Mois national de la sécurité et de la résilience des infrastructures critiques
Novembre est le Mois national de la sécurité et de la résilience des infrastructures critiques, et c’est le moment idéal pour souligner l’importance d’assurer la sécurité de l’une des infrastructures les plus essentielles de notre pays : le secteur de l’énergie.
Même si nous le considérons souvent comme acquis, notre mode de vie dépend de la sécurité et de la stabilité du secteur énergétique de notre pays. Les récents rapports faisant état de cyberattaques contre des infrastructures énergétiques à travers le monde, notamment le réseau électrique ukrainien (s'ouvre dans un nouvel onglet) ainsi qu'une centrale nucléaire en Allemagne (s'ouvre dans un nouvel onglet), soulignent le risque auquel notre secteur énergétique est confronté : ces intrusions pourraient entraîner non seulement le vol de données, mais aussi des dommages matériels.
Nos infrastructures énergétiques américaines se trouvent dans une situation particulièrement critique. D'une part, l'essentiel de notre réseau électrique repose encore sur des technologies obsolètes. L'American Society of Civil Engineers a indiqué , selon un rapport publié sur (s'ouvre dans un nouvel onglet) , que 70 % des lignes de transport d'électricité de notre pays ont plus de 25 ans. D'autre part, la technologie transforme le fonctionnement de l'ensemble du secteur de l'énergie. Les appareils énergétiques de nos logements et bâtiments, les systèmes de contrôle des centrales électriques ainsi que les systèmes de gestion des oléoducs et des gazoducs sont de plus en plus connectés à Internet — souvent sans que les mesures de sécurité nécessaires aient été mises en place pour les protéger et les gérer. Plus de 89 000 systèmes de contrôle industriels sont accessibles au public en ligne, dont beaucoup ne disposent que de mesures de sécurité minimales. Compte tenu de l'interdépendance du secteur de l'énergie et de la rapidité fulgurante de la diffusion de l'information sur les réseaux sociaux, la mise hors service d'un seul de ces systèmes pourrait provoquer une panique générale et susciter des inquiétudes quant à la résilience du réseau électrique.
Un élément essentiel pour réduire les risques
La clé pour réduire ce risque réside dans une collaboration entre les entreprises du secteur de l'énergie et les organismes publics qui dépasse le cadre défini par la North American Electric Reliability Corporation - Critical Infrastructure Protection (NERC-CIP). Heureusement, on observe, dans l'ensemble du secteur, des signes indiquant que les acteurs prennent les mesures nécessaires pour renforcer la collaboration internationale.
Huit grandes entreprises énergétiques internationales, dont Shell et la société norvégienne Statoil, se sont associées à l'organisme de certification du secteur, DNV GL, afin d'élaborer des lignes directrices en matière de cybersécurité spécifiques à ce secteur. Plus précisément, ils élaboreront une recommandation relative aux systèmes d'automatisation et de contrôle industriels, qui pourrait devenir une norme sectorielle d'ici un an. Cette collaboration est de bon augure pour le secteur, et j'encourage davantage d'entreprises à s'associer à cette initiative.
Toutefois, pour améliorer véritablement la cybersécurité, un changement culturel plus profond doit s’opérer au sein des entreprises du secteur de l’énergie — et ce changement doit commencer au sein du conseil d’ boardroom (s’ouvre dans un nouvel onglet). Les membres du conseil d'administration et les PDG doivent comprendre les risques liés à la cybersécurité auxquels ils sont exposés et les mesures qu'ils peuvent prendre pour les atténuer. Certains signes précurseurs indiquent que c'est effectivement le cas. Un rapport récent du Conseil mondial de l'énergie, intitulé« »(
Conclusion
Même si ce changement culturel doit s'opérer au sein même d'une organisation, les entreprises et les pouvoirs publics peuvent, là encore, contribuer grandement à réduire leurs risques cybernétiques en partageant entre eux les informations relatives aux menaces. De nombreuses attaques pourraient être évitées si les entreprises (et les organismes publics) disposaient de directives précisant exactement quelles informations elles doivent partager et avec qui elles doivent les partager. Cependant, les entreprises craignent souvent de faire l'objet de poursuites judiciaires si elles signalent une violation ; pire encore, elles sont parfois incapables de donner suite aux informations ou aux indicateurs fournis en raison d'infrastructures et d'outils obsolètes. Il s'agit là d'une question que la prochaine administration devrait aborder afin de favoriser une collaboration accrue entre les secteurs public et privé.
Nous nous trouvons à un tournant décisif, où notre réseau électrique évolue rapidement et où de plus en plus d'appareils énergétiques connectés à Internet vont être mis en service. Meanwhile, the oil and gas industries are expected to spend $1,87 billion (opens in a new tab) on cybersecurity annually by 2018—a sign that they are taking the threat seriously. Mais les dépenses ne constituent pas la solution ultime. Au contraire, c'est en alliant la collaboration à une évolution de notre culture d'entreprise, afin de nous engager à moderniser les technologies obsolètes, que nous contribuerons bien davantage à renforcer notre sécurité.
À propos de l'auteur : En tant que directeur de la sécurité chez Tanium, Andre McGregor se consacre à la cybersécurité. Il possède une connaissance approfondie des techniques cybercriminelles et de contre-espionnage utilisées pour attaquer les réseaux informatiques et les infrastructures américaines. Avant de rejoindre Tanium, André a occupé le poste d'agent spécial chargé de la cybercriminalité au FBI à New York, avant d'être promu au poste d'agent spécial superviseur au siège du FBI. Au FBI, M. McGregor occupait le poste d'agent technique principal et était le responsable des interventions en cas d'incident pour plusieurs intrusions informatiques de grande envergure. Par ailleurs, il a occupé à la fois les fonctions de chargé de liaison du FBI pour les questions de cybersécurité auprès des Nations Unies et de chargé de liaison du FBI pour les questions de cybersécurité auprès du DHS, de l'US-CERT et de l'ICS-CERT. Avant de rejoindre le FBI, M. McGregor a étudié à l'université Brown, a débuté sa carrière chez Goldman Sachs, puis a occupé le poste de directeur informatique chez Advogent (Cardinal Health), où il supervisait l'ensemble des opérations informatiques à l'échelle nationale. Pendant son temps libre, André est également consultant technique et spécialiste du FBI pour la série « Mr. Robot ».
