Fin novembre, quelques jours seulement avant que la dinde de Thanksgiving ne soit servie à table, des pirates informatiques lanceront une attaque coordonnée contre le réseau électrique nord-américain. Ils cibleront les centrales électriques, les pylônes de transport d'électricité et les installations de distribution dans le cadre d'une démonstration de force qui privera des millions de foyers d'électricité et paralysera les infrastructures.
Le FBI, le ministère de la Sécurité intérieure et des dizaines de responsables de la sécurité des systèmes d'information (RSSI) au sein des principaux services publics auront du mal à réagir et à empêcher la propagation de cette attaque. Heureusement, ils seront en contact direct avec les assaillants et comprendront leurs motivations : ils veulent nous protéger.
Ce scénario d'attaque s'inscrit dans le cadre d'une initiative de grande envergure menée par la plus grande autorité de régulation des services publics du pays afin de tester la résilience de notre système énergétique — dans le but d'identifier ses points forts et d'évaluer ses faiblesses face à une attaque numérique ou physique. La North American Electric Reliability Corporation (NERC), l'organisme de surveillance du secteur, lancera cette simulation d'attaque contre des centaines de services publics les 16 et 17 novembre.
Les enjeux n'ont jamais été aussi importants. L'année dernière, les attaques par ransomware de type « » et les attaques visant la chaîne d'approvisionnement des réseaux de services publics ont plus que doublé, selon une étude du NERC intitulée « ». Au cours des deux années qui se sont écoulées depuis le dernier exercice du NERC, en 2019, une pandémie mondiale s'est déclarée. Les réseaux de services publics ont connu une croissance fulgurante dans le cadre du télétravail, et de nouvelles failles ont été créées pour les pirates informatiques, le nombre de terminaux des télétravailleurs ayant explosé.
Le NERC laisse aux entreprises de services publics le soin d'inviter les développeurs de logiciels à participer à l'exercice. Mais les services publics ne le font pas toujours, ce qui suscite des inquiétudes. Les récentes attaques informatiques visant la chaîne d'approvisionnement du fournisseur de logiciels , de Kaseya en juillet et de SolarWinds l'année dernière soulignent l'importance des fournisseurs de logiciels pour de nombreux secteurs, notamment les services publics, les agences fédérales et les infrastructures critiques du pays.
Les tests de sécurité des réseaux de services publics ne peuvent être menés à bien sans la participation des principaux acteurs de ces réseaux. C'est ce qu' ent des experts tels que Tim Conway, du SANS Institute, un organisme spécialisé dans la recherche et la formation en cybersécurité. M. Conway est directeur technique des programmes consacrés aux systèmes de contrôle industriel (ICS) et aux systèmes de contrôle de supervision et d'acquisition de données (SCADA) du SANS. « Les développeurs de logiciels jouent un rôle très important dans le monde réel en tant que partenaires de leurs clients pour assurer une défense et une détection continues des événements potentiellement malveillants », déclare-t-il. « Ils sont indispensables au bon fonctionnement de l'entreprise. »
De véritables signaux d'alarme
L'exercice de sécurité du réseau « » ( , ou GridEx), comme on appelle l'exercice du NERC, a lieu tous les deux ans depuis 2011. Lors du premier exercice, 24 entreprises de services publics y ont participé. Des intrus se sont introduits physiquement dans des sous-stations et des centres de contrôle de secours, où ils ont installé des logiciels malveillants qui ont perturbé des processus opérationnels essentiels. En 2019, des attaques physiques simulées menées contre 254 services publics participants ont démontré qu'elles pouvaient perturber l'approvisionnement en combustible, interrompre les systèmes de contrôle de l'énergie et causer des dommages aux installations de production, de transport et de distribution.
