Résumé
Des groupes cybercriminels ont menacé les opérations municipales de distribution d'eau, du Maine à la Californie, et ces attaques sont en hausse à mesure que les systèmes se numérisent. Est-il temps de décentraliser nos approvisionnements en eau ? C'est la nouvelle approche radicale qui pourrait protéger non seulement l'eau, mais aussi d'autres infrastructures critiques.
HOST: Mike Curran, VP global talent, Tanium
GUEST: Riggs Eckelberry, CEO, OriginClear
Notes de l'épisode
Découvrez ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber.
- La cyberguerre menée par la Russie vise les infrastructures critiques occidentales
- À quoi ressemblera une cyberattaque contre notre réseau électrique ?
- Pourquoi les cybercriminels ciblent-ils les petits services publics ?
Transcript
L'entretien suivant a été modifié pour plus de clarté.
Mike Curran: Le président Biden a annoncé le Plan d'action pour le secteur de l'eau en janvier dernier, je crois ?
Riggs Eckelberry: En effet.
Curran: Il était prévu d'installer des protections cybernétiques sur les systèmes d'eau dans un délai de 100 jours. Quel a été le niveau de réussite de cette initiative ?
Eckelberry: Eh bien, où sont les financements ? Je veux dire, c'est comme si le roi Canut faisait un geste et que les eaux se retiraient. Non, il faut réellement financer le plan et s'y engager.
Curran: Les systèmes d'eau vieillissants, depuis longtemps fragilisés par des canalisations en dégradation, doivent désormais faire face à un autre danger : ces dernières années, des acteurs malveillants ont menacé les opérations d'eau potable et d'eaux usées des municipalités à travers les États-Unis, du Maine à la Floride, du Maryland à la Californie. Ces attaques sont en hausse à mesure que davantage de systèmes se numérisent.
Bonjour, je suis Mike Curran, et aujourd'hui dans Let's Converge, nous abordons le thème de la sécurité de l'eau et des infrastructures critiques.
Je reçois aujourd'hui Riggs Eckelberry, CEO d'OriginClear, une startup qui ambitionne de transformer le secteur des services de l'eau, un marché à mille milliards de dollars.
Riggs aborde la question de l'eau sous l'angle des hautes technologies. En tant que président et CEO de la société de logiciels de sécurité Cyber Defender, il a conduit cette entreprise jusqu'à son introduction en bourse sur le Nasdaq. Il cherche aujourd'hui à créer un puissant et rentable « Airbnb de l'eau », en privatisant le traitement de l'eau et en le finançant par des rentes hydrauliques à haut rendement adossées à des Assets.
Alors, Riggs, nous savons que les systèmes d'eau publics manquent de financement, mais le problème qui en découle, celui dont on entend le plus souvent parler, est d'ordre sanitaire. Vous savez, les vieilles canalisations en plomb qui diffusent des toxines dans les réseaux d'eau, comme à Flint, dans le Michigan. Mais il existe une autre vulnérabilité : le risque de cyberattaque. Dans quelle mesure êtes-vous préoccupé par une cyberattaque sur nos réserves d'eau ?
Eckelberry: Eh bien, Mike, c'est inévitable, car nous avons 150 000-plus réseaux d'eau, ce qui signifie qu'il en existe un grand nombre de très petite taille. Ce sont de petits réseaux ruraux. Et par conséquent, on se retrouve face à un problème de manque de ressources pour y faire face.
C'est un problème généralisé. Ainsi, comme vous l'avez mentionné, les réseaux d'eau sont globalement sous-financés, à hauteur de $75 milliards—en négatif—chaque année. Nous creusons donc un gouffre considérable, et franchement, je pense que les gens s'inquiètent moins des cyberattaques que de la qualité de l'eau. Et je ne peux pas dire qu'ils ont tort.
Curran: Quand vous parlez de « sous-financé », s'agit-il simplement d'améliorations évidentes à apporter ? Ou bien les obligations nécessaires au financement de ces systèmes ne sont-elles tout simplement pas votées ? Que entendez-vous par « sous-financé » ?
