Résumé
Les cybergangs ont menacé les opérations municipales de l’eau du Maine à la Californie, et ces attaques augmentent à mesure que de plus en plus de systèmes passent au numérique. Est-il temps de décentraliser nos approvisionnements en eau ? C’est la nouvelle approche radicale qui pourrait protéger non seulement l’eau, mais également d’autres infrastructures critiques.
HOST : Mike Curran, vice-président des talents mondiaux,
TaniumGUEST : Riggs Eckelberry, PDG, OriginClear
Afficher les notes
Consultez ces articles dans Focal Point, le nouveau magazine d’actualités cyber en ligne de Tanium.
- La guerre informatique russe cible les infrastructures critiques occidentales
- À quoi ressemblera une cyberattaque sur notre réseau électrique
- Pourquoi les cybercriminels ciblent les petits services publics
Transcription
L’entretien suivant a été modifié pour plus de clarté.
Mike Curran : Le président Biden a annoncé le plan d’action du secteur de l’eau en janvier dernier, je crois ?
Riggs Eckelberry : Bien sûr.
Curran : Et il était prévu d’installer des cyberprotections sur les systèmes d’eau dans les 100 jours. Dans quelle mesure a-t-elle réussi ?
Eckelberry : Eh bien, où est le financement ? Je veux dire, c’est comme, d’accord, vous savez, les vagues du roi Canute et les eaux s’arrêtent ? Non, vous devez réellement financer le plan et le soutenir.
Curran : Les systèmes d’eau vieillissants, longtemps touchés par la désintégration des tuyaux, doivent désormais faire face à un autre danger : ces dernières années, les acteurs ont menacé les opérations municipales de consommation d’eau potable et d’eaux usées à travers les États-Unis, du Maine à la Floride, du Maryland à la Californie, et ces attaques sont en augmentation à mesure que de plus en plus de systèmes passent au numérique.
Bonjour, je m’appelle Mike Curran, et aujourd’hui sur Let’s Converge, nous parlons de sécurité de l’eau et d’infrastructure critique.
Riggs Eckelberry, PDG d’OrigineClear, une start-up qui cherche à révolutionner le secteur des services d’eau de plusieurs milliards de dollars.
Riggs est issu du monde de la haute technologie. En tant que président et PDG de la société de logiciels de sécurité Cyber Defender, il a mené cette entreprise à une introduction en bourse sur le Nasdaq. Il cherche maintenant à créer un « Airbnb pour l’eau » puissant et rentable, en privatisant le traitement de l’eau et en le finançant avec des rentes d’eau à haut rendement soutenues par des actifs.
Donc, Riggs, nous savons que les systèmes d’eau publics sont sous-financés, mais le problème résultant de ce sous-financement dont nous entendons généralement parler est lié à la santé. Vous savez, d’anciens tuyaux de plomb lixiquant des toxines dans les systèmes d’eau, comme à Flint, dans le Michigan. Mais il y a une autre vulnérabilité : le risque de cyberattaque. Dans quelle mesure vous inquiétez-vous d’une cyberattaque sur nos approvisionnements en eau ?
Eckelberry : Mike, c’est inévitable parce que nous avons 150 000-plus systèmes d’eau, ce qui signifie qu’il y en a beaucoup de très petits. Ce sont de petits systèmes nationaux. Par conséquent, vous pouvez vous attaquer à un problème de ressources insuffisantes pour gérer le problème.
Il s’agit d’un problème généralisé. Ainsi, comme vous l’avez mentionné, les systèmes d’eau sont généralement sous-financés, à hauteur de 75 milliards USD, négatifs, chaque année. Nous creuseons donc cet énorme trou, et franchement, je pense que les gens s’inquiètent moins des cyberattaques que de la qualité de l’eau. Et je ne peux pas dire qu’ils ont tort.
Curran : Lorsque vous dites « sous-financé », est-ce juste qu’il y a des améliorations évidentes qui doivent être apportées ? Ou ne votent-ils pas pour financer ces systèmes ? Définir « sous-financé ».
