Les priorités de résilience organisationnelle des infrastructures critiques présentent des différences significatives : la gestion des correctifs expose l'écart entre les secteurs.

Différence significative dans les priorités de résilience des organisations d'infrastructures critiques : la gestion des correctifs révèle le fossé entre secteurs

Introduction

L'un des plus grands défis auxquels sont confrontés les responsables de la sécurité est la difficulté à évaluer avec précision la position de leur propre posture de sécurité par rapport à leurs pairs. Le troisième rapport annuel de recherche des CISO publié par Onyxia Cyber, intitulé « Fossé sectoriel : les priorités de résilience des responsables de la sécurité à travers les secteurs », révèle une réalité alarmante : les organisations d'infrastructures critiques mettent beaucoup plus de temps à appliquer les correctifs et à répondre aux vulnérabilités que les autres secteurs, et cette différence est exploitée par les attaquants. Basé sur une enquête menée auprès de CISO de plusieurs secteurs, le rapport montre comment la tolérance au risque de différentes industries conduit à une divergence significative des stratégies de sécurité.

Aperçu de l'événement

• Date : 21 juillet 2026
• Organisme de publication : Onyxia Cyber (éditeur de sécurité, fournissant des rapports de recherche sur les CISO)
• Principale découverte : Seulement 31,3 % des organisations d'infrastructures critiques parviennent à corriger les vulnérabilités critiques dans les trois jours suivant leur découverte, tandis que dans d'autres secteurs (comme la finance et la technologie), ce pourcentage est presque le double (environ 60 %).
• Contexte : Les organisations d'infrastructures critiques sont confrontées à des contraintes opérationnelles uniques, telles que les exigences de disponibilité des systèmes OT, des fenêtres de changement plus longues et le vieillissement des actifs, ce qui entraîne des retards dans le déploiement des correctifs.
• Nom complet du rapport : 《Industry Divides: Uncovering the CISO's Resilience Priorities Across Sectors》

Analyse technique et des risques

Méthode d'attaque : Le retard dans la gestion des correctifs augmente directement le risque de ransomwares et d'attaques exploitant des vulnérabilités connues. Les attaquants scannent généralement en priorité les CVE non corrigées dans les infrastructures critiques (par exemple Log4Shell, ProxyLogon, etc.), car une fois ces organisations compromises, l'impact de l'interruption des activités est énorme et la volonté de payer une rançon est plus élevée.

Chaîne d'exploitation : Les attaquants identifient les systèmes non corrigés largement utilisés dans les infrastructures critiques via des bases de données de vulnérabilités publiques, obtiennent un accès initial (par hameçonnage, vulnérabilité VPN, etc.) au réseau, puis se déplacent latéralement vers des actifs critiques (comme SCADA, contrôleurs industriels) pour finalement déployer un ransomware ou voler des données.

• Actifs affectés :
• Systèmes d'extrémité : Actifs OT obsolètes et systèmes IT non corrigés à temps.
• Systèmes d'identité : Active Directory, comptes privilégiés.
• Environnements cloud : Mais les infrastructures critiques dépendent davantage des architectures locales et OT.
• Systèmes OT : Automates programmables (PLC), interfaces homme-machine (HMI), systèmes de contrôle industriels (ICS).

Analyse de l'impact sur les entreprises

• Du point de vue de l'entreprise, l'impact d'un retard dans la gestion des correctifs est multidimensionnel :- Risques opérationnels : La correction des vulnérabilités nécessite des temps d'arrêt, mais ces arrêts eux-mêmes entraînent des pertes de productivité et des problèmes de conformité en matière de sécurité pour les infrastructures critiques (électricité, eau, fabrication). Un retard dans l'application des correctifs peut exposer à des attaques, provoquant des interruptions plus longues.
• Risques financiers : Une attaque de ransomware réussie entraîne en moyenne des pertes directes de plusieurs millions de dollars, incluant rançons, coûts de restauration et amendes réglementaires.
• Risques de conformité : Des cadres comme les directives de la CISA américaine, la NERC CIP, la NIS2 européenne exigent une correction rapide des vulnérabilités critiques. Le non-respect peut entraîner des sanctions juridiques.
• Risques de marque : Les interruptions de services d'infrastructures critiques suscitent la méfiance du public et un examen réglementaire.
• Risques de données : Même si les systèmes OT ne sont pas les principaux stockages de données, les attaquants peuvent voler des données clients ou opérationnelles via les connexions IT/OT.

