En 2019, la cyberguerre a fait son apparition dans la petite ville de Wisconsin Rapids, dans le Wisconsin, où réside Matt Stormoen.
Cette année-là, des pirates informatiques ont mené une vague d'attaques de type « » contre plus d'une douzaine de petits services publics insuffisamment protégés répartis dans 18 États. Les auteurs de ces attaques, dont l'origine a été localisée à Hong Kong, avaient choisi leurs cibles en raison de leur proximité avec des infrastructures américaines stratégiques, notamment de grands barrages fédéraux et des lignes de transport d'électricité, des écluses essentielles aux importations des aciéries, ainsi que des centres de distribution d'énergie à l'échelle du réseau.
« Ils ont tenté de franchir notre pare-feu », explique M. Stormoen, responsable informatique à la Commission des services d’eau et d’éclairage d’ , à Wisconsin Rapids (), qui alimente en électricité quelque 15 000 clients. Bien que son réseau n'ait pas été piraté, M. Stormoen déclare : « Nous avons dû rester constamment vigilants face aux menaces. »
Le FBI et le ministère de la Sécurité intérieure alertent depuis longtemps sur le fait que le secteur énergétique américain est la cible de pirates informatiques. En avril, l'attaque réussie du ransomware « » contre Colonial Pipeline l'a démontré : elle a entraîné la fermeture d'un important réseau de distribution de carburant et contraint l'entreprise à verser une rançon de 4,4 millions de dollars.
Alors que les grands groupes de services publics américains disposent de moyens financiers importants pour renforcer leur cybersécurité — afin de protéger leurs réseaux et les milliers de terminaux qui y sont connectés —, les petits groupes de services publics et les fournisseurs d'énergie ne disposent souvent pas des budgets nécessaires pour en faire autant.
« Une grande partie des infrastructures techniques des petits services publics est trop ancienne pour prendre en charge les outils informatiques modernes, ce qui double les inquiétudes », explique Tyler Costello , et directeur des comptes stratégiques chez Tanium, qui travaille avec plusieurs installations d’infrastructures critiques ainsi qu’avec l’un des plus grands fournisseurs d’électricité et de gaz naturel du pays. « Les petits services publics doivent faire face à des systèmes obsolètes, à des contraintes budgétaires et à des ressources limitées. »
Des budgets modestes, peu d'expertise
À l'instar de ses homologues du secteur, le service public de Wisconsin Rapids numérise ses activités en recourant à des technologies telles que (compteurs intelligents), les portails de paiement en ligne , les portails et , ainsi que les plateformes de cloud computing . Mais toute cette connectivité à Internet a un coût. Cela attire l'attention des cybercriminels.
Les petits services publics, c'est-à-dire ceux qui desservent quelques milliers de clients ou moins, sont particulièrement vulnérables. Elles ressentent le besoin de se moderniser, en partie pour se prémunir contre les tentatives de rachat par de grands groupes de services publics, mais elles sont souvent réticentes à augmenter les tarifs ou les impôts locaux (ou n'en ont tout simplement pas la possibilité) pour financer ces modernisations. De ce fait, ces entreprises de services publics n'ont souvent pas les moyens de s'offrir les services d'un informaticien sur place.
« Il se pourrait donc que le technicien informatique doive s'occuper du service client. » « Il devra peut-être également s'occuper du marketing », déclare Carter Manucy, directeur de la cybersécurité à l'Agence des services publics municipaux de Floride ( , Florida Municipal Power Agency, , FMPA), une coalition regroupant 32 services publics à travers l'État et membre de l'Association américaine des services publics (American Public Power Association).
«Les petits services publics doivent faire face à des systèmes obsolètes, à des contraintes budgétaires et à des ressources limitées. »Tyler Costello, directeur des comptes stratégiques chez Tanium
Les services publics municipaux et les coopératives rurales sont également confrontés à un autre défi auquel les grands services publics ne sont pas confrontés. Ils opèrent en dehors du champ de surveillance et de protection de la North American Electric Reliability Corporation (NAERC). Cet organisme professionnel exerce une surveillance sur les propriétaires, les exploitants et les utilisateurs du réseau électrique à grande échelle, et peut infliger des amendes en cas de non-respect des règles. Cela signifie que les grands acteurs ont tout intérêt, d'un point de vue financier, à respecter les règles, et qu'ils bénéficient de conseils utiles sur la manière de s'y prendre.
Il y a un sérieux problème de perception. « Étant donné que les petits réseaux électriques ne font pas l’objet d’une surveillance aussi stricte, les pirates informatiques pourraient les considérer comme des proies plus faciles », explique Nicholas Abi-Samra, professeur associé à l’Université de Californie à San Diego, qui dispense des cours sur les réseaux électriques et fournit des services de conseil au secteur de l’électricité. « Mais ils sont confrontés aux mêmes types de menaces. »
Retour aux fondamentaux
Le renforcement de la cybersécurité d'un service public — qui pourrait notamment passer par l'installation de nouveaux serveurs et logiciels de sécurité, la formation du personnel et la mise en place d'un centre d'opérations de sécurité — pourrait coûter plusieurs millions de dollars. Réunir ces fonds représente un véritable défi pour les petits services publics ruraux, qui desservent souvent des familles à faibles revenus, lesquelles ne peuvent pas assumer la hausse des factures d'énergie nécessaire pour financer cet investissement.