Eckelberry : Eh bien, depuis le 1970s, la contribution du gouvernement fédéral aux systèmes d’eau municipaux a complètement, presque disparu. En fait, elle est passée des subventions aux prêts. Le gouvernement fédéral s’est donc complètement retiré du secteur de l’eau.
Les villes et les comtés, les districts aquatiques qui effectuaient le travail, ont également été confrontés à des demandes croissantes de normes en matière d’eau. Par exemple, supposons que les normes d’arsenic augmentaient et que cela créait un fardeau supplémentaire. Et enfin, vous avez des populations croissantes.
Et voici le facteur le plus récent, c’est que vous avez des populations qui passent des méga-villes aux aubaines. Alors, c’est formidable que nous ayons déménagé dans le comté de Bergen. Mais le comté de Bergen peut ne pas disposer des ressources nécessaires, comme ils l’avaient fait à Hoboken ou à Staten Island. C’est le problème, c’est que vous avez surchargé les systèmes en raison de la demande, des réglementations et simplement d’un manque pur de financement. Luxe Research a quantifié que cela représente environ 75 milliards USD d’arriérés en hausse chaque année.
Curran : Le problème ne cesse de s’aggraver année après année.
Eckelberry : Mais en revenant au cyber-problème, au bout du compte, ce sera le gouvernement fédéral qui s’implique, car qui va tout coordonner ? Qui va avoir des normes uniformes pour des défenses approfondies ?
Je suis sorti du secteur des logiciels de sécurité. C’est ce que j’ai fait pendant des années. J’ai pris une société de logiciels de sécurité publique début 2000s. Et la meilleure défense, bien sûr, est la défense en profondeur par couches. Eh bien, vous avez des connexions avec le mot de passe étant le mot « mot de passe ». Je veux dire, ce n’est pas un environnement sécurisé.
Curran : Mm. OK.
Eckelberry : Ce qui est bien, c’est que jusqu’à présent les cyberattaques qui ont eu lieu ont été vaincues par la vigilance des individus. Une personne a remarqué ce qui se passe ici et, vous savez, a fermé une vanne ou autre. Et c’est l’avantage des systèmes relativement existants, car ils ne sont pas trop compliqués ; si les choses vont au sud, elles peuvent être arrêtées. Mais, vous savez, en fin de compte, nous devons faire quelque chose.
Curran : On dirait qu’on le remarque. Je veux dire, le président Biden a annoncé le plan d’action du secteur de l’eau en janvier [2022], je crois.
Eckelberry : Bien sûr.
Curran : Et il était prévu d’installer des cyberprotections sur les systèmes d’eau dans les 100 jours. Dans quelle mesure cela a-t-il été réussi, Riggs ?
Eckelberry : Eh bien, où est le financement ? Je veux dire, c’est comme, d’accord, vous savez, les vagues du roi Canute et les eaux s’arrêtent ? Non, vous devez réellement financer le plan et le soutenir.
Et en attendant, vous avez des municipalités. Je veux dire, il y a cette histoire à Compton, en Californie, il y a trois, quatre ans, où l’eau a commencé à s’épuiser, et les résidents ont dit, que se passe-t-il avec cela ? Le quartier aquatique a dit, eh bien, c’est du magnésium, mais cela ne vous fait pas de mal. Et ils sont partis, eh bien, nous préférons avoir de l’eau claire si ce n’est pas grave. Et le district aquatique a dit, eh bien, ce aurait été bien si vous aviez voté les fonds au cours des 10, 15 dernières années, mais ce n’était pas le cas.
Cela a été résolu en étant simplement absorbé par la ville du quartier métropolitain de Los Angeles. Mais cela illustre tout de même le problème, qui est que les villes et les comtés ont beaucoup, beaucoup de préoccupations, et que l’eau a tendance à être « une vue extérieure, un esprit extravagant ».
