Résumé
Des gangs cybercriminels ont menacé les services municipaux d'eau du Maine à la Californie, et ces attaques sont en hausse à mesure que davantage de systèmes se numérisent. Est-il temps de décentraliser nos approvisionnements en eau ? C'est la nouvelle approche radicale qui pourrait protéger non seulement l'eau, mais aussi d'autres infrastructures critiques.
ANIMATEUR : Mike Curran, VP talent mondial, Tanium
INVITÉ : Riggs Eckelberry, PDG, OriginClear
Notes de l'émission
Consultez ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à la cybersécurité.
- La cyberguerre menée par la Russie vise les infrastructures critiques occidentales
- À quoi ressemblera une cyberattaque contre notre réseau électrique ?
- Pourquoi les cybercriminels ciblent-ils les petits services publics ?
Transcription
L'entretien suivant a été édité pour plus de clarté.
Mike Curran : Le président Biden a annoncé le Plan d'action pour le secteur de l'eau en janvier dernier, je crois ?
Riggs Eckelberry : En effet.
Curran : Et il était prévu d'installer des protections cybernétiques sur les systèmes d'eau dans 100 jours. Dans quelle mesure cela a-t-il été couronné de succès ?
Eckelberry : Eh bien, où est le financement ? Je veux dire, c'est comme, OK, vous savez, le roi Canut fait un geste et les eaux se retirent ? Non, il faut réellement financer le plan et le soutenir.
Curran: Les systèmes d'eau vieillissants, longtemps affectés par des canalisations qui se désintègrent, doivent maintenant faire face à un autre danger : ces dernières années, des acteurs ont menacé les opérations municipales d'eau potable et d'eaux usées à travers les États-Unis, du Maine à la Floride, du Maryland à la Californie, et de telles attaques sont en hausse à mesure que davantage de systèmes se numérisent.
Bonjour, je suis Mike Curran, et aujourd'hui dans Let's Converge, nous parlons de la sécurité de l'eau et des infrastructures critiques.
Mon invité aujourd'hui est Riggs Eckelberry, le PDG d'OriginClear, une startup qui cherche à perturber l'industrie des services de l'eau, un secteur d'un billion de dollars.
Riggs aborde la question de l'eau depuis le monde de la haute technologie. En tant que président et PDG de la société de logiciels de sécurité Cyber Defender, il a mené cette entreprise à une introduction en bourse sur le Nasdaq. Il cherche maintenant à créer un puissant et rentable « Airbnb de l'eau », privatisant le traitement de l'eau et le finançant avec des rentes d'eau à haut rendement adossées à des actifs.
Alors, Riggs, nous savons que les systèmes d'eau publics sont sous-financés, mais le problème résultant de ce sous-financement dont nous entendons généralement parler est lié à la santé. Vous savez, les vieilles canalisations en plomb qui lixivient des toxines dans les systèmes d'eau, comme à Flint, dans le Michigan. Mais il existe une autre vulnérabilité : le risque de cyberattaque. Dans quelle mesure êtes-vous préoccupé par une cyberattaque sur nos approvisionnements en eau ?
Eckelberry: Eh bien, Mike, c'est inévitable parce que nous avons 150 000-plus des systèmes d'eau, ce qui signifie qu'il y en a beaucoup de très petits. Ce sont de petits systèmes ruraux. Et par conséquent, on peut se retrouver face au problème de ne tout simplement pas avoir assez de ressources pour gérer le problème.
C'est un problème généralisé. Donc, comme vous l'avez mentionné, les systèmes d'eau sont généralement sous-financés, à hauteur de $75 milliards—en négatif—chaque année. Donc nous creusons ce gouffre énorme, et franchement, je pense que les gens s'inquiètent moins des cyberattaques que de la qualité de l'eau. Et je ne peux pas dire qu'ils ont tort.
Curran: Quand vous dites « sous-financés », est-ce simplement qu'il y a des améliorations évidentes qui doivent être apportées ? Ou ils ne votent tout simplement pas d'obligations pour financer ces systèmes ? Définissez « sous-financés ».
Eckelberry: Eh bien, depuis 1970s, la contribution du gouvernement fédéral aux systèmes d'eau municipaux a complètement, presque disparu. En fait, on est passé des subventions aux prêts. Donc le gouvernement fédéral s'est complètement retiré du secteur de l'eau.
