Interview
Smart Factory : « la sécurité devient une discipline clé de la technologie d'automatisation »

Le fait que la production intelligente, connectée, autocontrôlée et optimisée pour les ressources soit rentable pour les entreprises est désormais susceptible de faire preuve de bon sens. Quelle étape sur la voie d'une usine intelligente devrait être la première et quels sujets centraux les entreprises ne devraient en aucun cas perdre de vue, c'est ce qu'explique le professeur Dr. med. Jörg Wollert, professeur à l'HS-Bochum, à la FH-Bielefeld et à la FH-Aachen.

Prof. Dr. Jörg Wollert

Jörg Wollert, né en 1964, a étudié le génie électrique en mettant l'accent sur l'ingénierie des communications à l'Université RWTH Aachen. Il a ensuite terminé son doctorat à la Faculté de génie mécanique. Ses recherches portent sur les systèmes distribués en temps réel et la conception de composants mécatroniques intelligents. Après avoir travaillé en tant que chef de projet dans le domaine des systèmes de traitement d'images et des systèmes logistiques, il est professeur à la HS-Bochum, la FH-Bielefeld depuis 1999 et à la FH-Aachen depuis mars 2015. Il est responsable du domaine de l'enseignement et de la recherche « Mécatronique et systèmes embarqués » et développe les activités du département autour de l'industrie 4.0. Son expertise est documentée dans plus de 200 publications, de nombreux manuels et de nombreux séminaires sur le sujet.

Prof. Dr. Jörg Wollert

La vision d'Industrie 4.0 de la Smart Factory implique la numérisation de la production et l'utilisation de diverses données pertinentes pour la production. Quels sont les nouveaux défis de la cybersécurité ?

La question est très complexe, vous pouvez donc difficilement répondre de manière exhaustive. Commençons par le sujet d'Industrie 4.0. Il ne s'agit pas d'acheter des « produits prêts Industrie 4.0 », mais de mettre en œuvre une stratégie homogène, de la conception à l'exploitation. Ceci est plus complexe et a une dimension beaucoup plus large que la simple automatisation.

Smart Factory nécessite une communication numérique interentreprises. Cela signifie également que les processus métier sont coordonnés et que les données peuvent être échangées sans effets secondaires. Cependant, il est fréquent que les processus métier ne soient pas disponibles sous une forme pouvant être numérisée, de sorte qu'un échange entre entreprises ne peut pas être réalisé. La confidentialité dans le traitement des processus métiers numériques inclut le savoir-faire de l'entreprise et ceci doit être garanti en toutes circonstances.
Industrie 4.0 demande une ingénierie interentreprises. Encore une fois, le sol n'est pas préparé dans de nombreuses régions, de sorte qu'un simple « Plug-and-Produce » serait possible. Comme l'échange de données dans le processus métier, l'ingénierie a aussi une exigence de confidentialité très élevée. Ici aussi, la sécurité a la plus haute priorité.
L'utilisation de diverses données liées à la production nécessite - vraiment pensé jusqu'à la fin - une approche des Big-Data. Jusqu'à présent, de nombreuses entreprises n'y sont pas encore du tout. Dans de nombreux cas, les données sont conservées localement pour une bonne raison. Après tout, les données de production parlent aussi de la performance des machines, des infrastructures, des unités mais aussi des personnes. Ici, beaucoup de questions n'ont pas encore trouvé de réponse, explicitement celles avec une indication sociale.
En résumé, on peut donc dire que le niveau élevé de mise en réseau de tous les domaines de la production - de l'ingénierie à la production en passant par la gestion du cycle de vie - est extrêmement exigeant. La sécurité joue un rôle crucial à tous les niveaux. La sécurité devient une discipline clé de la technologie d'automatisation pour toute approche d'Industrie 4.0.
Dans cet esprit, la question des « défis » peut être résolue très simplement : il faut apprendre à maîtriser la nouvelle complexité. Un niveau de sécurité à adapter au besoin respectif de protection doit être réalisé. Et les employés doivent apprendre à vivre la sécurité - c'est-à-dire internaliser les objectifs de protection et les mettre en œuvre de manière intrinsèque.

Comment évaluez-vous les paradigmes existants tels que « Defense in Depth » dans ce contexte ?

« Defense in Depth » est un terme poussé. Depuis IEC 62 443 et ISA99, il est clair pour tout le monde que toutes les personnes impliquées doivent fournir la « sécurité ». La norme mentionne les rôles du fabricant, de l'intégrateur et de l'opérateur - tout le monde doit faire ses devoirs.

En outre, la « défense en profondeur » concerne les approches par domaine, qui se réfèrent à l'attribution de domaines de protection. La norme distingue les systèmes d'information à faible, moyen et fort impact. Si beaucoup de dommages peuvent être causés, un niveau de protection plus élevé est nécessaire - c'est logique. Cette approche montre clairement que sans l'estimation des risques et l'évaluation des risques, aucun objectif de protection significatif ne peut être défini. Il précise également que la sécurité ne peut être « créée » en achetant des appareils électroniques. La sécurité ne peut être atteinte que par la conception - et la « défense en profondeur » est une condition préalable. Et enfin, l'ensemble du « système » doit être évalué; également toutes les frontières externes et les interfaces avec les systèmes externes. Cela ne peut être atteint que grâce à une préparation stratégique.