Et le vrai problème, à mon avis, et ce qui en fait un scandale, est que 89 % de la consommation d’eau est par l’industrie et l’agriculture, aux États-Unis, à peu près égale. Alors pourquoi les villes et les comtés doivent-ils gérer toute cette charge commerciale et industrielle alors qu’ils devraient vraiment être dans l’activité d’approvisionnement des personnes ? Les résidents.
Curran : droit, droit, droit. Absolument. Mais parlons un peu d’OrigineClear. Votre entreprise a une idée assez ambitieuse : je comprends que vous proposiez ces petits systèmes de traitement de l’eau modulaires et préfabriqués. Elles permettent aux entreprises et aux développements de logements d’avoir leur propre approvisionnement en eau dédié. Comment cela fonctionne-t-il exactement, Riggs ?
Eckelberry : Tout d’abord, il y a une tendance, une tendance organique, vers les systèmes d’eau hors réseau. Parce que, par exemple, si vous êtes un développeur de logements dans un domaine très populaire, comme la Floride, vous manquez de place. C’est l’emplacement, l’emplacement, l’emplacement. Et si vous voulez être situé dans un endroit plutôt bon, vous allez regarder des endroits qui ne sont pas desservis par les égouts, puis vous examinez une grosse facture pour l’insérer.
Eh bien, la technologie existe aujourd’hui pour les éliminer complètement du réseau, et maintenant vous avez la possibilité de créer des communautés de logement qui sont vraiment autosuffisantes. Et cela se produit déjà.
Nous travaillons, par exemple, avec un développement de « petites maisons » au Texas pour les sans-abri. C’est un projet assez fascinant. Et ils se sont déjà engagés à effectuer le traitement de l’eau pour ce site, prenez-en soin afin qu’ils ne pèsent pas sur la municipalité.
C’est déjà le cas. Maintenant, nous la transformons en eau en tant que service, parce que je pense que, bien sûr, certaines personnes ont tout l’argent dont elles ont besoin, mais la plupart des gens ne le font pas. Et donc, si vous essayez, disons, de gérer une brasserie, et tout d’un coup, vous devez gérer l’eau, eh bien, généralement, vous n’êtes pas financé pour gérer l’eau. Généralement, vous êtes financé pour fabriquer de la bière.
Ce que nous disons, c’est que nous allons juste remplacer la ville. Vous paierez toujours sur le lecteur, mais vous nous paierez. Et nous mettrons le système d’eau à nos frais. Nous le maintenons. Vous payez seulement par gallon. Et c’est ce qu’on appelle génériquement l’eau en tant que service.
Nous l’appelons « eau à la demande ». Et ce qui est unique dans notre programme, c’est qu’il est ouvert aux investisseurs réguliers d’intervenir et d’obtenir un investissement basé sur les actifs. C’est donc beaucoup comme ces partenariats limités maîtres dans le secteur pétrolier et gazier où vous pouvez investir dans un puits de pétrole, vous et moi pouvons le faire. C’est un investissement sophistiqué, mais c’est quelque chose que tout le monde peut faire. Et nous pensons que c’est l’avenir de l’eau en tant que service, c’est d’impliquer des investisseurs réguliers.
Curran : Mm. OK. Imaginons que je possède cette brasserie. Pourquoi souhaiterais-je obtenir de l’eau en tant que service plutôt que de passer par le service public ?
Eckelberry : Eh bien, tout d’abord, les taux d’eau augmentent rapidement, à des taux parfois non durables, 65 % plus élevés que l’inflation ordinaire. Deuxièmement, si vous traitez votre propre eau, vous pouvez en obtenir plus d’un tour, ce qui est attrayant pour l’entreprise.
Curran : Oui. J’adore l’idée du recyclage.
Eckelberry : Nous n’en faisons pas assez dans ce pays.
Curran : Nous ne le faisons pas, nous ne le faisons pas.
Eckelberry : Vous avez entendu les statistiques. Je veux dire, c’est fou. Vous savez, Israël parvient à obtenir près de 90 % de recyclage, mais ils ont une économie de commandement ; ils peuvent essentiellement dire : « Que ce soit ainsi. » Nous avons un système très fragmenté. Par conséquent, il n’y a pas beaucoup d’action ; les villes ont du mal à le faire. Je viens de voir que le conseil municipal de Tampa a rejeté un programme de réutilisation de l’eau, généralement appelé « Toilet-to-Tap », ce qui n’est pas un excellent moyen de le commercialiser. [Rire.].