Les villes et les comtés, les districts hydrauliques qui effectuaient le travail, ont également été confrontés à des exigences croissantes en matière de normes de l'eau. Par exemple, disons que les normes relatives à l'arsenic augmentaient et que cela créait une charge supplémentaire. Et enfin, vous avez des populations croissantes.
Et voici le facteur le plus récent, à savoir que des populations se déplacent des mégapoles vers les zones reculées. Alors, c'est formidable que nous ayons déménagé dans le comté de Bergen. Mais le comté de Bergen n'a peut-être pas les ressources nécessaires, comme ils en avaient à Hoboken ou à Staten Island. C'est le problème, c'est que vous avez des systèmes surchargés en raison de la demande, des réglementations, et tout simplement d'un manque de financement. Luxe Research a quantifié cela comme étant environ $75 milliards d'arriéré croissant chaque année.
Curran: Donc le problème ne cesse de s'aggraver d'année en année.
Eckelberry: Mais pour revenir à la question cybernétique, en fin de compte, ce sera le gouvernement fédéral qui devra s'impliquer, car qui va tout coordonner ? Qui va établir des normes uniformes pour les défenses en profondeur ?
Je suis issu de l'industrie des logiciels de sécurité. C'est ce que j'ai fait pendant des années. J'ai introduit en bourse une société de logiciels de sécurité au début des 2000s. Et la meilleure défense, bien sûr, est constituée de défenses en couches et en profondeur. Eh bien, vous avez des identifiants avec le mot de passe étant le mot « password ». Je veux dire, ce n'est pas un environnement sécurisé.
Curran: Mm. D'accord.
Eckelberry : Ce qui est bien, c'est que jusqu'à présent, les cyberattaques qui se sont produites ont été déjouées grâce à la vigilance des individus. Donc un individu a remarqué, Hé, qu'est-ce qui se passe ici, et, vous savez, a fermé une vanne ou autre chose. Et c'est l'avantage des systèmes relativement anciens, ils ne sont pas trop compliqués ; si les choses tournent mal, ils peuvent être arrêtés. Mais, vous savez, en fin de compte, nous devons faire quelque chose.
Curran : Il semble que cela soit remarqué. Je veux dire, le président Biden a annoncé le Plan d'action pour le secteur de l'eau en janvier [2022], je crois.
Eckelberry : Bien sûr.
Curran : Et il était prévu d'installer des protections cybernétiques sur les systèmes d'eau dans 100 jours. Dans quelle mesure cela a-t-il été efficace, Riggs ?
Eckelberry: Eh bien, où est le financement ? Je veux dire, c'est comme, OK, vous savez, le roi Canut fait un geste et les eaux se retirent ? Non, il faut réellement financer le plan et le soutenir.
Et pendant ce temps, vous avez des municipalités. Je veux dire, il y a cette histoire à Compton, en Californie, il y a trois, quatre ans, où l'eau a commencé à couler marron, et les résidents ont dit, qu'est-ce qui se passe avec ça ? Le district des eaux a dit, eh bien, c'est du magnésium, mais ça ne vous fait pas de mal. Et ils ont répondu, eh bien, nous préférerions avoir de l'eau claire si c'est possible. Et le district des eaux a dit, eh bien, ça aurait été bien si vous aviez voté les fonds pour les 10, 15 dernières années, mais vous ne l'avez pas fait.
Cela a été résolu simplement en étant absorbé par le district métropolitain de la ville de Los Angeles. Mais quand même, cela illustre le problème, à savoir que les villes et les comtés ont de très nombreuses préoccupations, et l'eau a tendance à être « loin des yeux, loin du cœur ».
Et le vrai problème, à mon avis, et ce qui en fait un scandale, c'est que 89% de l'utilisation de l'eau est due à l'industrie et à l'agriculture—aux États-Unis, à parts à peu près égales. Alors pourquoi les villes et les comtés doivent-ils gérer toute cette charge commerciale et industrielle alors qu'ils devraient vraiment se consacrer à l'approvisionnement en eau des habitants ? Les résidents.
Curran: Tout à fait, tout à fait, tout à fait. Tout à fait. Mais parlons un peu d'OriginClear. Votre entreprise a une idée plutôt ambitieuse : je crois comprendre que vous proposez ces petits systèmes modulaires préfabriqués de traitement de l'eau. Ils permettent aux entreprises et aux lotissements d'avoir leur propre approvisionnement en eau dédié. Comment cela fonctionne-t-il exactement, Riggs ?
