe, avec de nombreuses failles cachées ou inconnues, nécessitant une approche systématique et proactive pour évaluer la posture de sécurité des systèmes hérités et atténuer les risques qui y sont associés.

Adopter une approche systématique de l’évaluation de la vulnérabilité dans les systèmes de bâtiments existants

Voici quelques-unes des meilleures pratiques pour identifier les vulnérabilités de cybersécurité dans les systèmes de bâtiments hérités ainsi que des conseils pratiques sur la façon de le faire :

Inventorier et prioriser les systèmes des bâtiments existants

La première étape consiste à créer un inventaire complet de tous les systèmes existants de l’immeuble, y compris leur matériel, leurs logiciels, leur réseau et leurs composantes de données. Cela aidera à déterminer l’ampleur et l’ampleur du problème, ainsi que l’impact potentiel d’une atteinte à la sécurité. D’après l’inventaire, les systèmes de bâtiments existants doivent être classés par ordre de priorité en fonction de leur criticité, de leur exposition et de leur fonctionnalité. Les systèmes hautement prioritaires doivent être évalués et sécurisés en premier, tandis que les systèmes à faible priorité doivent être envisagés pour la mise hors service ou le remplacement.

Comment le faire : Utilisez des numériseurs de systèmes existants. Les analyseurs de systèmes existants sont des outils qui peuvent analyser et identifier les systèmes existants sur un réseau et fournir des informations sur leurs vulnérabilités, correctifs, configurations et dépendances. Les analyseurs de systèmes existants peuvent aider les organisations à évaluer le niveau de risque et l’exposition de leurs systèmes existants et à prioriser les mesures correctives. Quelques exemples de scanners de systèmes existants sont Nmap, Qualys, Rapid7 et Tenable.

Effectuer des analyses de vulnérabilité et des tests de pénétration

La prochaine étape consiste à utiliser des outils automatisés et manuels pour analyser et tester les systèmes existants à la recherche de vulnérabilités connues et inconnues. Les analyses de vulnérabilité peuvent aider à détecter les failles courantes ou obsolètes, telles que les correctifs manquants, les mauvaises configurations ou les mots de passe faibles. Les tests d’intrusion peuvent aider à simuler des attaques réelles et à exploiter les vulnérabilités d’un bâtiment pour y accéder, augmenter les privilèges ou compromettre les données. Les résultats des analyses et des tests doivent être documentés et analysés pour déterminer la gravité et la probabilité des vulnérabilités.

Comment le faire : Planifiez des analyses régulières à l’aide d’outils comme Nessus ou OpenVAS et embauchez ou formez une équipe pour des tests d’intrusion périodiques afin de découvrir des problèmes plus profonds.

Appliquer des correctifs et des mesures de durcissement

La troisième étape consiste à appliquer des correctifs et des mesures de renforcement pour corriger ou réduire les vulnérabilités des systèmes existants. Les correctifs sont des mises à jour logicielles qui corrigent des bogues ou des failles spécifiques dans le système. Les mesures de renforcement sont des changements de configuration qui améliorent la sécurité du système, comme la désactivation des services inutiles, l’application d’une authentification forte ou le chiffrement des données. Les correctifs et les mesures de durcissement doivent être appliqués en temps opportun et de manière uniforme, en suivant un processus de gestion du changement et un plan de secours.

Comment le faire : Établissez un calendrier de gestion des correctifs et utilisez des outils de gestion de la configuration pour appliquer et surveiller les mesures de renforcement dans tous les systèmes.

Surveiller et vérifier les systèmes des bâtiments existants

La quatrième étape consiste à surveiller et à vérifier les anciens systèmes des bâtiments pour détecter tout signe d’activité anormale ou malveillante, comme un accès non autorisé, une fuite de données ou une dégradation du système. Les outils de surveillance et d’audit peuvent aider à recueillir et à analyser les journaux, les alertes et les mesures des systèmes de bâtiments existants, et à générer des rapports et des tableaux de bord qui offrent une visibilité et un aperçu de la performance et de la sécurité du système. La surveillance et l’audit peuvent également aider à vérifier l’efficacité des correctifs et des mesures de renforcement et à identifier toute vulnérabilité nouvelle ou émergente.