Curran : Oui. [Rire.].
Eckelberry : Donc les gens n’aiment pas ça, donc ça ne va pas se produire de manière centralisée, ça va se passer en marge.
Curran : Hmm. OK. Parlons de la décentralisation de l’approvisionnement en eau. Pourquoi est-ce une bonne idée ? Pourquoi cela nous permettra-t-il de rester plus sûrs ?
Eckelberry : Ce que vous obtenez, c’est que l’eau douce est entachée par une cyberattaque ? L’ancien LSD dans l’histoire du réservoir d’eau du ’60s. Et c’est un problème. Il n’y a aucun doute que c’est un grand fossé.
C’est, vous savez, c’est drôle, vous ne voyez pas ça se produire beaucoup. Même maintenant, je garde un œil sur ce qui se passe en Ukraine. Je n’ai entendu parler de personne empoisonnant les réservoirs. Je pense que ce serait un acte de guerre assez agressif. C’est une sorte de possibilité à distance.
Ce qui, je pense, est plus susceptible de se produire, c’est que les machines de la ville soient interrompues d’une manière ou d’une autre par une cyberattaque, puis qu’elles ne puissent pas physiquement livrer l’eau : les pompes se décomposent, ou des ordres contraires sont donnés dans le système, et tout d’un coup la pression de l’eau disparaît.
Je pense que c’est plus probable que l’encrassement de l’eau. Et je pense que c’est logique. Si je me préparais en ce moment, je penserais à une autre source d’eau. Je ferais configurer ma source de puits comme sauvegarde. Et je pense que les entreprises devront commencer à réfléchir à leur risque lié à l’eau de cette manière.
Mais vous allez toujours compter sur la ville pour cela, de la même manière que je compte sur le réseau électrique pour mon alimentation, mais j’ai une batterie de secours. Vous obtenez toujours votre eau de la ville, puis si les choses échouent, vous devriez avoir un repli de l’aquifère. Mais malheureusement, c’est beaucoup d’argent à dépenser pour une police d’assurance.
Curran : L’idée de décentralisation, peut-elle traiter les cyber-risques dans d’autres services publics, comme le réseau électrique ?
Eckelberry : dans le cas du réseau électrique, vous avez des personnes qui génèrent leur propre énergie via principalement l’énergie solaire. Et c’est vraiment bon parce qu’ils peuvent retomber sur leurs propres ressources.
Je suis assez âgé pour avoir traversé la grande interdiction de New York qui s’est produite dans les années soixante. Les gens ont donc de plus en plus de l’énergie solaire. Mais je pense que cela va devoir vraiment, vraiment, vraiment empirer beaucoup pour que les gens commencent sérieusement à y réfléchir. Et je pense que c’est l’attitude de la plupart des gens. C’est comme, c’est quelque chose dont quelqu’un s’occupe, et cela m’inquiète uniquement si tout d’un coup il n’y a pas d’eau.
Curran : Oui. L’énergie solaire a certainement fait des progrès. Je suis à mi-chemin. J’ai des panneaux solaires sur mon toit, mais je n’ai pas les batteries dans le garage. Je dépends toujours de la grille. Mais vous n’entendez pas les conversations. Et je suppose que c’est l’un des problèmes majeurs avec les infrastructures, c’est le financement. Je veux dire, comment surmontons-nous les problèmes de financement ?
Eckelberry : Eh bien, j’ai une sorte de mission : il y a un côté de justice sociale, c’est-à-dire que nous avons des populations comme ce que nous venons de voir à Jackson, dans le Mississippi, qui sont en train de changer de santé. Dirigez dans les tuyaux, l’eau brune, tout ça. C’est un scandale.