Les discussions en cours remettent en question les concepts de sécurité existants et exigent une sécurité informatique par conception. Que voulez-vous dire exactement par là ?

Quels sont les concepts de sécurité existants ? Sécuriser un réseau avec un pare-feu et ça suffit ? Ou juste un « espace d'air » - c'est à dire ne pas réseau dès le départ? Chaque concept de sécurité n'a de sens que comme « sécurité par conception ». Vous ne pouvez pas « imposer » la sécurité, mais vous avez besoin de stratégies de sécurité adaptées aux objectifs de protection respectifs ; de l'organisation administrative aux composants. La CEI 62 443 est un travail plutôt complexe qui comporte déjà de nombreux aspects importants : la 62443-2 décrit les politiques et procédures d'une organisation, la 62443-3 pour le système et les exigences du système et la 62443-4 s'occupe de composant.

À votre avis, les avantages de la cybersécurité pour les contrôleurs reposent-ils sur un système Linux® ?

Si nous nous en tenons à la compréhension de la norme CEI 62 443 que nous venons de décrire, il ne s'agit que du « composant », l'IACS (Industrial Automation Control System). Un composant sécurisé n'est donc qu'une partie d'un concept de sécurité. Et ici Linux® a des avantages, utilisé correctement. Linux® est utilisé par une large communauté dans de nombreux systèmes embarqués dotés de fonctions de sécurité. La majorité des firmwares de commutateurs et routeurs sont basés sur Linux®. Par conséquent, les questions concernant les protocoles, le niveau de Patch, la qualité du système d'exploitation, la structure interne, etc. sont connues, de sorte que vous pouvez procéder stratégiquement. C'est mieux à long terme que la « sécurité par l'obscurité » des systèmes propriétaires. Le système d'exploitation Linux® offre intrinsèquement toutes les options pour implémenter des stratégies de sécurité, et il existe une grande communauté qui prend en charge Linux® en tant que système d'exploitation sécurisé.

Dans l'une de vos présentations récentes, vous avez souligné la famille de contrôleurs PFC de WAGO comme un bon exemple de cybersécurité. Pourquoi ?

Dans la réalisation de solutions système, vous pouvez faire beaucoup de mal en matière de sécurité. Ici, vous pouvez déjà voir l'une ou l'autre des solutions système « excitantes » des différents fabricants de systèmes. WAGO a donné à la famille de contrôleurs PFC une base Linux® solide, de sorte que chaque contrôleur peut être exploité quasiment comme une passerelle sécurisée. Les protocoles de sécurité essentiels sont pris en charge et ce qui manque peut être fourni par la communauté.

Le PFC de WAGO n'est pas un automate capable d' «Internet », mais un ordinateur Linux® complet qui peut exécuter une exécution CODESYS PLC. Cette façon de voir donne la bonne signification à l'informatique. Parce que vous n'avez pas à sacrifier le temps réel, les coûts informatiques ne sont pas un inconvénient, mais offrent plutôt la possibilité d'interagir avec le service informatique.

Selon vous, quelles sont les premières étapes que les entreprises doivent suivre pour se lancer dans la Smart Factory ?

Si l'on considère les défis typiques d'une entreprise de taille moyenne, la numérisation des processus métier est la première étape la plus importante. Bien sûr, de nombreux documents électroniques sont déjà là, mais une description de processus cohérente qui permet une automatisation sans problème est déjà difficile. Ce n'est que lorsque cette première étape est terminée que vous pouvez prendre en charge des cas d'utilisation spécifiques.

La définition de scénarios numérisables reflète plus tard le champ d'application et la relation de communication avec le client, sa propre succursale, son personnel de vente ou son personnel de maintenance. Cela se traduit par les exigences futures pour l'ensemble du système - alors seulement pouvez-vous parler d'architectures sécurisées et de zones de protection - et seulement alors ce sera technique.

Quels aspects doivent être pris en compte lors de la modernisation des systèmes d'automatisation - explicitement en ce qui concerne les exigences résultant de d'Industrie 4.0 ?

La reconversion a toujours ses propres lois. En général, vous ne pouvez pas réinventer l'infrastructure, mais vous comptez sur les configurations existantes. Si on trouve des réseaux basés sur ETHERNET ou si on peut utiliser des réseaux ETHERNET, cela facilite la tâche. Dans ce cas, les différentes exigences de sécurité et les exigences de communication doivent être collectées et sécurisées dans une infrastructure hiérarchique appropriée. Les passerelles sécurisées entre les domaines deviennent très importantes - tout comme l'API de contrôle, car c'est la passerelle du terrain à l'informatique.

La numérisation avec WAGO :
C'est avec plaisir que nous répondrons à vos questions.