Comment le faire : Mettre en œuvre des systèmes SIEM (Security Information and Event Management) comme Splunk ou IBM QRadar pour surveiller et analyser continuellement l’activité du système et mettre en place des routines d’audit régulières.

Planifier la migration ou la retraite

La dernière étape consiste à planifier la migration ou la mise hors service des anciens systèmes de bâtiments, car ils pourraient ne pas être en mesure de répondre aux exigences et aux attentes actuelles et futures en matière de sécurité. La migration est le processus de migration des systèmes existants vers des plateformes plus récentes ou plus sécurisées, telles que le cloud, la virtualisation ou la conteneurisation. La mise hors service est le processus de mise hors service ou d’élimination des anciens systèmes qui ne sont plus nécessaires ou pris en charge. La migration et la mise hors service doivent être effectuées de manière progressive et contrôlée, en veillant à ce que la fonctionnalité, les données et la sécurité des anciens systèmes soient préservées ou transférées.

Comment le faire : Élaborer un plan détaillé de migration ou de retraite avec des échéanciers, des jalons et du personnel responsable, en veillant à ce que des tests et des validations approfondis soient effectués à chaque étape pour éviter les perturbations.

Tactiques d’atténuation : renforcer la posture de sécurité du bâtiment

Voici quelques-unes des mesures immédiates que les organisations peuvent prendre pour atténuer les cyberrisques dans les anciens systèmes de leur bâtiment :

Rechercher de manière proactive les correctifs et les mises à jour

L’une des principales raisons pour lesquelles les anciens systèmes de construction sont vulnérables est qu’ils ne sont plus pris en charge par les fournisseurs ou les développeurs, ce qui signifie qu’ils ne reçoivent pas de mises à jour ou de correctifs de sécurité réguliers. Malgré cela, des correctifs ou des mises à jour peuvent toujours être disponibles auprès de fournisseurs tiers, de communautés open source ou d’équipes informatiques internes. Bien que la plupart des organisations sachent qu’elles doivent identifier et appliquer les correctifs ou les mises à jour disponibles pour leurs systèmes existants, beaucoup n’ont pas de mécanisme pour les rechercher de manière proactive lorsqu’ils ne sont pas automatisés.

Procédé : Appliquez des correctifs virtuels. L’application de correctifs virtuels est une technique qui applique des politiques ou des règles de sécurité à un périphérique réseau ou à un pare-feu d’application, plutôt que de modifier le code ou la configuration d’un système existant. Les correctifs virtuels peuvent aider les organisations à corriger les vulnérabilités des systèmes existants qui ne peuvent pas être corrigés en raison de contraintes techniques ou opérationnelles, ou lorsque les correctifs ne sont pas disponibles auprès des fournisseurs. Les correctifs virtuels peuvent également réduire le temps et le coût des correctifs et minimiser l’impact sur les performances et la disponibilité du système.

Mettre en œuvre des contrôles compensatoires

Les contrôles compensatoires sont des mesures qui réduisent le risque d’un système existant en ajoutant des couches de protection ou de détection autour de celui-ci. Par exemple, les organisations peuvent utiliser des pare-feu, le chiffrement, l’authentification, la surveillance, la journalisation ou la segmentation pour isoler ou protéger leurs systèmes existants contre les accès non autorisés ou les attaques malveillantes. Les contrôles compensatoires peuvent également aider les organisations à se conformer aux normes réglementaires ou industrielles qui peuvent ne pas être respectées par les systèmes existants eux-mêmes.

Procédé : Élaborer un processus officiel pour examiner et mettre à jour régulièrement les contrôles compensatoires. Cela devrait comprendre des évaluations périodiques des risques, des mises à jour régulières des mesures de contrôle fondées sur les normes de sécurité les plus récentes et une formation continue pour le personnel afin de s’assurer qu’il est au courant de ces contrôles et qu’il peut les mettre en œuvre efficacement.