Eckelberry: Eh bien, depuis le 1970s, la contribution du gouvernement fédéral aux systèmes d'eau municipaux a pratiquement disparu. En fait, les subventions ont été remplacées par des prêts. Le gouvernement fédéral s'est donc retiré du secteur de l'eau.
Les villes et les comtés, ainsi que les districts hydrauliques en charge de ces travaux, ont également dû faire face à des exigences croissantes en matière de normes sur l'eau. Par exemple, les normes relatives à l'arsenic se sont renforcées, ce qui a engendré une charge supplémentaire. À cela s'ajoute la croissance démographique.
Et le facteur le plus récent est le suivant : des populations quittent les grandes métropoles pour s'installer dans des zones reculées. Donc, c'est formidable que nous ayons déménagé dans le comté de Bergen. Mais le comté de Bergen ne dispose peut-être pas des ressources nécessaires, comme c'était le cas à Hoboken ou Staten Island. C'est là le problème : des systèmes surchargés en raison de la demande, des réglementations et d'un manque de financement. Luxe Research a chiffré cela à environ $75 milliards d'arriérés supplémentaires chaque année.
Curran: Le problème ne cesse donc de s'aggraver d'année en année.
Eckelberry: Mais pour revenir à la question de la cybersécurité, il faudra en fin de compte que le gouvernement fédéral s'implique, car qui d'autre pourrait tout coordonner ? Qui va établir des normes uniformes pour des défenses en profondeur ?
Je viens du secteur des logiciels de sécurité. C'est ce que j'ai fait pendant des années. J'ai introduit en bourse une société de logiciels de sécurité au début des 2000s. Et la meilleure défense reste, bien entendu, une protection en profondeur à plusieurs niveaux. Vous avez des identifiants dont le mot de passe est littéralement « password ». Il faut dire que nous ne sommes pas dans un environnement sécurisé.
Curran: Mm. D'accord.
Eckelberry: Ce qui est positif, c'est que jusqu'à présent, les cyberattaques qui ont eu lieu ont été déjouées grâce à la vigilance des individus. Une personne a remarqué quelque chose d'anormal, et a fermé une vanne ou pris une mesure similaire. C'est là l'avantage des systèmes relativement anciens : ils ne sont pas trop complexes, et en cas de problème, il est possible de les arrêter. Mais, en fin de compte, nous devons agir.
Curran: Il semble que cela commence à être pris en compte. Le président Biden a annoncé le Water Sector Action Plan en janvier [2022], je crois.
Eckelberry: Tout à fait.
Curran: Il était prévu d'installer des protections cybernétiques sur les systèmes d'eau dans un délai de 100 jours. Quel a été le succès de cette initiative, Riggs ?
Eckelberry: Eh bien, où sont les financements ? Je veux dire, c'est comme si le roi Canut faisait un geste et que les eaux se retiraient. Non, il faut réellement financer le plan et s'y engager.
Et pendant ce temps, vous avez des municipalités. Je veux dire, il y a cette histoire à Compton, en Californie, il y a trois ou quatre ans, où l'eau a commencé à couler marron, et les habitants ont demandé ce qui se passait. Le district hydraulique a répondu que c'était du magnésium, mais que cela ne présentait aucun danger. Et ils ont répondu qu'ils préféraient avoir de l'eau claire, si possible. Et le district hydraulique a dit que cela aurait été bien si vous aviez voté les fonds pour les 10, 15 dernières années, mais vous ne l'avez pas fait.
Le problème a été résolu par simple absorption au sein du district métropolitain de la ville de Los Angeles. Mais cela illustre bien le problème : les villes et les comtés ont de nombreuses préoccupations, et l'eau a tendance à être « hors de vue, hors de l'esprit ».
Le vrai problème, selon moi, et ce qui en fait un scandale, c'est que 89% de la consommation d'eau est le fait de l'industrie et de l'agriculture — aux États-Unis, dans des proportions à peu près égales. Alors pourquoi les villes et les comtés doivent-ils gérer toute cette charge commerciale et industrielle, alors qu'ils devraient se concentrer sur l'approvisionnement des habitants ? Les résidents.