Et si nous faisons comme : « Hé, c’est important, et au fait, vous n’avez pas besoin de collecter 3 milliards de dollars pour résoudre le problème ; déchargez simplement les utilisateurs de l’entreprise et de l’agriculture grâce à ce qui est désormais un système décentralisé très mature. » C’est un message que nous crions.
Je pense que nous devons juste commencer par ces podcasts, par la presse, par divers moyens, faire réfléchir les gens, et si nous venions de nous fier à nous ? Qu’en est-il ? Pourquoi ne pas devenir autonome ?
Curran : Revenons un peu à la décentralisation. Vous êtes qualifié de manière unique, ayant apporté à CyberDefender une introduction en bourse d’une société de logiciels de cybersécurité. Quels sont les risques ? Et du point de vue de la cybersécurité, quel est l’avantage ? La décentralisation étend évidemment la surface d’attaque. N’est-ce pas un problème ?
Eckelberry : Eh bien, vous créez moins de points de défaillance, n’est-ce pas ? Internet a été initialement conçu pour être un réseau à sécurité intégrée. Ce n’est plus le cas, mais à l’origine, il a été configuré sur la base de ces nœuds indépendants qui fonctionneraient sur une base de stockage et de transfert. C’était une conception efficace. Et elle a été décentralisée.
À l’origine, Internet était décentralisé. Aujourd’hui, nous pourrions faire la même chose avec l’eau. Vous réduisez les points de défaillance. ... Maintenant, vous vous dites, eh bien, oui, mais certaines brasseries pourraient s’infecter. Très bien. La brasserie est infectée, mais elle n’infecte pas l’ensemble du réseau, n’est-ce pas ? Vous réduisez donc la quantité de problèmes, et c’est comme une panne d’électricité d’un grand réseau énergétique. S’il y a beaucoup de redondance intégrée grâce à l’énergie solaire, et cetera, cela ne diminuera pas aussi rapidement.
En général, la décentralisation est une bonne chose. Et étant donné que nous connaissons la nature humaine, il y aura des vulnérabilités, vous savez ? Vous avez jamais entendu l’histoire de la manière dont les Mongols ont finalement conquis la Grande Muraille de Chine. Ils viennent de corrompre l’un des commandants de la tour. [Rire.]
Curran : [Rire.].
Eckelberry : C’était ça.
Curran : [Rire.]. J’attendais quelque chose d’un peu plus exacerbé que cela.
Eckelberry : Ils viennent d’entrer. En d’autres termes, le facteur humain est la grande faiblesse.
Curran : Oui.
Eckelberry : Vous pouvez avoir tous les systèmes que vous souhaitez, mais en fin de compte, les gens en sont responsables. Et c’est vraiment le problème : le lien humain va causer des problèmes. Et vous ne vous en sortirez pas. Vous ne allez pas soudain vous débarrasser du facteur humain. C’est la nature.
Donc, lorsque vous décentralisez, que faites-vous ? Vous installez des systèmes plus récents, vous modernisez le réseau. J’ai acheté un Tesla. J’ai donc modernisé. Cette petite plateforme que j’ai ? C’est une voiture intelligente, elle dispose de toutes sortes de fonctionnalités de sécurité. J’ai amélioré toute mon expérience de conduite avec Tesla.
L’eau en tant que service, ce que nous appelons l’eau à la demande, est probablement la meilleure solution au problème. Et nous allons juste devoir faire pression pour des améliorations centralisées. Mais n’oubliez pas que plus nous décentralisons, plus la vie sera facile pour tous ces fournisseurs municipaux.
Curran : Riggs, vous avez mentionné le LSD dans l’eau au ’60s. Mais il y a eu un piratage à Oldsmar, en Floride, l’usine de traitement de l’eau là-bas. C’était un exemple d’effraction. Diriez-vous que l’infrastructure critique se trouve actuellement à la croisée des acteurs malveillants dans les États-Unis ?
Eckelberry : Infrastructure critique, oui. Je pense qu’ils sont plus concentrés sur le pouvoir, franchement.
Curran : OK. Pourquoi ?