Remplacer ou retirer des systèmes obsolètes

En fin de compte, la meilleure façon d’atténuer les cyberrisques dans les systèmes existants est de les remplacer ou de les retirer par des systèmes plus récents, plus sûrs et plus efficaces. Les organisations doivent planifier et exécuter une stratégie de migration qui minimise les perturbations et assure l’intégrité et la continuité des données. Les organisations doivent également se débarrasser de leurs systèmes existants en toute sécurité, en suivant les meilleures pratiques en matière d’assainissement des données et de destruction du matériel.

Procédé : Élaborer une feuille de route pour la modernisation. Une feuille de route de modernisation est un plan stratégique qui décrit les buts, les objectifs, la portée, l « échéancier, le budget et les risques liés à la modernisation ou au remplacement des systèmes existants. Une feuille de route de modernisation peut aider les organisations à harmoniser leurs efforts de modernisation avec leurs besoins et leurs priorités opérationnels, et à promouvoir l’adhésion et le soutien des parties prenantes. Une feuille de route de modernisation devrait également comprendre des critères et des paramètres d » évaluation clairs pour mesurer le succès et les résultats du projet de modernisation.

Adopter une approche progressive de la modernisation

Lorsque l’arriéré des systèmes existants semble intimidant, il est facile de tomber dans une approche de « roue grinçante », ne s’attaquant aux problèmes que lorsqu’ils deviennent critiques. Cependant, l’adoption d’une approche progressive peut aider les organisations à réduire la complexité et le risque de la modernisation tout en obtenant des gains rapides et en recueillant des commentaires précieux en cours de route. Cette méthode permet également aux organisations d’équilibrer la continuité opérationnelle des systèmes existants avec le déploiement de nouveaux systèmes, minimisant ainsi les perturbations et les temps d’arrêt.

Procédé : Choisissez une approche progressive en fonction de votre contexte. Des exemples d’approches par étapes comprennent les méthodes agiles, itératives et incrémentales. Évaluez les besoins et les contraintes spécifiques de votre organisation pour choisir la méthode la plus appropriée.

Comment Salas O’Brien peut vous aider

Les vulnérabilités dans les systèmes de bâtiments hérités posent un risque de sécurité important pour les actifs, la réputation et les opérations d’une organisation. L’identification des vulnérabilités et leur atténuation peuvent créer des maux de tête pour les responsables des installations et des ti. Salas O’Brien peut fournir des solutions complètes pour relever ces défis

1.Évaluation et consultation d’experts

Salas O’Brien propose des évaluations approfondies de vos systèmes de bâtiments hérités pour identifier les vulnérabilités et hiérarchiser les risques. Notre équipe d’experts utilise des outils et des méthodologies avancés pour effectuer des analyses de vulnérabilité détaillées, des tests de pénétration et des évaluations des risques.

2. Stratégies d’atténuation personnalisées

Nous développons des stratégies d’atténuation sur mesure en fonction de vos besoins spécifiques. Notre approche comprend la mise en œuvre de contrôles compensatoires, l’application des correctifs et des mises à jour nécessaires, et la suggestion de plans de modernisation progressifs pour soutenir la sécurité et l’efficacité de vos systèmes.

3. Planification progressive de la modernisation

Comprenant les complexités de la transition des systèmes existants, Salas O’Brien vous aide à adopter une approche progressive de la modernisation. Notre équipe travaille avec vous pour concevoir et exécuter un plan étape par étape qui minimise les perturbations, favorise l’intégrité des données et maintient la continuité opérationnelle.

Services de mise en service continu

Salas O’Brien fournit des services de mise en service continus pour aider vos systèmes à rester sécurisés et conformes. Nous offrons des outils et des services pour l’audit régulier, la surveillance en temps réel et la réponse aux incidents, vous aidant à garder une longueur d’avance sur les menaces potentielles.

 

Pour les demandes des médias sur cet article, communiquez avec [email protected].