Curran: Tout à fait, tout à fait. Tout à fait. Parlons un peu d'OriginClear. Votre entreprise a une vision ambitieuse : si je comprends bien, vous proposez des systèmes de traitement de l'eau modulaires, compacts et préfabriqués. Ils permettent aux entreprises et aux ensembles résidentiels de disposer de leur propre alimentation en eau. Comment cela fonctionne-t-il concrètement, Riggs ?
Eckelberry : Tout d'abord, il existe une tendance, une tendance naturelle, vers les systèmes d'eau autonomes. Car, par exemple, si vous êtes un promoteur immobilier dans une zone très prisée, comme la Floride, vous manquez d'espace. C'est l'emplacement, l'emplacement, l'emplacement. Et si vous souhaitez vous installer dans un endroit de qualité, vous allez vous tourner vers des zones non desservies par les réseaux d'assainissement, ce qui implique une facture importante pour raccorder les canalisations.
Or, la technologie existe aujourd'hui pour rendre ces espaces entièrement autonomes, et vous avez désormais la possibilité de créer des communautés résidentielles véritablement autosuffisantes. Et c'est déjà en train de se produire.
Nous travaillons, par exemple, avec un projet de « tiny homes » au Texas pour les sans-abri. C'est un projet tout à fait fascinant. Ils se sont déjà engagés à assurer le traitement de l'eau pour ce site, afin de ne pas imposer de charge à la municipalité.
Donc, c'est déjà en cours. Nous passons maintenant à la vitesse supérieure en transformant cela en eau-en-tant-que-service, car selon moi, certaines personnes disposent de tous les fonds nécessaires, mais la plupart n'en ont pas. Ainsi, si vous cherchez, par exemple, à gérer une brasserie et que vous devez soudainement prendre en charge la gestion de l'eau, vous n'avez généralement pas le budget pour cela. En général, votre financement est prévu pour produire de la bière.
Nous proposons donc de remplacer la ville. Vous continuerez à payer au compteur, mais ce sera à nous que vous réglerez la facture. Et nous installerons le système d'eau à nos frais. Nous nous en occupons. Vous payez simplement au gallon. Et c'est ce qu'on appelle de manière générique l'eau en tant que service.
Nous appelons cela « l'eau à la demande ». Ce qui distingue notre programme, c'est qu'il est ouvert aux investisseurs ordinaires qui souhaitent réaliser un investissement basé sur des assets. C'est très similaire aux master limited partnerships dans le secteur pétrolier et gazier, où vous pouvez investir dans un puits de pétrole — vous et moi pouvons le faire. C'est un investissement sophistiqué, mais accessible à tous. Nous sommes convaincus que l'avenir de l'eau en tant que service passe par l'implication des investisseurs ordinaires.
Curran: Mm. D'accord. Supposons que je sois propriétaire de cette brasserie. Pourquoi choisir l'eau en tant que service plutôt que de passer par le réseau public ?
Eckelberry: Eh bien, tout d'abord, les tarifs de l'eau augmentent rapidement, parfois à des niveaux insoutenables, 65% au-dessus de l'inflation ordinaire. Deuxièmement, si vous traitez votre propre eau, vous pouvez en tirer plusieurs usages, ce qui est un avantage sur le plan commercial.
Curran: Oui. Je suis convaincu par l'idée du recyclage.
Eckelberry: Nous n'en faisons pas assez dans ce pays.
Curran: C'est vrai, c'est vrai.
Eckelberry: Vous avez entendu les chiffres. C'est tout simplement incroyable. Vous savez, Israël parvient à atteindre près de 90% de recyclage, mais c'est une économie dirigée ; ils peuvent en substance décider que les choses se feront ainsi. Notre système, lui, est très fragmenté. En conséquence, il y a peu d'actions concrètes ; les villes ont du mal à y parvenir. Je viens de voir que le conseil municipal de Tampa a rejeté un programme de réutilisation de l'eau, communément appelé « Toilet-to-Tap », ce qui n'est pas la meilleure façon de le commercialiser. [Rires.].
