Mois national de la sécurité et de la résilience des infrastructures critiques
Le mois de novembre est le mois national de la sécurité et de la résilience des infrastructures critiques, et il n’y a pas de meilleur moment pour souligner l’importance de préserver la sécurité de l’une des infrastructures les plus critiques de notre pays : le secteur de l’énergie.
Bien que nous le considérions souvent comme acquis, notre mode de vie dépend de la sécurité et de la stabilité de l’industrie énergétique de notre pays. Des rapports récents de cyberattaques sur les infrastructures énergétiques dans le monde entier, y compris le réseau ukrainien et la centrale nucléaire en Allemagne, soulignent le risque auquel notre secteur de l’énergie est confronté : les violations pourraient entraîner non seulement le vol de données, mais également des dommages physiques.
Notre infrastructure énergétique américaine est particulièrement dangereuse. D’une part, la majeure partie de notre réseau repose toujours sur des technologies obsolètes. L’American Society of Civil Engineers a rapporté que 70 % des lignes de transmission de notre pays datent de plus de 25 ans. D’un autre côté, la technologie transforme le fonctionnement de l’ensemble du secteur de l’énergie. Les appareils énergétiques de nos maisons et bâtiments, les contrôles des centrales électriques et les systèmes qui gèrent les pipelines pétroliers et gaziers sont de plus en plus connectés à Internet, souvent sans les mesures de sécurité nécessaires pour les sécuriser et les gérer. Plus de 89 000 systèmes de contrôle industriels sont accessibles publiquement en ligne, dont beaucoup ont des contrôles de sécurité minimes. En raison de la nature interconnectée du secteur de l’énergie et de la vitesse virale des réseaux sociaux, paralyser un seul de ces systèmes pourrait provoquer une panique publique et soulever des préoccupations concernant la résilience du réseau électrique.
Clé pour réduire les risques
La clé pour réduire ce risque réside dans la collaboration entre les entreprises énergétiques et les organisations gouvernementales qui s’étendent au-delà des limites de la North American Electric Reliability Corporation-Critical Infrastructure Protection (NERC-CIP). Heureusement, nous voyons des signes de l’ensemble du secteur qu’ils prennent les mesures nécessaires pour une collaboration internationale accrue.
Huit grandes entreprises internationales du secteur de l’énergie, dont Shell et Norwegian Statoil, se sont associées à l’organisme de certification du secteur DNV GL pour créer des directives de cybersécurité spécifiques au secteur. Plus précisément, ils créeront une pratique recommandée pour les systèmes d’automatisation et de contrôle industriels, qui pourrait devenir une norme de l’industrie en un an. Cette collaboration est un bon signe pour le secteur, et j’encourage davantage d’entreprises à s’impliquer dans cet effort.
Cependant, pour vraiment améliorer la cybersécurité, il doit y avoir un changement culturel plus large au sein des entreprises énergétiques, et ce changement doit commencer dans la salle de conférence. Les membres du conseil d’administration et les PDG doivent comprendre leur cyber-risque et ce qu’ils peuvent faire pour l’atténuer. Certains signes initiaux indiquent que cela se produit. Un rapport récent du World Energy Council, The Road to Resilience – Managing Cyber Risk, indique que les entreprises énergétiques reconnaissent de plus en plus les cyberattaques comme une menace essentielle pour leur entreprise.
Conclusion
Bien que ce changement culturel devrait commencer au sein d’une organisation, encore une fois, les entreprises et le gouvernement peuvent faire beaucoup pour réduire leurs cyber-risques en partageant des informations sur les menaces entre eux. De nombreuses attaques pourraient être évitées si les entreprises (et les agences gouvernementales) disposaient de directives sur les informations exactes qu’elles doivent partager et avec qui elles doivent partager ces informations. Cependant, les entreprises craignent souvent que des poursuites judiciaires soient prises à leur encontre si elles signalent une violation ; ou pire encore, les entreprises sont incapables de prendre des mesures avec les informations ou les indicateurs fournis en raison d’infrastructures et d’outils obsolètes. Il s’agit d’un problème que la prochaine administration devrait aborder pour favoriser une collaboration accrue entre le secteur public et le secteur privé.
Nous sommes à un moment critique, où notre réseau évolue rapidement et où de plus en plus d’appareils énergétiques connectés à Internet seront mis en ligne. En attendant, les industries pétrolière et gazière devraient dépenser 1,87 milliards USD chaque année en cybersécurité d’ici 2018—a , ce qui signifie qu’elles prennent la menace au sérieux. Mais les dépenses ne sont pas la réponse ultime. Au lieu de cela, une combinaison de collaboration et un changement dans notre culture pour nous engager à mettre à niveau les technologies obsolètes feront beaucoup plus pour améliorer notre sécurité.
À propos de l’auteur : en tant que directeur de la sécurité chez Tanium, Andre McGregor se concentre sur la cybersécurité. Il possède une connaissance approfondie des cybertechniques criminelles et de contre-intelligence utilisées pour attaquer les réseaux et infrastructures informatiques américains. Avant de rejoindre Tanium, Andre a occupé le poste d’agent spécial cyber du FBI à New York, puis a été promu agent spécial de supervision au siège du FBI. Au FBI, McGregor était l’agent technique principal et le principal intervenant en cas d’incident pour plusieurs intrusions informatiques à grande échelle. De plus, il a été à la fois le responsable de la cybersécurité du FBI auprès des Nations Unies et le responsable de la cybersécurité du FBI auprès du DHS US-CERT et de l’ICS-CERT. Avant le FBI, McGregor est allé à l’Université Brown, a commencé sa carrière chez Goldman Sachs, puis plus tard en tant que directeur informatique chez Advogent (Cardinal Health) dans toutes les opérations informatiques à l’échelle nationale. Pendant son temps libre, André est également consultant technique et du FBI pour M. Robot.