Eckelberry: Tout d'abord, il existe une tendance, une tendance naturelle, vers les systèmes d'eau hors réseau. Car, par exemple, si vous êtes un promoteur immobilier dans une zone très prisée, comme la Floride, vous manquez d'espace. C'est l'emplacement, l'emplacement, l'emplacement. Et si vous voulez vous installer dans un endroit plutôt agréable, vous allez regarder des endroits qui ne sont pas desservis par les égouts, et là vous faites face à une grosse facture pour les raccorder.
Eh bien, la technologie existe aujourd'hui pour rendre ces endroits complètement autonomes, et vous avez maintenant la possibilité de créer des communautés résidentielles véritablement autosuffisantes. Et c'est déjà en train de se produire.
Nous travaillons, par exemple, avec un projet de « tiny homes » au Texas pour les sans-abri. C'est un projet vraiment fascinant. Et ils se sont déjà engagés à assurer le traitement de l'eau pour ce site, à en prendre soin afin de ne pas alourdir la charge de la municipalité.
Donc c'est déjà en train de se faire. Maintenant, nous passons en quelque sorte à la vitesse supérieure en le transformant en eau-en-tant-que-service, car selon moi, certes, certaines personnes ont tout l'argent dont elles ont besoin, mais la plupart n'en ont pas. Et donc si vous essayez, disons, de gérer une brasserie, et que tout d'un coup vous devez gérer l'eau, eh bien, en général, vous n'avez pas les fonds nécessaires pour gérer l'eau. En général, vous êtes financé pour fabriquer de la bière.
Donc ce que nous disons, c'est, écoutez, nous allons simplement remplacer la ville. Vous paierez toujours au compteur, mais vous nous paierez. Et nous installerons le système d'eau à nos frais. Nous l'entretiendrons. Vous payez simplement au gallon. Et c'est ce qu'on appelle génériquement l'eau en tant que service.
Nous l'appelons « l'eau à la demande ». Et ce qui est unique dans notre programme, c'est qu'il est ouvert aux investisseurs ordinaires pour qu'ils puissent bénéficier d'un investissement basé sur des actifs. C'est donc très similaire à ces sociétés en commandite dans le pétrole et le gaz où vous pouvez investir dans un puits de pétrole — vous et moi pouvons le faire. C'est un investissement sophistiqué, mais c'est quelque chose que tout le monde peut faire. Et nous croyons que c'est l'avenir de l'eau en tant que service, c'est d'impliquer les investisseurs ordinaires.
Curran: Mm. D'accord. Disons que je possède cette brasserie. Pourquoi voudrais-je opter pour l'eau en tant que service plutôt que de passer par le service public ?
Eckelberry: Eh bien, tout d'abord, les tarifs de l'eau augmentent rapidement, parfois à des taux insoutenables, 65% plus élevés que l'inflation ordinaire. Deuxièmement, si vous traitez votre propre eau, vous pouvez en tirer plus d'un usage, ce qui est intéressant sur le plan commercial.
Curran : Oui. J'adore l'idée du recyclage.
Eckelberry: Nous n'en faisons pas assez dans ce pays.
Curran: C'est vrai, c'est vrai.
Eckelberry: Vous avez entendu les statistiques. Je veux dire, c'est fou. Vous savez, Israël parvient à atteindre presque 90% de recyclage, mais ils ont une économie dirigée ; ils peuvent essentiellement dire : « Qu'il en soit ainsi. » Nous avons un système très fragmenté. En conséquence, il n'y a pas beaucoup d'action ; les villes ont du mal à le faire. Je viens de voir que le conseil municipal de Tampa a rejeté un programme de réutilisation de l'eau, communément appelé « Des toilettes au robinet », ce qui n'est pas une très bonne façon de le commercialiser. [Rire.].
Curran : Oui. [Rire.].
Eckelberry: Donc les gens n'aiment tout simplement pas ça, donc ça ne va pas se produire de manière centralisée ; ça va se produire en marge.
Curran: Hmm. D'accord. Parlons de la décentralisation de l'approvisionnement en eau. Pourquoi est-ce une bonne idée ? Pourquoi cela nous permettra-t-il d'être plus en sécurité ?