«Déterminer l’impact des failles logicielles sur les systèmes est un élément essentiel de la protection de nos réseaux. »Anne Marie Corbalis, responsable des relations avec les médias chez Consolidated Edison de New York
La simulation « 2019 » a été divisée en quatre parties. Dans un premier temps, le portail de partage des risques liés à la cybersécurité du NERC — l’Electricity Information Sharing and Analysis Center (E-ISAC) — a alerté les services publics d’une menace potentielle imminente pesant sur le réseau électrique. L'organisme a ensuite communiqué des informations concernant une campagne de logiciels malveillants visant les systèmes de contrôle, et le réseau a commencé à connaître un déficit de production.
L'impact maximal de l'attaque s'est produit au cours de la deuxième phase, provoquant une coupure d'électricité dans 5 millions de foyers et perturbant le fonctionnement des stations d'épuration. Au cours des deuxième et troisième phases, les services publics et le gouvernement ont mis en œuvre des plans d'intervention et coordonné les mesures à prendre pour neutraliser l'attaque. Les fournisseurs de systèmes de contrôle et de commande (ICS) ont publié un correctif logiciel nécessaire à la réparation des systèmes endommagés ; les services publics ont installé ces correctifs, et l'alimentation électrique du réseau a été rétablie.
Dans le test 2019 , il apparaît clairement que les services publics comptent sur les fournisseurs pour les aider à rétablir le réseau. Mais lors de cet exercice, seuls trois grands fournisseurs de la chaîne d'approvisionnement y ont participé. Et lors du précédent GridEx, en 2017, les services publics n'avaient invité aucun fournisseur. Dans son rapport « Leçons tirées » ( ) publié à la suite de l'exercice 2019 , le NERC a indiqué que certains services publics « ne disposaient pas des ressources nécessaires pour coordonner les interventions » face à l'attaque simulée et a conclu : « Il incombe aux organisations participantes d'inclure les partenaires de leur chaîne d'approvisionnement dans leurs plans d'intervention. »
À mesure que les services publics se sont numérisés et interconnectés, leurs surfaces d'attaque potentielles se sont élargies. Ces espaces accueillent de plus en plus d'acteurs tiers, tels que des développeurs de logiciels, dont les mises à jour de produits peuvent constituer une porte dérobée pour les pirates informatiques. La sécurité des services publics dépend de plus en plus des cyberdéfenses des entreprises avec lesquelles ils interagissent.
Stratégies pour toute l'année
Le NERC continue d'affirmer qu'il n'incombe pas à l'organisme de contrôle d'inviter les développeurs à participer au test. Bien que le NERC « encourage vivement » les entreprises de services publics à inclure les fournisseurs, il estime que « ce sont les participants eux-mêmes qui sont les mieux placés pour déterminer quels fournisseurs sont essentiels à leurs activités », explique Rachel Sherrard, porte-parole du NERC.
«La sécurité des services publics dépend de plus en plus des cyberdéfenses des entreprises avec lesquelles ils interagissent. »
Lors de l'exercice de cette année, précise M. Sherrard, le NERC autorisera certains fournisseurs à assister à la partie de l'exercice réservée aux cadres supérieurs du secteur et aux hauts responsables gouvernementaux. Cette partie réservée aux invités, connue sous le nom d’« Executive Tabletop », rassemble des PDG, des directeurs des opérations et des hauts responsables d’organismes tels que le DHS, le ministère de la Défense, le FBI et le Conseil de sécurité nationale de la Maison Blanche. Leur mission consiste à définir et à mettre en œuvre les « mesures de haut niveau » nécessaires au rétablissement du réseau après la cyberattaque simulée.
Ainsi, lors de l'exercice de cette année, certains fournisseurs y participeront à la demande du NERC, tandis que d'autres y seront présents à l'invitation de différents gestionnaires de réseau ; on ne sait pas encore exactement combien de fournisseurs y prendront part. Dans ces conditions, il est difficile d'imaginer comment la simulation pourrait reproduire fidèlement une cyberattaque réelle. Pour certains acteurs du secteur, cela ne suffit pas.
