FIC 2016 : Airbus, des dizaines de sous-traitants, une cybersécurité unifiée

Le groupe Sopra Steria est présent au Forum International de la Cybersécurité 2016 pour y dévoiler le démonstrateur de son projet Box@PME, qui vise à sécuriser l'ensemble des acteurs d'une chaîne d'approvisionnement industrielle. Il s'agit du premier projet du programme collaboratif Albatros, mis en place par Sopra Steria au sein du pôle de compétitivité Aerospace Valley (dont fait parti son centre de cybersécurité, situé à Toulouse).

Le groupe assure dans ce centre la sécurité d’un certain nombre d'acteurs structurants du pôle, et notamment des opérateurs d'importance vitale (OIV). "Quand la gouvernance du pôle de compétitivité a visité le centre, elle nous a demandé que sa puissance de feu soit mise à disposition des entreprises de la supply chain," explique Didier Bosque, directeur innovation chez Sopra Steria et directeur du programme Albatros.

Une requête on ne peut plus logique. L'industrie aéronautique moderne s'appuie sur un fonctionnement d'entreprise étendue, où le donneur d'ordre (Airbus, en l'occurrence) crée des liens numériques forts et complexes avec ses fournisseurs, que ce soit pour le passage de commandes, le transfert de maquettes numériques, les processus d'ingénierie... "Ce fonctionnement résulte en une surface d'attaque importante pour les criminels, précise Fabien Lecoq, CTO Cybersécurité chez Sopra Steria. Et 70% de la valeur de l’avion est dans la supply chain, d’où l’importance de la protéger."

Sécuriser le maillon faible

Une problématique dont Airbus est bien conscient. "Face à la montée en puissance de la cybercriminalité, il est important pour nous de protéger notre propre système d'information, mais aussi d'accompagner notre chaîne de fournisseurs, commente Gil Mulin, Information Security Manager chez Airbus. L’intérêt de solutions comme BOX@PME est de fournir un dispositif de cybersécurité 'tout en un' à un prix abordable aux entreprises qui ne disposent pas des ressources nécessaires."

Car quand même bien les plus gros acteurs (de rang 1) peuvent généralement se défendre, prévenir et corriger en cas d'attaques complexes (venant d'organismes structurés type états, mafia...), les acteurs de rang 2 et 3 n'en ont pas les moyens. "En tant que DSI d'une PME ou ETI, on se sent parfois démuni face aux menaces, réelles ou supposées. Participer à ce projet nous a déjà permis d'acquérir une culture en la matière, et de confronter nos pratiques à celles de nos pairs et à celles préconisés par les experts", témoigne Didier Rieux, Directeur Informatique de Mecaprotec Industries. Et comme ces entreprises n'ont pas qu’Airbus comme client, la protection doit être à l'intérieur même de leur organisation. Le donneur d’ordre peut prescrire des usages mais sa marge de manœuvre est limitée.

Mutualiser la protection dans le respect de chacun

BOX@PME collecte de l'information pour y détecter des comportements anormaux. Les données sont segmentées puis fouillées. "Nous utilisons des indicateurs de compromission qui sont à la fois physiques et dans le cloud, détaille Didier Bosque. Nous employons également des techniques innovantes comme le Machine Learning pour remonter l'information de manière autonome."L'ensemble des composants est développé en interne par les partenaires du projet.

Le but : ne pas noyer les PME sous les rapports d'alerte alors qu'elles ont des priorités industrielles à gérer. "Il faut maximiser la pertinence pour ne pas stresser les PME pour rien. Il faut une approche très fine", poursuit le directeur du programme.Autre aspect crucial, l'information doit être anonymisée par rapport à l'alerte : "On a cherché à faire en sorte que l’autonomie et la responsabilité de chaque entité soit respectée.C’est l’une des valeurs ajoutées de notre solution."

L’anonymat de chaque entreprise est garanti et celles-ci gardent le contrôle de leur système d'information, même si la solution de cybersécurité est en quelque sorte mutualisée. "Nous créons des marqueurs sur les entreprises pour vérifier si elles sont attaquées ou pas", précise Didier Bosque.

L'aspect économique aussi pris en compte

Le projet, qui va courir sur trois ans, n’a pas qu’une composante technique. "Nous réfléchissons aussi à l'équilibre économique de la solution avec l'ensemble des partenaires, confie Fabien Lecoq. Il est envisagé que l'acteur structurant de la supply chain finance une partie du projet. Lorsqu'une attaque est avérée, la PME pourrait même faire appel à un comité de clients pour que ceux-ci l'aident à financer sa réponse."

A plus long terme, Sopra Steria veut déployer son système dans d'autres domaines et dans d'autres pays. "Nous travaillons avec d'autres grands groupes, affirme Fabien Lecoq. Par exemple des acteurs du monde de l’assurance, qui pourraient adosser à des contrats les niveaux de solutions contre le risque. Après la France, nous pourrions également nous développer à l’international."