Alors que les Nations Unies célèbrent ce vendredi leur Journée mondiale de l'eau , organisée chaque année pour sensibiliser le public aux enjeux mondiaux liés à l'eau, les autorités américaines mettent en garde contre une vague de cyberattaques visant les réseaux d'approvisionnement en eau et de traitement des eaux usées à travers le pays, ravivant ainsi les inquiétudes quant à la vulnérabilité de ce secteur souvent négligé et sous-financé.
Une réunion extraordinaire des adjoints chargés de la sécurité intérieure des États, qui s'est tenue jeudi, une lettre conjointe de la Maison Blanche et de l'Agence de protection de l'environnement (EPA) publiée mardi sur le site , ainsi qu'une audition du Comité de la sécurité intérieure du Congrès () en janvier ont toutes souligné la nécessité de renforcer la cyberdéfense du secteur de l'eau. Cela fait suite aux conclusions des enquêteurs, qui ont attribué en novembre une série d'attaques à des pirates informatiques soutenus par l'Iran, et aux déclarations du FBI faisant état de menaces persistantes en provenance de Chine.
Pour un élément aussi essentiel de notre infrastructure, les mesures de protection sont cruellement insuffisantes.
« Les réseaux d’eau potable et d’assainissement constituent une cible de choix », ont écrit Michael Regan, administrateur de l’EPA, et Jake Sullivan, conseiller à la sécurité nationale, dans la lettre adressée aux gouverneurs des États pour les alerter sur les cyberattaques iraniennes et les éventuelles attaques futures menées par un groupe soutenu par la Chine. Dans un trop grand nombre d'installations de distribution d'eau, ont-ils écrit, « même les mesures de cybersécurité élémentaires » ne sont pas mises en place, ce qui « peut faire la différence entre un fonctionnement normal et une cyberattaque perturbatrice ».
Examinons les derniers chiffres :
- 150 000 – Le nombre de services des eaux qui fournissent de l'eau potable et desservent (avec 16 000 réseaux publics d'assainissement) jusqu'à 90 % des Américains (EPA, CISA)
- Moins de 25 % – Pourcentage des exploitants de réseaux d'eau et d'assainissement qui réalisent des évaluations annuelles des risques liés à la cybersécurité (EPA)
- 25 % – Pourcentage estimé des réseaux d'approvisionnement en eau mondiaux qui auront probablement subi une faille de cybersécurité d'ici 2025. (GHD)
- 98 % – Pourcentage de cyberattaques qui pourraient être évitées ou atténuées grâce à des mesures élémentaires de cybersécurité (EPA)
Compte tenu de ces statistiques qui donnent à réfléchir, nous vous proposons ici un guide concis sur la cybersécurité dans le secteur de l’eau, comprenant un tour d’horizon des dernières attaques et des auditions parlementaires, ainsi qu’une multitude de conseils et de ressources issus des dossiers du point focal de l’ , .
[À lire également : Qu'est-ce que la cyber-résilience ?] (s'ouvre dans un nouvel onglet)
En matière d'eau (et d'eaux usées) : pirates informatiques et auditions
Le mois dernier, l' , aux États-Unis, a imposé des sanctions à six responsables iraniens liés à un groupe de pirates informatiques qui avait pris pour cible plusieurs services des eaux américains à l'automne dernier, notamment l'autorité municipale des eaux d'Aliquippa, en Pennsylvanie. À, des pirates informatiques ont désactivé les capteurs numériques de pression d'eau, obligeant les responsables de l'usine à passer en mode manuel. Même si l'approvisionnement s'est poursuivi sans interruption et que la qualité de l'eau est restée sûre, on l'a échappé belle, d'autant plus que de nombreux services des eaux ne disposent pas de tels dispositifs de commande manuelle.
«Le secteur de l’eau, et en particulier celui du traitement des eaux usées, n’est pas un domaine très prestigieux. »Rick Jeffares, président de l'Association pour l'approvisionnement en eau des zones rurales de Géorgie
En janvier, Veolia North America, qui gère les réseaux d’eau et d’assainissement de 200 collectivités aux États-Unis, a signalé une attaque par ransomware visant sa division chargée de l’eau municipale, qui a affecté certaines de ses applications logicielles de facturation et pourrait avoir exposé les données personnelles d’un « nombre limité » de personnes.