Curran: Oui. [Rires.].
Eckelberry: Les gens n'adhèrent tout simplement pas à cette idée, donc cela ne se fera pas à l'échelle centrale ; cela se fera en marge.
Curran: Hmm. D'accord. Parlons de la décentralisation de l'approvisionnement en eau. Pourquoi est-ce une bonne idée ? En quoi cela nous permettrait-il d'être plus en sécurité ?
Eckelberry: Ce que vous sous-entendez, c'est : qu'en est-il de la contamination de l'eau douce par une Cyberattaque ? La vieille histoire du LSD dans le réservoir d'eau du ’60s. Et c'est un problème. Il ne fait aucun doute qu'il s'agit d'une faille béante.
C'est, vous savez, c'est curieux, on ne voit pas cela arriver souvent. Même maintenant, je garde un œil sur ce qui se passe en Ukraine. Je n'ai pas entendu parler de quelqu'un qui empoisonnerait des réservoirs. Je pense que ce serait un acte de guerre particulièrement agressif. C'est une possibilité assez lointaine.
Ce qui me semble plus probable, c'est que le fonctionnement de la ville soit perturbé d'une façon ou d'une autre par une cyberattaque, rendant la distribution physique de l'eau impossible — les pompes tombent en panne, ou des ordres contradictoires sont émis dans le système, et la pression de l'eau disparaît soudainement.
Je pense que c'est plus probable que la contamination de l'eau. Et je pense que c'est logique. Si je me préparais en ce moment, j'envisagerais une source d'eau alternative. J'aurais ma source de puits configurée en tant que solution de secours. Et je pense que les entreprises devront commencer à réfléchir à leur risque hydrique de cette façon.
Mais vous continuerez à dépendre de la ville pour cela, de la même façon que je dépends du réseau électrique pour mon alimentation, mais avec une batterie de secours. Vous continuez à vous approvisionner en eau auprès de la ville, et si les choses venaient à défaillir, vous devriez disposer d'une solution de repli à partir de l'aquifère. Mais malheureusement, c'est une somme considérable à investir dans une police d'assurance.
Curran: L'idée de décentralisation peut-elle répondre aux risques cybernétiques dans d'autres services publics, comme le réseau électrique ?
Eckelberry: Dans le cas du réseau électrique, certaines personnes produisent leur propre énergie, principalement grâce au solaire. C'est une excellente chose, car elles peuvent s'appuyer sur leurs propres ressources.
Je suis assez âgé pour avoir vécu la grande panne d'électricité de New York qui s'est produite dans les années soixante. Donc de plus en plus de personnes optent pour le solaire. Mais je pense que la situation devra vraiment se dégrader de façon considérable avant que les gens commencent à y réfléchir sérieusement. Et je crois que c'est l'attitude de la plupart des gens. C'est comme si quelqu'un s'en occupait, et cela ne m'inquiète que si, tout à coup, il n'y a plus d'eau.
Curran: Oui. Le solaire a certainement fait des progrès. Je suis à mi-chemin. J'ai des panneaux solaires sur mon toit, mais je n'ai pas de batteries dans le garage. Je dépends donc toujours du réseau électrique. Mais on n'entend tout simplement pas ces conversations. Et je pense que c'est l'un des problèmes majeurs avec les infrastructures : le financement. Comment surmonter les problèmes de financement ?
Eckelberry: Je me suis engagé dans une mission : il y a une dimension de justice sociale dans tout cela, à savoir que des populations comme celles que nous venons de voir à Jackson, Mississippi, sont lésées en matière de santé. Du plomb dans les canalisations, de l'eau marron, tout ça. C'est un scandale.
Et si nous formulions le message ainsi : « Écoutez, c'est important, et d'ailleurs, vous n'avez pas besoin de lever $3 milliards pour résoudre le problème ; il suffit de délester les utilisateurs professionnels et agricoles via ce qui est désormais un système décentralisé très mature. » C'est le message que nous cherchons à faire entendre.
