En 2019, la cyberguerre est arrivée dans la petite ville de Wisconsin Rapids, dans le Wisconsin, de Matt Stormoen.
Cette année-là, des pirates criminels ont mené une vague d’attaques contre plus d’une douzaine de petits services publics sous-défendus dans 18 États. Les attaquants, remontant à Hong Kong, avaient choisi leurs cibles en raison de leur proximité avec les infrastructures américaines critiques, y compris les grands barrages fédéraux et les lignes de transmission, les verrouillages de navigation essentiels aux importations d’aciéries et les hubs de distribution d’énergie à l’échelle du réseau.
« Ils ont essayé de traverser notre pare-feu », déclare Stormoen, qui dirige l’informatique à la Commission des travaux d’eau et de l’éclairage de Wisconsin Rapids, qui fournit de l’électricité à quelque 15 000 clients. Bien que son réseau n’ait pas été compromis, Stormoen déclare : « nous avons dû rester constamment au fait des menaces. »
Le FBI et le Département de la sécurité intérieure ont longtemps averti que le secteur de l’énergie américain est une cible pour les pirates informatiques. En avril, l’ attaque réussie par rançongiciel sur Colonial Pipeline l’a prouvé, interrompant une importante ligne de carburant et obligeant l’entreprise à verser un paiement de 4,4 millions USD.
Alors que les grands services publics américains disposent de poches profondes pour renforcer la cybersécurité, pour protéger leurs réseaux et les milliers d’endpoints qui s’y connectent, les petits services publics et les fournisseurs d’énergie manquent souvent des budgets pour faire de même.
« Une grande partie de l’infrastructure exploitant la technologie dans des services publics plus petits est trop ancienne pour les cyber-outils modernes, ce qui double la préoccupation », déclare Tyler Costello, directeur des comptes stratégiques chez Tanium, qui travaille avec plusieurs installations d’infrastructure critiques et l’un des plus grands fournisseurs de gaz électrique et naturel du pays. « Les petits services publics doivent faire face à des systèmes obsolètes, des contraintes budgétaires et des ressources limitées. »
Petits budgets, peu d’expertise
Comme ses pairs dans l’ensemble du secteur, l’utilitaire Wisconsin Rapids numérise ses opérations, en utilisant des technologies telles que le comptage intelligent, les portails de paiement en ligne etles plateformes informatiques cloud . Mais toute cette connexion Internet a un coût. Elle attire l’attention des cybercriminels.
Les petits services publics, ceux qui servent quelques milliers de clients ou moins, sont particulièrement vulnérables. Ils ressentent le besoin de se moderniser, en partie pour repousser les efforts de prise de contrôle des plus grandes compagnies de services publics, mais ils sont souvent réticents à (ou simplement ne peuvent pas) augmenter les taux ou les taxes locales pour payer les mises à niveau. Par conséquent, ces services publics ne peuvent souvent pas se permettre un professionnel de l’informatique sur site.
« Donc, le responsable informatique peut devoir faire du service client. Il devra peut-être également faire du marketing », déclare Carter Manucy, directeur de la cybersécurité à la Florida Municipal Power Agency (FMPA), une coalition de 32 services publics à travers l’État, membre de l’American Public Power Association.
« Les petits services publics doivent faire face à des systèmes obsolètes, des contraintes budgétaires et des ressources limitées. »Tyler Costello, directeur des comptes stratégiques, Tanium
Les services publics appartenant à la municipalité et les coopératives rurales sont également confrontés à un autre défi que les grands services publics. Elles opèrent au-delà de la supervision et de la protection de la North American Electric Reliability Corp (NAERC). Cet organisme du secteur surveille les propriétaires, les opérateurs et les utilisateurs de systèmes d’alimentation en vrac, et peut imposer des amendes pour conformité laxiste. Cela signifie que les grands garçons ont un intérêt financier à respecter les règles, et qu’ils reçoivent des conseils utiles sur la manière de procéder.
Il y a un grave problème de perception. Étant donné que les petits services publics n’ont pas autant de supervision, « les pirates criminels peuvent penser qu’ils sont une proie plus facile », déclare Nicholas Abi-Samra, professeur adjoint à l’Université de Californie, San Diego, qui enseigne des cours sur les systèmes électriques et fournit des services de conseil au secteur des services publics électriques. « Mais ils sont confrontés aux mêmes types de menaces. »
Retour aux bases
Le renforcement de la cybersécurité d’un service public, qui pourrait inclure l’installation de nouveaux serveurs et logiciels de sécurité, la formation des travailleurs et la mise en place d’un centre d’opérations de sécurité, pourrait coûter des millions de dollars. La collecte de cet argent est une tâche difficile pour les petites entreprises de services publics ruraux, qui servent souvent les familles à faibles revenus qui ne peuvent pas se permettre les factures d’énergie plus élevées qui seraient nécessaires pour payer l’investissement.