Tous ces enjeux étaient au cœur des débats lors d’une récente audition intitulée « » ( ) organisée par la commission de l’Énergie et du Commerce de la Chambre des représentants, au cours de laquelle des responsables d’associations professionnelles ont exhorté le Congrès à adopter une législation ou à accorder des financements afin d’aider les services des eaux à bénéficier de formations en cybersécurité et de mises à jour logicielles. Les textes législatifs antérieurs, tels que la loi n° 2002’s sur le bioterrorisme et la loi n° 2018’s sur les infrastructures hydrauliques, prévoyaient des financements pour recenser les vulnérabilités, mais peu de mesures pour y remédier. « Bon, nous avons identifié un problème : où sont les ressources nécessaires pour le résoudre ? », a déclaré Cathy Tucker-Vogel, responsable de la section de l’approvisionnement public en eau au ministère de la Santé et de l’Environnement du Kansas, et ancienne présidente de l’Association des administrateurs d’État chargés de l’eau potable.
[À lire également : Pourquoi les cybercriminels s'attaquent aux petits services publics]
Depuis l'audience, l'American Water Works Association, une association professionnelle comptant quelque 50 000 membres, a rencontré des décideurs politiques afin de les inciter à approuver un modèle réglementaire collaboratif conçu par des experts du secteur de l'eau, qui serait supervisé par l'EPA. Plutôt qu’une réglementation uniforme, cela permettrait de mettre en place un cadre à plusieurs niveaux, tenant compte de la diversité (et des capacités) des services des eaux, souligne Kevin M. Morley, responsable des relations fédérales à l’AWWA, dans un entretien exclusif accordé à « Focal Point ».
« [Nous avons besoin] d’exigences raisonnables en matière de cybersécurité, axées sur des solutions concrètes, protectrices et applicables », déclare Morley. « Nous espérons qu’un projet de loi sera présenté dans les mois à venir. »
Les enjeux ne pourraient être plus importants – et c’est à une main-d’œuvre vieillissante qu’il revient de les relever.
« Quand j’achète un nouveau téléphone portable, je dois demander à ma petite-fille de me l’installer », a admis Rick Jeffares, président de l’Association pour l’approvisionnement en eau des zones rurales de Géorgie, lors de son témoignage devant le Congrès. Ce n’est pas que tous les employés des services des eaux soient déconcertés par leurs technologies, mais on ne peut nier que le personnel de ces services vieillit. « L'âge moyen d'un opérateur du secteur de l'eau en Géorgie est de 58 ans », a déclaré M. Jeffares. Par ailleurs, dans l'ensemble du secteur de l'eau aux États-Unis, les salariés ont tendance à être plus âgés que dans d'autres secteurs, et des milliers d'entre eux seront en âge de prendre leur retraite dans les années à venir, selon un rapport de l'EPA datant de 2020 .
Ce problème démographique sous-jacent limite considérablement la marge de manœuvre politique. De plus, les budgets restreints limitent la possibilité d'offrir des salaires compétitifs susceptibles d'attirer de nouveaux talents.
Et puis, bien sûr, il y a le côté dégoûtant.
« Le secteur de l’eau, et en particulier celui du traitement des eaux usées, n’est pas un domaine très prestigieux », a reconnu M. Jeffares.
Ces problèmes de recrutement flagrants ont incité la NRWA à s'associer au ministère américain du Travail dans le cadre d'un programme d'apprentissage. La prochaine génération de professionnels du secteur de l'eau sera sans aucun doute plus à l'aise avec le numérique, mais d'ici là, il est essentiel de s'engager à mettre en place des programmes de formation complets et à respecter les bonnes pratiques en matière de cybersécurité , a-t-il insisté.
The IT and OT of H2O
L'eau devient de plus en plus high-tech d'heure en heure. La convergence des technologies de l'information (TI) et des technologies opérationnelles (TO) a permis au personnel des services publics, dont les effectifs sont en baisse, d'exploiter à distance des infrastructures critiques . L' , grâce à l'automatisation, a ainsi sauvé le secteur, mais le rend également de plus en plus vulnérable aux cyberattaques.