Eckelberry : Ce à quoi vous faites allusion, c'est la question de l'eau douce contaminée par une cyberattaque ? La vieille histoire du LSD dans le réservoir d'eau de ’60s. Et c'est effectivement un problème. Il ne fait aucun doute que c'est une faille béante.
C'est, vous savez, c'est drôle, on ne voit pas ça arriver souvent. Même maintenant, je surveille un peu ce qui se passe en Ukraine. Je n'ai pas entendu parler de quelqu'un qui aurait empoisonné des réservoirs. Je pense que ce serait un acte de guerre assez agressif. C'est une possibilité assez lointaine.
Ce que je pense être plus susceptible de se produire, c'est que le fonctionnement de la ville soit interrompu d'une façon ou d'une autre par une cyberattaque, et qu'ils ne puissent alors plus distribuer l'eau physiquement — les pompes tombent en panne, ou des ordres contraires sont émis dans le système, et soudainement la pression de l'eau disparaît.
Je pense que c'est plus probable que la contamination de l'eau. Et je pense que ça a du sens. Si je me préparais en ce moment, je penserais à une source d'eau alternative. J'aurais ma source de puits configurée comme solution de secours. Et je pense que les entreprises devront commencer à réfléchir à leur risque hydrique de cette façon.
Mais vous allez quand même compter sur la ville pour cela, de la même façon que je compte sur le réseau électrique pour mon alimentation en énergie, mais j'ai une batterie de secours. Vous obtenez toujours votre eau de la ville, et si les choses échouent, vous devriez avoir une solution de repli grâce à l'aquifère. Mais malheureusement, c'est beaucoup d'argent à dépenser pour une police d'assurance.
Curran: L'idée de la décentralisation, peut-elle répondre aux risques cybernétiques dans d'autres services publics, comme le réseau électrique ?
Eckelberry: Dans le cas du réseau électrique, il y a des gens qui produisent leur propre électricité, principalement grâce au solaire. Et c'est vraiment bien parce qu'ils peuvent se replier sur leurs propres ressources.
Je suis assez vieux pour avoir vécu la grande panne de courant de New York qui s'est produite dans les années soixante. Donc les gens ont de plus en plus recours au solaire. Mais je pense que les choses vont devoir vraiment, vraiment, vraiment empirer beaucoup pour que les gens commencent sérieusement à réfléchir à cela. Et je pense que c'est l'attitude de la plupart des gens. C'est comme si c'était quelque chose dont quelqu'un s'occupe, et ça ne m'inquiète que si tout d'un coup il n'y a plus d'eau.
Curran: Oui, le solaire a certainement fait quelques progrès. Je suis à mi-chemin. J'ai des panneaux solaires sur mon toit, mais je n'ai pas les batteries dans le garage. Je dépends donc encore du réseau électrique. Mais on n'entend tout simplement pas les conversations. Et je suppose que c'est l'un des problèmes majeurs avec les infrastructures, c'est le financement. Je veux dire, comment surmontons-nous les problèmes de financement ?
Eckelberry : Eh bien, je me suis en quelque sorte donné une mission : il y a un aspect justice sociale dans tout cela, à savoir que nous avons des populations comme celle que nous venons de voir à Jackson, Mississippi, qui sont lésées en matière de santé. Du plomb dans les canalisations, de l'eau brune, tout ça. C'est un scandale.
Et si on le présente comme : « Hé, c'est important, et d'ailleurs, vous n'avez pas besoin de lever $3 milliards pour résoudre le problème ; déchargez simplement les utilisateurs industriels et agricoles grâce à ce qui est désormais un système décentralisé très mature. » C'est un message que nous crions haut et fort.
Je crois que nous devons simplement commencer, à travers ces podcasts, à travers la presse, à travers divers moyens, à amener les gens à réfléchir à ce qui se passerait si nous visions simplement l'autosuffisance. Qu'en est-il de cela ? Pourquoi ne pas devenir autosuffisant ?
Curran : Revenons un peu en arrière sur la décentralisation. Vous êtes particulièrement qualifié, ayant introduit CyberDefender en bourse en tant que société de logiciels de cybersécurité. Quels sont donc les risques ? Et d'un point de vue cybersécurité, quel est l'avantage ? Parce qu'il est évident que la décentralisation élargit la surface d'attaque. N'est-ce pas un problème ?