Je pense que nous devons commencer, à travers ces podcasts, la presse et divers canaux, à amener les gens à réfléchir à ce que cela donnerait si nous misionsur l'autonomie. Qu'en est-il ? Pourquoi ne pas opter pour l'autonomie ?
Curran : Revenons un peu sur la décentralisation. Vous êtes particulièrement bien placé, ayant mené CyberDefender jusqu'à l'introduction en bourse d'une société de logiciels de cybersécurité. Quels sont donc les risques ? Et d'un point de vue cybersécurité, quel est l'avantage ? Car la décentralisation élargit de toute évidence la surface d'attaque. N'est-ce pas un problème ?
Eckelberry: En fait, vous réduisez les points de défaillance, n'est-ce pas ? Internet a été conçu à l'origine comme un réseau à toute épreuve. Ce n'est plus le cas aujourd'hui, mais à l'origine, il reposait sur des nœuds indépendants fonctionnant selon un principe de stockage et de transmission. C'était une conception efficace. Et elle était décentralisée.
Internet était décentralisé à l'origine. Aujourd'hui, nous pourrions faire de même avec l'eau. Vous réduisez les points de défaillance. …Vous vous dites sans doute que oui, mais qu'une brasserie pourrait être contaminée. Très bien. Donc la brasserie est infectée, mais elle ne contamine pas l'ensemble du réseau, c'est ça ? Vous réduisez ainsi le nombre de problèmes, comme une panne sur un grand réseau électrique. Si une grande redondance y est intégrée via le solaire, entre autres, la chute ne sera pas aussi rapide.
En règle générale, la décentralisation est une bonne chose. Et sachant ce qu'est la nature humaine, il y aura des failles, n'est-ce pas ? Avez-vous déjà entendu l'histoire de la façon dont les Mongols ont finalement conquis la Grande Muraille de Chine ? Ils ont simplement soudoyé l'un des commandants de tour. [Rires.]
Curran: [Rires.].
Eckelberry: C'était tout.
Curran: [Rires.]. Je m'attendais à quelque chose d'un peu plus développé que ça.
Eckelberry: Ils sont simplement entrés. En d'autres termes, le facteur humain est la grande faiblesse.
Curran: Oui.
Eckelberry: Vous pouvez avoir tous les systèmes que vous voulez, mais au bout du compte, ce sont les personnes qui en ont la charge. Et c'est là le vrai problème : le maillon humain va engendrer des difficultés. Et vous n'y échapperez pas. Vous n'allez pas soudainement éliminer le facteur humain. C'est la nature des choses.
Alors, quand vous décentralisez, qu'est-ce que vous faites ? Vous installez des systèmes plus récents, vous modernisez le réseau. J'ai acheté une Tesla. Je me suis donc modernisé. Cette petite plateforme que j'ai ? C'est une voiture intelligente ; elle dispose de toutes sortes de fonctions de sécurité. J'ai transformé toute mon expérience de conduite avec la Tesla.
Donc l'eau en tant que service, ce que nous appelons l'eau à la demande, est sans doute la meilleure solution au problème. Et nous allons devoir faire pression pour des améliorations centralisées. Mais n'oubliez pas, plus nous décentralisons, plus la vie sera facile pour tous ces fournisseurs municipaux.
Curran: Riggs, vous avez mentionné le LSD dans l'eau dans le ’60s. Mais il y a eu un piratage à Oldsmar, en Floride, dans la station de traitement des eaux. C'était un exemple d'intrusion. Diriez-vous que l'infrastructure critique est dans le viseur d'acteurs malveillants au sein d'États-nations en ce moment ?
Eckelberry: L'infrastructure critique, oui. Je pense qu'ils sont davantage concentrés sur l'énergie, à vrai dire.
Curran: D'accord. Pourquoi donc ?
Eckelberry: C'est plus spectaculaire, n'est-ce pas ? On peut causer beaucoup plus de dégâts en peu de temps. Mettre le réseau électrique hors service. Tout le monde vous remarque, n'est-ce pas ?