«Les services des eaux sont enlisés dans un « canyon numérique ». »Kevin M. Morley, responsable des relations avec les autorités fédérales, AWWA
Les services des eaux sont désormais souvent gérés par des systèmes de télésurveillance, qui utilisent des logiciels, du matériel informatique et des réseaux de données pour contrôler les pompes, les vannes, les capteurs ainsi que les processus de distribution et de traitement. Les pirates informatiques peuvent détourner ces composants pour, par exemple, mettre hors service des pompes qui alimentent le réseau d’eau potable (comme cela s’est produit à Aliquippa en novembre) ou contaminer les réserves d’eau (comme lors de la tristement célèbre attaque « 2021 » contre une station d’épuration à Oldsmar, en Floride, où un pirate informatique non encore identifié a modifié la concentration d’hydroxyde de sodium – également appelé soude caustique – ; cet incident a été rapidement détecté et corrigé par le personnel vigilant de la station, mais il suscite de vives inquiétudes chez les experts en cybersécurité).
Ces actifs matériels posent des défis d'ordre fiscal.
« Les services des eaux sont enlisés dans un canyon numérique », a déclaré M. Morley lors de son témoignage devant le Congrès. Il a expliqué que l'OT, qui gère les pompes et les moteurs, s'est révélé « incapable de suivre le rythme des avancées des systèmes d'entreprise, qui passent à de nouvelles versions à un rythme bien plus rapide ».
Les autorités chargées de la gestion de l'eau doivent mettre en œuvre des outils complets de gestion des terminaux afin d'améliorer la visibilité sur l' , l'application des correctifs les mises à jour, ainsi que la conformité réglementaire . Dans certains cas, a ajouté M. Morley, les équipements OT obsolètes nécessiteront un projet d'investissement de type « démantèlement et remplacement », dont le coût sera alourdi par la nécessité de maintenir ces installations en service pendant la durée des travaux de modernisation.
L’eau en tant que service : une nouvelle solution commerciale (et controversée)
Ces dernières années, quelques États (l'Indiana, le Missouri, la Californie, le New Jersey et le Tennessee) ont adopté des lois visant à renforcer les mesures de cybersécurité des réseaux d'approvisionnement en eau. Dans d’autres États (Pennsylvanie, Maryland), les projets de loi relatifs à la « » ont échoué lorsque les projets de loi soutenus par des sociétés privées de distribution d’eau ont suscité une vive opposition de la part des autorités publiques chargées de l’eau, qui ont affirmé que ces projets ne constituaient que des tentatives à peine voilées de favoriser la privatisation, ce qui imposerait inévitablement des tarifs plus élevés aux consommateurs.
Même si cela est peut-être vrai, l'ampleur et la portée considérables de ce problème laissent penser qu'une solution combinant des initiatives publiques et privées pourrait s'avérer nécessaire. Et les systèmes d'approvisionnement en eau autonomes suscitent de plus en plus d'intérêt.
C'est ce qu'affirme Riggs Eckelberry, PDG d'OriginClear, qui souhaite créer un « Airbnb de l'eau » performant et rentable, en privatisant le traitement de l'eau et en le finançant grâce à des rentes liées à l'eau, adossées à des actifs et à haut rendement. M. Eckelberry s'est exprimé l'année dernière dans le podcast « Let’s Converge » ( Let’s Converge), , qui accompagne le site « » de Focal Point, . Ses points de vue semblent d'autant plus pertinents dans le contexte actuel, marqué par un sentiment d'urgence accru.
« En 2016, quand j’ai commencé à parler de la gestion décentralisée de l’eau, les gens me regardaient d’un air perplexe en disant : “Hein ?” « Quoi ? » se souvient M. Eckelberry. « Aujourd’hui, les gens commencent à comprendre. » « De plus en plus de gens prennent conscience que l'autonomie revêt une importance capitale. »
En tant que président et directeur des opérations de la société de logiciels de sécurité CyberDefender, M. Eckelberry a mené l'entreprise à son introduction en bourse sur le NASDAQ. Il se montre désormais optimiste quant au concept de « l'eau en tant que service », ou « l'eau à la demande », qui permet aux complexes résidentiels et aux entreprises, en particulier aux petites entreprises, de traiter elles-mêmes leur eau. C'est cette mentalité high-tech axée sur la disruption qui explique pourquoi « Airbnb a supplanté les hôtels et Uber les taxis », affirme-t-il. « Et cela va se passer dans l'eau. »
[Pour en savoir plus : Épisode 5 : La vérité sur les pirates informatiques et (oui) vos toilettes]
En quoi les mots de passe et les bonnes pratiques de cybersécurité peuvent-ils contribuer à la sécurité des réseaux d'eau et d'assainissement ?