Eckelberry : C’est plus spectaculaire, n’est-ce pas ? Vous pouvez faire beaucoup plus de mal plus rapidement. Retirez la grille. Tout le monde vous remarque, n’est-ce pas ?
Curran : Oui.
Eckelberry : d’une seconde à l’autre. Merci beaucoup.
Curran : Vous vous souvenez toujours de la période d’interdiction à New York, donc je veux dire, elle a des effets durables, je suppose.
Eckelberry : Il y a eu un pic de naissance important juste après cela, n’est-ce pas ?
Curran : [Rire.]. C’est exact.
Eckelberry : [Rire.].
Curran : Exactement.
Eckelberry : les gens passaient 12 heures dans un ascenseur. Finalement, quelque chose se passe.
Curran : Oui. [Rire.] Je suis curieux. Riggs, vous avez eu une carrière incroyable. Pourquoi se concentrer sur les systèmes d’eau et la cybersécurité nécessaires pour les protéger à ce stade de votre carrière ?
Eckelberry : Il est vrai que je n’ai pas choisi d’être dans l’eau. Je suis sorti de la haute technologie, puis mon premier départ dans cette entreprise a été dans un remplacement de biocarburant appelé Algae. Fascinant. Je m’amusais beaucoup. Mais d’une certaine manière, vous êtes attiré par les choses qui ont le plus besoin de vous, je dirais.
Je me suis retrouvée à mener une bataille ascendante. Laissez-moi vous dire qu’en 2016 , lorsque j’ai commencé à parler d’eau décentralisée, les gens étaient comme, hein ? Quoi ? Aujourd’hui, les gens l’obtiennent, vous savez ? De plus en plus de personnes savent que l’autonomie est très importante. Je pense donc que la haute technologie migre vers tous les secteurs. Oui.
La mentalité high-tech des perturbations et l’ensemble du cycle de vie high-tech, qui est un cycle de vie continu, est quelque chose qui arrive sur les marchés existants. C’est pourquoi Airbnb a repris les hôtels et Uber a pris les taxis. Et ça va se passer dans l’eau.
Cela se produit déjà. J’ai vraiment l’impression d’être au bon endroit pour le faire. J’adore ça. Vous savez, c’est tellement unique. Et laissez-moi vous dire combien de personnes vont, oh, vous faites de l’eau. Merci Dieu, merci, je l’apprécie tellement. Les gens savent qu’il y a un problème. Ils le sont vraiment.
Curran : Mm-hmm. Si vous aviez des conseils pour les fournisseurs centraux, comment peuvent-ils nous protéger, les citoyens, mieux ?
Eckelberry : Eh bien, tout d’abord, faisons un pas à la fois. Premièrement, promouvons la décentralisation. Plus nous le faisons, plus le système sera robuste. Et cela aura tendance à entraîner le recyclage, etc.
Deuxièmement, essayons de porter le problème à l’attention des décideurs politiques. Comme, Hé, nous avons un problème, faisons quelque chose. Continuons à avancer.
Curran : Je peux entendre la passion de votre voix Riggs, alors j’apprécie le temps que vous passez aujourd’hui.
Eckelberry : Un tel plaisir, Mike. Ce fut un plaisir d’en parler. J’attends avec impatience que vous fassiez passer le mot. C’est un podcast à la fois.
Curran : J’ai parlé avec Riggs Eckelberry, PDG d’OrigineClear.
Si vous souhaitez en savoir plus sur les menaces croissantes pesant sur les infrastructures critiques et sur les moyens innovants de les défendre, consultez le nouveau magazine d’actualités cyber en ligne de Tanium à l’adresse Tanium.com. Pour entendre plus de conversations avec les principaux chefs d’entreprise et experts en sécurité d’aujourd’hui, assurez-vous de vous abonner à Let’s Converge sur votre application de podcast préférée, comme Apple Podcasts et Spotify. Si vous avez aimé cet épisode, veuillez nous attribuer une note de cinq étoiles.
Merci d’avoir écouté. Nous sommes impatients de partager plus d’informations sur le prochain épisode de Let’s Converge.