« Déterminer l’impact des failles logicielles sur les systèmes est un élément essentiel de la protection de nos réseaux », déclare Anne Marie Corbalis, responsable des relations avec les médias chez Consolidated Edison of New York.
Lorsque le NERC a lancé ces tests, l'ensemble des dispositifs mis en place par les entreprises de services publics, y compris les logiciels de cybersécurité, a été soumis à des essais dans le cadre de ces exercices. Aujourd’hui, les réseaux du secteur sont plus souples. À tout moment, divers tiers interviennent sur leurs plateformes en ligne, qu'il s'agisse de développeurs de logiciels ou de prestataires assurant des fonctions externalisées, telles que les ressources humaines, la finance et l'audit. Les réseaux de services publics ne restent pas immobiles, et tous ces éléments supplémentaires nécessitent une cybersécurité solide.
M. Conway estime que les services publics devraient recenser les développeurs qui jouent un rôle essentiel dans leurs dispositifs de sécurité et les inviter expressément à participer aux exercices GridEx. Cela permettra aux développeurs et aux autres fournisseurs d'identifier les vulnérabilités réelles et d'y remédier.
Les services publics doivent adopter une bonne hygiène informatique
Quelles que soient ses lacunes, l'intérêt de cette simulation biennale de cyberattaque ne fait aucun doute. Cependant, la nature dynamique des réseaux des services publics implique qu’il est tout aussi important d’assurer en permanence la surveillance, l’évaluation et la mise à niveau des cyberdéfenses.
L'une des recommandations formulées par le NERC à l'intention du secteur des services publics dans son rapport n° 2019 concerne la nécessité de disposer d'un plan d'intervention en cas d' soigneusement élaboré, élément essentiel à la et à la « cyber-hygiène » d'une organisation. Les services publics doivent se coordonner avec les autorités fédérales, régionales et provinciales en cas de cyberattaque grave.
[À lire également : Pourquoi les cybercriminels s'attaquent aux petits services publics]
Pendant la pandémie, la référence en matière de sécurité des interactions entre les terminaux a été le modèle « zéro confiance » d’ . Dans le cadre de cette approche, tout terminal, appareil ou utilisateur est considéré comme non fiable jusqu’à ce qu’il soit vérifié, et l’accès des collaborateurs est déterminé en fonction de l’identité de la personne qui en fait la demande, du contexte de la demande et du risque pour le réseau.
D'autres pratiques de cyberhygiène contribuent également grandement à renforcer les défenses. Il s'agit notamment de :
- Inventaire de tous les terminaux Le suivi de tous les actifs — ordinateurs portables, PC, tablettes, voire machines virtuelles dans le cloud — vous permet d’obtenir une visibilité complète sur le réseau et de surveiller les terminaux en temps réel, ce qui contribuera à mettre en évidence les vulnérabilités potentielles et les menaces actives.
- Outils de gestion des logiciels Ceux-ci vous permettent de suivre l'évolution des applications, des appareils, des logiciels, des mises à jour logicielles et des correctifs. Une plateforme unique permet aux services publics de détecter, de surveiller et de sécuriser les applications d'entreprise à partir d'une seule console.
- Authentification multifactorielle Le recours à plusieurs méthodes d’authentification, associé à une gestion rigoureuse des mots de passe , peut constituer une protection simple mais efficace contre les pirates informatiques, qui aurait pu empêcher la faille de sécurité survenue chez Colonial Pipeline.
- Évaluation des risques cybernétiques Une évaluation des risques cybernétiques permet d'évaluer la gestion des vulnérabilités en interne ainsi que celle des fournisseurs tiers.
- Recherche active de menaces La recherche d'activités inhabituelles vous permet de surveiller les plateformes, mais aussi de détecter et de remédier aux menaces avant que les pirates informatiques n'aient le temps de causer le moindre préjudice.