Des failles élémentaires, telles que une sécurité insuffisante des mots de passe et des systèmes d'exploitation obsolètes, ont joué un rôle dans bon nombre de ces attaques. À Aliquippa, les enquêteurs de la CISA ont découvert que le service des eaux utilisait toujours un logiciel dont le mot de passe par défaut, fourni par le fabricant, était « “1111” ».
C'est le moment de se prendre la tête dans les mains.
Cela rappelle à juste titre aux dirigeants d'entreprise, où qu'ils se trouvent, qu'on ne soulignera jamais assez l'importance des règles élémentaires de cybersécurité.
Certes, ce n’est pas uniquement un problème lié aux salariés. Les travailleurs prennent des raccourcis pour une bonne raison. Les procédures de connexion fastidieuses et autres procédures réseau incitent le personnel à recourir à des solutions de contournement. La solution ? Les dirigeants d'entreprise doivent améliorer l'expérience numérique de leurs collaborateurs , une stratégie susceptible de contribuer à maintenir la productivité d'un effectif hybride et à alléger la charge de travail du service informatique.
Mais revenons-en aux mots de passe… Il est essentiel de trouver le juste équilibre entre sécurité et facilité d'utilisation. Découvrez ces quatre idées reçues sur les mots de passe qu'il convient de démystifier.
[Lire la suite : Les experts de Tanium démystifient les idées reçues sur les mots de passe]
Financement des réseaux d'eau et d'assainissement : les astuces pour y parvenir
, responsable du dossier, a présenté les principes fondamentaux permettant de solliciter une partie des 1 milliard de dollars alloués au cadre du programme de subventions pour la cybersécurité au niveau des collectivités locales et de l’État, dans un article de fond publié sur in 2022 , ainsi que dans un épisode du podcast « Let’s Converge » de l’année dernière. La concurrence pour l'obtention d'un financement pour la troisième année s'annonce de plus en plus rude ; les professionnels du secteur de l'eau devraient donc commencer à s'y préparer dès maintenant. L'ouverture de canaux de communication avec les responsables du département constitue une bonne première étape.
Pour obtenir davantage de conseils sur la manière d'aborder le processus de candidature, ainsi qu'une analyse du déroulement du programme jusqu'à présent, consultez notre point sur le SLCGP publié en janvier.
Pour signaler un incident :
Toutes les organisations doivent signaler tout incident de cybersécurité, avéré ou présumé, à…
- CISA – Pour le Centre des opérations 07/12 de l'agence, veuillez envoyer un e-mail à , report@cisa.govou , ou appeler le 888-282-0870.
- FBI – . Contactez le bureau local du FBI le plus proche de chez vous : , , ou transmettez vos informations à , tips.fbi.gov,.
Pour plus de ressources sur la cybersécurité dans le secteur de l'eau et des eaux usées
M. Eric Goldstein, directeur adjoint chargé de la cybersécurité à la CISA, qualifie le secteur de l'eau et des eaux usées de « riche en cibles, mais pauvre en cybersécurité ». C'est vrai… pour l'instant. Mais il existe toute une série de ressources et d'outils qui peuvent vous aider à redresser la situation. Prenez l'un des exemples suivants :
Agence de protection de l'environnement (EPA)
- Évaluation de la cybersécurité et assistance technique – L'EPA propose des évaluations de cybersécurité et une assistance technique gratuites et confidentielles, en partenariat avec Horsley Witten Group, un cabinet de conseil en ingénierie et en environnement.
- d’un exercice de simulation sur la cybersécurité (TTX) – Ce guide détaillé explique comment les services de distribution d’eau et de traitement des eaux usées peuvent concevoir leur propre exercice de simulation.
- Liste de contrôle des mesures à prendre en cas d’incident de cybersécurité – Avant toute chose, un plan d’intervention en cas d’incident solide comme le roc exige de la rapidité. C'est précisément ce que propose ce PDF : conçu pour « une utilisation pratique lors de vos déplacements », il divise les instructions en trois sections « prêtes à l'emploi » destinées à être utilisées en cas de cyberincidents touchant les installations de distribution d'eau et de traitement des eaux usées. Vous disposez même d'un espace pour ajouter vos propres notes et vos coordonnées. (Vous trouverez également des listes de contrôle relatives à l'eau et aux eaux usées en cas d'incendies de forêt, d'inondations, de tornades et d'autres situations d'urgence sur le site , à l'adresse suivante :.)
