Tout commence avec un bon partenaire.
Church & Dwight est une entreprise de produits de grande consommation et un
leader mondial dans les domaines des produits d’entretien et d’hygiène-beauté.
Nous sommes une entreprise qui connaît l’importance des personnes et de la diversité.
Church & Dwight regroupe 14 marques phares appréciées des consommateurs, notamment
le bicarbonate de soude Arm and Hammer™, le bain de bouche Therabreath, ou encore
les porte-fil dentaires et brosses à dents Mighty Patch™ et WaterPik®.
Je m’appelle David Ortiz et je suis le responsable de la sécurité de l’information pour
Church & Dwight.
Je suis responsable de la protection de notre entreprise et de ses employés, et
je veille à ce que la cybersécurité soit intégrée à tous les aspects de notre activité.
Ainsi, la cybersécurité est présente dès la conception et nous aidons notre personnel
à rester vigilant face aux cybermenaces.
Nous nous soucions de nos clients, de la qualité de nos produits,
et de notre personnel.
Church & Dwight était confronté à des défis et à la nécessité
d’avoir une meilleure visibilité sur les cyberrisques dans la fabrication.
Nous avons travaillé dur pour évaluer tous nos sites de fabrication pendant
la pandémie et pour comprendre les vulnérabilités de nos
actifs de fabrication, ainsi que les menaces potentielles contre notre
réseau.
La principale raison pour laquelle les environnements OT sont ciblés ces derniers
temps et constituent d’ailleurs le secteur numéro un à être
ciblé actuellement, en particulier par des rançonlogiciels, est le fait que
la sécurité a été pensée a posteriori dans les technologies de la production.
C’est seulement à partir de 2017, après les attaques Wannacry et NotPetya,
que les entreprises industrielles se sont intéressées à la cybersécurité OT et ont
commencé à investir dans celle-ci.
De nombreux actifs obsolètes côté OT de cette
infrastructure pourraient avoir 20 ans d’ancienneté.
Ils n’ont été conçus que pour accomplir une seule tâche.
Ils n’intégraient donc pas la sécurité.
Le plus grand défi auquel Church & Dwight était confronté est le même
que celui dont parlent presque tous les clients.
J’ai rencontré David Ortiz, le responsable de la sécurité
de l’information il y a près de trois ans, et il m’a posé la même question que
de nombreux clients, à savoir « Mark, je dois lancer
un programme de cybersécurité OT et je ne sais pas par où commencer. »
C’est très, très fréquent.
Nous avons eu une discussion franche et je lui ai donné quelques pistes, quelques
bonnes pratiques et nous avons décidé de poursuivre la discussion.
Les éléments de la solution pour Church & Dwight ont commencé par
ce que nous appelons les évaluations de la sécurité de base.
Nous avons visité tous leurs sites avec notre équipe spécialiste
de la cybersécurité OT.
Nous les avons aidés à identifier les risques et, plus important encore, à
élaborer des stratégies de correction pour remédier à ces risques.
Nous avons choisi Rockwell.
Après avoir passé en revue d’autres partenaires potentiels, j’ai pensé que
la connaissance qu’a Rockwell de la fabrication et de la cybersécurité,
et le fait que Church & Dwight est un client de Rockwell
dans le domaine de la fabrication leur a donné une longueur d’avance,
tout comme leur approche intelligente en matière d’efficacité des opérations de production.
Rockwell Automation est connu comme une entreprise industrielle qui existe depuis
120 ans et fournit aux clients des composants de système de commande
pour machines et pour d’autres équipements de
ce type.
Nous sommes donc très spécialisés dans ce que nous appelons les technologies de la
production ou OT.
Il y a environ 12 ans, nous avons décidé de lancer une activité de services
de cybersécurité qui nous différenciait spécifiquement
avec cet ADN OT que nous proposons.
Nous savons qu’une mise à l’arrêt des ateliers n’est pas une option.
Nous sommes présents dans tous les secteurs. Dont l’agroalimentaire, qui est très
important pour nous, les PGC essentiels, tels que ceux de Church & Dwight.
L’automobile, les industries lourdes telles que la sidérurgie et l’exploitation
minière, le pétrole et le gaz, la chimie lourde et d’autres secteurs similaires.
Ils sont tous pertinents et sont totalement pris en charge par Rockwell Automation.
Donc, l’évaluation comprenait une revue de l’ensemble de nos
sites de fabrication mondiaux sans surcharger inutilement l’approche.
Nous voulions préserver le temps précieux de nos équipes
de fabrication et, pour ce faire, nous avons effectué des ateliers,
des évaluations et des sessions de questions-réponses en gardant à l’esprit
l’engagement de chacun en termes de temps.
Nous avons organisé des ateliers avec David Ortiz et son équipe pour parler de
la voie à suivre concernant les mesures correctives.
Et je crois que cela a vraiment donné à David l’occasion de quantifier le
risque et d’obtenir l’adhésion concernant les besoins
en termes d’investissement pour un programme de
cybersécurité OT plus global.
Cette démarche avec Church & Dwight a été un grand succès et,
maintenant, nous travaillons avec eux à l’utilisation de notre
centre des opérations de sécurité, en tant que fournisseur de services de sécurité gérés
externalisé pour David et pour l’entreprise.
David a accompli un excellent travail afin de promouvoir la nécessité d’un
programme de cybersécurité OT global.
Il a travaillé avec chacun des sites, avec les usines faisant
partie intégrante du programme, afin de les sensibiliser, car il est vraiment crucial
qu’un site comprenne pourquoi des personnes viennent
sur place pour déployer des contre-mesures, pour réaliser
des évaluations et autres actions de ce type. Ils doivent en effet être partie prenante
du processus.
David a accompli un travail formidable sur ce processus.
Il a également réalisé un excellent travail pour proposer une solution supérieure, ce
avec notre aide.
Nous avons fourni ces évaluations qui constituaient l’avis objectif
d’un tiers avec une quantification des risques, afin qu’il
puisse fournir une vue d’ensemble objective du risque encouru par l’entreprise
si elle ne mettait pas en place un programme de cybersécurité OT.
Les évaluations ont mis en évidence le besoin d’une solution capable
d’identifier toutes les anomalies du trafic réseau et
les vulnérabilités, avec la capacité de détecter les menaces.
Nous donnons la priorité absolue à la visibilité de notre réseau de fabrication.
Viennent ensuite les processus de réponse aux incidents et de
détection des vulnérabilités.
Par ailleurs, Rockwell a recommandé la détection des menaces.
Nous avons obtenu l’adhésion des parties prenantes en comprenant notre activité de fabrication,
en travaillant ensemble et en instaurant la confiance et le soutien, et en
expliquant en quoi l’investissement dans la cybersécurité peut protéger notre
activité des arrêt de production non planifiés.
Les résultats les plus importants sont un alignement avec notre activité de
fabrication, en renforçant notre partenariat avec Rockwell et
en étant capables d’agir rapidement si une anomalie vient à être
détectée sur notre réseau.
Je dirais, agissez maintenant, associez-vous à des leaders d’opinion, définissez
réellement le périmètre approprié, alignez-vous avec l’activité en termes de
résultats et introduisez la technologie uniquement après
avoir compris les besoins de l’entreprise.
Tout commence réellement avec le partenariat et David a été très
favorable à l’établissement d’un partenariat avec nous, en sachant que
ce serait une relation sur le très long terme. Jusqu’à présent,
cette relation a été extrêmement productive.