Curran: Oui.
Eckelberry: D'une seconde à l'autre. Merci beaucoup.
Curran: Vous vous souvenez encore de la panne de courant à New York, donc je veux dire, ça a des effets durables, je suppose.
Eckelberry: Il y a eu une forte hausse des naissances juste après, non ?
Curran: [Rires.]. Tout à fait.
Eckelberry: [Rires.].
Curran: Exactement.
Eckelberry: Les gens passaient 12 heures dans un ascenseur. À un moment, il se passe forcément quelque chose.
Curran: Oui. [Rires.] Je suis curieux. Riggs, vous avez eu une carrière remarquable. Pourquoi vous concentrer sur les systèmes d'eau et la cybersécurité nécessaire pour les protéger à ce stade de votre carrière ?
Eckelberry: Il est vrai que je n'ai pas choisi de travailler dans le secteur de l'eau. Je viens du secteur des hautes technologies, et mes débuts dans cette entreprise ont été dans un substitut aux biocarburants à base d'algues. Fascinant. Je m'amusais beaucoup. Mais d'une certaine façon, on est attiré par les domaines qui ont le plus besoin de nous, je dirais.
C'est ainsi que je me suis retrouvé, presque par hasard, à mener un combat difficile dès le départ. Je vous assure que lorsque j'ai commencé à parler d'eau décentralisée en 2016, les gens étaient perplexes. Quoi ? Aujourd'hui, les gens commencent à le comprendre, vous savez ? De plus en plus de personnes prennent conscience que l'autonomie est d'une importance capitale. Je pense donc que les hautes technologies s'étendent à tous les secteurs d'activité. Oui.
La mentalité de disruption propre aux hautes technologies et l'ensemble de leur cycle de vie, qui est un cycle continu, font leur entrée dans les marchés traditionnels. C'est pour cette raison qu'Airbnb a supplanté les hôtels et Uber les taxis. Et cela va se produire dans le secteur de l'eau.
C'est déjà en train de se produire. J'ai donc vraiment le sentiment d'être au bon endroit pour mener à bien ce projet. J'adore ça. C'est tellement unique. Et laissez-moi vous dire combien de personnes réagissent en disant : ah, vous travaillez sur l'eau. Dieu merci, je vous en suis vraiment reconnaissant. Les gens sont conscients qu'il y a un problème. Vraiment.
Curran: Mm-hmm. Si vous aviez un conseil à donner aux fournisseurs centraux, comment pourraient-ils mieux nous protéger, nous les citoyens ?
Eckelberry: Eh bien, avant tout, procédons étape par étape. Premièrement, encourageons la décentralisation. Plus nous y recourons, plus le système sera robuste. Et cela favorisera le recyclage, entre autres.
Deuxièmement, essayons d'attirer l'attention des décideurs sur ce problème. En leur disant : nous avons un problème, faisons quelque chose. Continuons à avancer.
Curran: Je perçois la passion dans votre voix, Riggs, et je vous remercie du temps que vous m'avez accordé aujourd'hui.
Eckelberry: C'est un vrai plaisir, Mike. Cette conversation a été des plus enrichissantes. J'espère que vous ferez passer le message. Un podcast à la fois.
Curran: Je me suis entretenu avec Riggs Eckelberry, CEO d'OriginClear.
Si vous souhaitez en savoir plus sur les menaces croissantes qui pèsent sur les infrastructures critiques et sur les solutions innovantes pour les contrer, consultez le nouveau magazine en ligne de Tanium dédié à la cybersécurité sur Tanium.com. Pour écouter d'autres conversations avec les grands leaders du monde des affaires et les experts en sécurité d'aujourd'hui, abonnez-vous à Let's Converge sur votre application de podcast préférée, comme Apple Podcasts et Spotify. Si cet épisode vous a plu, n'hésitez pas à nous attribuer une note de cinq étoiles.
Merci de votre écoute. Nous avons hâte de partager de nouvelles perspectives en matière de cybersécurité lors du prochain épisode de Let's Converge.