- Bonnes pratiques en matière de cybersécurité pour le secteur de l'eau – Cette galerie propose une multitude d'informations et de liens vers des ressources consacrées à l'eau et aux eaux usées, qui traitent notamment du financement, de la formation et de la planification en matière de cybersécurité.
Agence pour la cybersécurité et la sécurité des infrastructures (CISA)
- Centre de ressources sur la cybersécurité dans le secteur de l'eau et des eaux usées – Cette liste de liens fournit des informations actualisées sur les possibilités de financement, ainsi que les dernières informations concernant le ransomware « », les tentatives de hameçonnage « » et d'autres problèmes.
- Guide d'intervention en cas d'incident dans le secteur de l'eau et des eaux usées – Publié en janvier en collaboration avec le FBI et l'EPA, ce nouveau guide explicatif complet accompagne les exploitants des réseaux d'eau et d'assainissement à travers les quatre étapes de la gestion des incidents. Mieux encore, il est rédigé dans un langage accessible à tous : aucune connaissance technique n'est requise.
- Objectifs de performance en matière de cybersécurité – Un ensemble de mesures de protection intersectorielles destinées aux entités gérant des infrastructures critiques, qu’elles soient de grande ou de petite taille, visant à réduire la probabilité et l’impact des cybermenaces. Il comprend un ensemble de référence de bonnes pratiques en matière de cybersécurité ainsi qu'un outil d'évaluation permettant de mesurer et d'améliorer la maturité en matière de cybersécurité.
- de détection des vulnérabilités « Cyber Hygiene » – Proposé gratuitement pour tout système enregistré, ce service en grande partie automatisé effectue des analyses hebdomadaires et génère des rapports, mettant en évidence les configurations non sécurisées et les vulnérabilités connues.
Institut national des normes et de la technologie (NIST)
- Centre de ressources sur la sécurité informatique (s'ouvre dans un nouvel onglet) – Il s'agit du site principal, qui propose des informations et des liens vers les projets, publications, actualités et événements du NIST en matière de cybersécurité, ainsi qu'un glossaire des termes (vous en aurez besoin).
- Le cadre de cybersécurité du NIST (CSF) 2,0 (s'ouvre dans un nouvel onglet) – Cette dernière version, publiée le mois dernier, propose des instructions complètes et des ressources complémentaires destinées à aider les organisations à comprendre, évaluer, hiérarchiser et communiquer les risques liés à la cybersécurité. Le cadre du NIST sert de référence aux objectifs de performance en matière de cybersécurité (CPG) de la CISA et s'adresse aux entreprises de tous les secteurs d'activité.
- Contrôles de sécurité et de confidentialité pour les systèmes d'information et les organisations (s'ouvre dans un nouvel onglet) – Une publication consacrée à la sécurité proposant les dernières mises à jour, des modèles, des feuilles de calcul et d'autres ressources conçues pour vous offrir un plan personnalisable de gestion des risques.
Association américaine des services d'eau (AWWA)
- Cybersecurity and Guidance homepage (opens in a new tab) – An online cyber resource center with a wealth of info for water systems, including the AWWA’s Cybersecurity Guidance and Assessment Tool: First issued in 2014, this regularly updated interactive tool asks utilities questions about the specific tech they use, and generates a customized, prioritized list of controls.
- Guide de gestion des risques liés à la cybersécurité dans le secteur de l'eau pour les petits réseaux (s'ouvre dans un nouvel onglet) – Élaboré en partenariat avec le ministère américain de l'Agriculture, ce « guide de démarrage » aide les petits services publics ruraux à évaluer et à mettre en œuvre les meilleures pratiques en matière de cybersécurité.
- Proposition de cadre réglementaire (s'ouvre dans un nouvel onglet) – L'AWWA a plaidé en faveur d'un cadre réglementaire similaire à celui du secteur de l'électricité, dans lequel un organisme regroupant les services des eaux élaborerait des normes qui seraient supervisées et contrôlées par l'EPA.