La FMPA de Manucy offre à ses membres une formation en cybersécurité à faible coût ou sans frais. Mais il y a une prise de conscience croissante que ce n’est pas suffisant. Il déclare que l’aide fédérale est nécessaire pour mettre à jour bon nombre de ces opérations. Cela comprend l’instauration de plusieurs lignes de défense, en commençant par la gestion de base des identités et des accès aux applications et réseaux partagés.
[Lire également : la prolifération des outils menace la sécurité post-pandémie]
Cela peut inclure l’utilisation d’une authentification à deux facteurs et l’instauration d’un modèle Zero Trust d’accès réseau. Dans ce modèle, tout endpoint, appareil ou utilisateur (même ceux précédemment connus) est considéré comme non fiable jusqu’à ce qu’il soit vérifié. Elle nécessite également l’octroi d’un accès le moins privilégié en fonction de la personne qui demande l’accès, du contexte de la demande et du risque de l’environnement d’accès.
Il existe d’autres moyens pour les services publics de commencer à renforcer leur cybersécurité, à savoir en se tournant vers les bases d’une bonne hygiène informatique et de cybersécurité. Sous l’adage « vous ne pouvez pas gérer ce que vous ne voyez pas », la première étape consiste à trouver et à répertorier tous les endpoints, ordinateurs portables, PC, tablettes, même les machines virtuelles dans le cloud, qui sont connectés à votre réseau. En surveillant régulièrement ces endpoints, en temps réel et en permanence, vous pouvez détecter les vulnérabilités potentielles et les menaces actives.
[Lire également : 10 façons dont Tanium améliore la gestion des configurations]
Les petits services publics doivent également investir dans une plateforme de gestion logicielle qui leur permet de suivre le rythme des applications, appareils et logiciels qui se sont proliférés pendant l’ère du télétravail. Une plateforme unique peut aider n’importe quel fournisseur d’électricité de petite ou moyenne taille à détecter, surveiller, mettre à jour et sécuriser les applications d’entreprise à partir d’une seule console, à grande échelle. De même, une plateforme peut aider à gérer et surveiller tous les endpoints, en aidant à localiser et à résoudre les problèmes de sécurité en temps réel.
Renforcement des pare-feux
Après que le FBI a informé Wisconsin Rapids que les attaquants avaient interrogé ses systèmes en janvier et mars 2019, Stormoen a mené une évaluation approfondie des cyberdéfenses du service public. Cela comprenait l’examen complet de leur posture de sécurité des endpoints et des politiques de sécurité globales de l’entreprise. Par conséquent, Stormoen a mis à niveau les pare-feux et installé un nouveau logiciel de sécurité.
« Les petits services publics [demandent] à « acheter ou louer » un directeur de l’information qui peut fournir des conseils. »
L’utilitaire est également devenu membre du Centre d’analyse et de partage des informations sur l’électricité (Electricité Information Sharing and Analysis Center, E-ISAC) et du Centre d’analyse et de partage des informations multi-États (Multi-State Information Sharing and Analysis Center, MS-ISAC). Ces deux organismes collectent et diffusent des informations et des avertissements sur les cyberattaques. Aujourd’hui, Stormoen reçoit des rapports quotidiens qui l’aident à identifier les menaces et à s’assurer que ses défenses sont sécurisées.
Bien sûr, tous les petits services publics n’ont pas de Matt Stormoen à temps plein pour garder un œil sur la première ligne. Mais beaucoup essaient une nouvelle approche. Manucy of the FMPA a vu une hausse des petits services publics demander à « acheter ou louer » un directeur de l’information qui peut fournir des conseils sur leurs systèmes. Cela est en partie dû aux assureurs de cybersécurité qui ont besoin d’une expertise interne avant d’émettre une police. Un grand nombre des près de trois douzaines membres de sa coalition de services publics lui ont demandé : « Comment puis-je obtenir une formation ? Ma compagnie d’assurance me demande. »
Pour les petits services publics, les enjeux ne pouvaient pas être plus élevés ou plus importants. Le réseau énergétique américain est un système incroyablement complexe et interconnecté. La perturbation d’un nœud unique peut avoir un effet en cascade. Il suffit d’envisager l’interdiction du 2003 Nord-Est, qui a plongé 50 millions de personnes dans l’obscurité après un dysfonctionnement d’un outil de surveillance unique dans une salle de contrôle de l’énergie de l’Ohio.
Mais même si une cyber-attaque est isolée au sein du réseau d’un petit service public et n’affecte que la population locale, son impact pourrait être grave, déclare Stormoen. Cela pourrait entraver les réponses de la police et les services d’incendie, ainsi que les soins critiques à domicile. « Un seul pourrait causer beaucoup de dommages. »