La FMPA de Manucy propose effectivement à ses membres des formations en cybersécurité à moindre coût, voire gratuitement. Mais on se rend de plus en plus compte que cela ne suffit pas. Il affirme qu'une aide fédérale est nécessaire pour permettre à bon nombre de ces structures d'atteindre leur plein régime. Cela impliquerait notamment la mise en place de plusieurs niveaux de protection, à commencer par une gestion de base des identités et des accès aux applications et réseaux partagés.
[À lire également : La prolifération des outils menace la sécurité après la pandémie]
Cela pourrait notamment passer par l'utilisation de l'authentification à deux facteurs , de l'authentification à deux facteurs et la mise en place d'un modèle d'accès au réseau de type « zero-trust » . Dans ce modèle, tout terminal, appareil ou utilisateur (même ceux déjà connus) est considéré comme non fiable jusqu'à ce qu'il soit vérifié. Cela implique également d'accorder un accès avec le moins de privilèges possible, en fonction de l'identité de la personne qui en fait la demande, du contexte de la demande et du niveau de risque lié à l'environnement d'accès.
Il existe d’autres moyens pour les entreprises de services publics de commencer à renforcer leur cybersécurité, notamment en se recentrant sur les principes fondamentaux d’une bonne hygiène informatique et d’une bonne cybersécurité au niveau de l’ . Conformément à l’adage « on ne peut pas gérer ce que l’on ne voit pas », la première étape consiste à identifier et à recenser tous les terminaux — ordinateurs portables, PC, tablettes, voire machines virtuelles dans le cloud — qui sont connectés à votre réseau. En surveillant régulièrement ces terminaux, en temps réel et en permanence, vous pouvez détecter les vulnérabilités potentielles et les menaces actives.
[À lire également : 10 façons dont Tanium améliore la gestion des configurations]
Les petits services publics doivent également investir dans une plateforme de gestion des s logicielles ( ) leur permettant de suivre le rythme de la multiplication des applications, des appareils et des logiciels observée depuis le début de la période de télétravail. Une plateforme unique permet à tout service public de petite ou moyenne taille de détecter, surveiller, mettre à jour et sécuriser ses applications d'entreprise à partir d'une seule console, et ce à grande échelle. De même, une plateforme peut aider à gérer et à surveiller tous les terminaux, ce qui permet de détecter et de résoudre les problèmes de sécurité en temps réel.
Renforcer les pare-feu
Après que le FBI eut informé Wisconsin Rapids que des pirates avaient tenté de s'introduire dans ses systèmes en janvier et en mars 2019, M. Stormoen a mené une évaluation approfondie des cyberdéfenses de ce service public. Cela comprenait notamment un examen complet de leur dispositif de sécurité des terminaux « » ainsi que des politiques de sécurité globales de l’entreprise. En conséquence, M. Stormoen a mis à niveau les pare-feu et installé de nouveaux logiciels de sécurité.
«Les petites entreprises de services publics [demandent] à « embaucher ou faire appel aux services » d’un directeur des systèmes d’information capable de les conseiller. »
Cette entreprise de services publics est également devenue membre du Centre d'échange et d'analyse d'informations sur l'électricité ( E-ISAC) et du Centre d'échange et d'analyse d'informations multi-États (MS-ISAC). Ces deux organismes collectent et diffusent des informations et des alertes concernant les cyberattaques. Aujourd'hui, M. Stormoen reçoit des rapports quotidiens qui l'aident à identifier les menaces et à s'assurer que ses systèmes de défense sont sécurisés.
Bien sûr, toutes les petites entreprises de services publics ne disposent pas d'un Matt Stormoen à temps plein pour surveiller ce qui se passe sur le terrain. Mais nombreux sont ceux qui tentent une approche novatrice. Manucy, de la FMPA, a constaté une augmentation du nombre de petits services publics sollicitant «l'achat ou la location » d'un directeur des systèmes d'information capable de les conseiller sur leurs systèmes. Cette situation s'explique en partie par le fait que les assureurs spécialisés dans la cybersécurité exigent une expertise interne avant de souscrire une police. Bon nombre des quelque trois douzaines de membres de sa coalition de services publics lui ont posé la question suivante : « Comment puis-je suivre une formation ? » « C'est ma compagnie d'assurance qui me le demande. »
Pour les petits services publics, les enjeux ne pourraient être plus importants ni plus considérables. Le réseau énergétique américain est un système incroyablement complexe et interconnecté. La défaillance d'un seul nœud peut entraîner un effet en cascade. Prenons simplement l'exemple de la panne d'électricité survenue sur le réseau 2003 Northeast, qui a plongé 50 millions de personnes dans le noir à la suite d'un dysfonctionnement d'un seul outil de surveillance dans une salle de contrôle énergétique de l'Ohio.
Mais même si une cyberattaque reste confinée au réseau d’un petit service public et ne touche que la population locale, ses conséquences pourraient être graves, explique M. Stormoen. Cela pourrait entraver l'intervention de la police et des pompiers, ainsi que la prise en charge des soins intensifs à domicile. « Un seul suffirait à causer beaucoup de dégâts. »