Observations sur les tendances du secteur

Cet incident n'est pas isolé, mais reflète des tendances sectorielles plus profondes :

1. Écart dans les pratiques de gestion des correctifs : Les organisations d'infrastructures critiques, en raison de leurs exigences de continuité opérationnelle, ne peuvent souvent pas déployer les correctifs aussi rapidement que les secteurs financier ou technologique. Cet écart se creuse, plutôt que de se réduire. 2. Divergence des tolérances au risque : Le rapport indique qu'un niveau de risque considéré comme inacceptable dans un secteur peut être tacitement accepté dans un autre. Ce « biais de normalisation » rend difficile l'établissement de références intersectorielles. 3. Augmentation des attaques par IA : Les attaquants utilisent des outils d'IA pour automatiser l'analyse et l'exploitation des vulnérabilités, aggravant les risques de retard de correctifs. 4. Renforcement de la protection des infrastructures critiques : Les gouvernements augmentent la réglementation des infrastructures critiques, mais l'exécution sur le terrain reste lacunaire. 5. Zéro confiance et visibilité des actifs : De plus en plus de RSSI réalisent que la gestion des correctifs n'est qu'une partie de la résilience, qui doit être combinée avec la segmentation réseau, la surveillance continue et la réponse aux incidents.

Recommandations défensives et de réponse

Compte tenu des spécificités des organisations d'infrastructures critiques, il est recommandé d'adopter une stratégie de défense en couches :

• Au niveau de l'entreprise :
• Sécurité des identités : Déployer l'authentification multifacteur (MFA) sur tous les points d'accès, en particulier l'accès à distance et les services gérés.
• Architecture zéro confiance : Appliquer le principe « ne jamais faire confiance, toujours vérifier », avec une micro-segmentation des réseaux IT et OT.
• Gestion des vulnérabilités : Établir des priorités de correctifs basées sur le risque, utiliser des correctifs virtuels ou des contrôles compensatoires pour les vulnérabilités critiques, et activer la détection d'intrusion et l'isolement des actifs en cas d'impossibilité de correction immédiate.

• Au niveau technique :
• SIEM/SOAR : Intégrer le renseignement sur les menaces OT pour corréler automatiquement les événements anormaux.
• EDR/XDR : Déployer la détection des points de terminaison dans les environnements IT et OT, tout en veillant à la compatibilité avec les systèmes de production.
• Abonnement au renseignement sur les menaces : Utiliser les renseignements d'organisations comme la CISA, l'ISAC, pour connaître les exploitations actives de vulnérabilités.Niveau de gestion :
• Plan de réponse aux incidents : Élaborer des procédures spécifiques pour l'environnement OT, y compris les procédures d'isolement physique et le démarrage des systèmes de secours.
• Gestion des risques tiers : Évaluer le niveau de sécurité des fournisseurs et des services gérés, clarifier les responsabilités en matière de correctifs.
• Gouvernance de la cybersécurité : Intégrer la maturité des correctifs dans les indicateurs au niveau du conseil d'administration, promouvoir le soutien des départements métiers aux investissements en sécurité.

SecurityPost Insight

Le rapport d'Onyxia Cyber révèle un fait essentiel : le retard des organisations d'infrastructures critiques dans la gestion des correctifs n'est pas dû à un manque de capacités techniques, mais à un compromis opérationnel et culturel. Cependant, ce « risque acceptable » devient inacceptable avec l'augmentation des attaques soutenues par des États. Des organismes comme la CISA et l'ENISA ont averti à plusieurs reprises que les infrastructures critiques sont devenues le front de la cyberguerre.

Enseignements pour la sécurité des entreprises : On ne peut pas mesurer son propre niveau de sécurité uniquement par rapport aux moyennes sectorielles. Les organisations d'infrastructures critiques devraient établir des références de résilience spécifiques à leur secteur et utiliser activement des contrôles compensatoires (comme la segmentation réseau, la chasse aux menaces proactive) pour pallier les retards de correctifs. De plus, partager les renseignements sur les menaces et les meilleures pratiques avec les pairs (par exemple via les ISAC) contribuera à réduire les écarts de sécurité.

Tendances futures : On s'attend à l'émergence de davantage d'outils d'exploitation automatisés ciblant les infrastructures critiques, ainsi qu'à des exigences réglementaires plus strictes en matière de délais de correction. Les responsables de la sécurité doivent faire passer la gestion des correctifs d'un projet informatique à un pilier de la continuité des activités, sous peine de faire face à des risques et des coûts croissants.