Eckelberry: Eh bien, vous créez moins de points de défaillance, n'est-ce pas ? Internet a été conçu à l'origine pour être un réseau de sécurité. Ce n'est plus le cas, mais à l'origine il a été mis en place sur la base de ces nœuds indépendants qui fonctionneraient sur un principe de stockage et de transmission. C'était une conception efficace. Et elle était décentralisée.
Internet était à l'origine décentralisé. Aujourd'hui, nous pourrions faire la même chose avec l'eau. Vous réduisez les points de défaillance. …Maintenant vous pensez, eh bien, oui, mais une brasserie pourrait être infectée. Très bien. Donc la brasserie est infectée, mais elle n'infecte pas tout le réseau, n'est-ce pas ? Donc vous réduisez le nombre de problèmes, et c'est comme une panne d'un grand réseau énergétique. S'il y a beaucoup de redondance intégrée grâce au solaire, et cetera, alors ça ne va pas tomber aussi vite.
Donc en général, la décentralisation est une bonne chose. Et étant donné que nous connaissons la nature humaine, il y aura des vulnérabilités, vous savez ? Avez-vous déjà entendu l'histoire de la façon dont les Mongols ont finalement conquis la Grande Muraille de Chine. Ils ont simplement soudoyé l'un des commandants de tour. [Rire.]
Curran: [Rire.].
Eckelberry: C'était tout.
Curran: [Rire.]. Je m'attendais à quelque chose d'un peu plus développé que ça.
Eckelberry: Ils sont simplement entrés. En d'autres termes, le facteur humain est la grande faiblesse.
Curran : Oui.
Eckelberry: Vous pouvez avoir tous les systèmes que vous voulez, mais en fin de compte, les gens en sont responsables. Et c'est vraiment le problème : le maillon humain va causer des problèmes. Et vous n'allez pas vous en sortir. Vous n'allez pas soudainement vous débarrasser du facteur humain. C'est la nature des choses.
Alors quand vous décentralisez, que faites-vous ? Vous installez de nouveaux systèmes, vous modernisez le réseau. Par exemple, j'ai acheté une Tesla. J'ai donc modernisé. Cette petite plateforme que j'ai ? C'est une voiture intelligente ; elle dispose de toutes sortes de dispositifs de sécurité. J'ai amélioré toute mon expérience de conduite avec la Tesla.
Donc l'eau en tant que service, ce que nous appelons l'eau à la demande, est probablement la meilleure solution au problème. Et nous allons simplement devoir faire pression pour des améliorations centralisées. Mais rappelez-vous, plus nous décentralisons, plus la vie sera facile pour tous ces fournisseurs municipaux.
Curran: Riggs, vous avez mentionné le LSD dans l'eau dans le ’60s. Mais il y a eu un piratage à Oldsmar, en Floride, dans la station de traitement des eaux là-bas. C'était un exemple d'intrusion. Diriez-vous que les infrastructures critiques sont dans la ligne de mire de mauvais acteurs et d'États-nations en ce moment ?
Eckelberry: Les infrastructures critiques, oui. Je pense qu'ils sont davantage concentrés sur le pouvoir, franchement.
Curran : D'accord. Pourquoi donc ?
Eckelberry: C'est plus spectaculaire, non ? On peut causer beaucoup plus de dégâts plus rapidement. Faire tomber le réseau électrique. Tout le monde vous remarque, non ?
Curran : Oui.
Eckelberry: D'une seconde à l'autre. Merci beaucoup.
Curran: Vous vous souvenez encore de la panne d'électricité à New York, donc je veux dire, ça a des effets durables, je suppose.
Eckelberry: Il y a eu une forte hausse des naissances juste après ça, non ?
Curran: [Rire.]. C'est exact.
Eckelberry: [Rire.].
Curran: Exactement.
Eckelberry: Les gens passaient 12 des heures dans un ascenseur. Finalement, quelque chose se produit.
Curran : Oui. [Rire.] Je suis curieux. Riggs, vous avez eu une carrière remarquable. Pourquoi vous concentrer sur les systèmes d'eau et la cybersécurité nécessaire pour les protéger à ce stade de votre carrière ?
Eckelberry: Il est vrai que je n'ai pas choisi de travailler dans le domaine de l'eau. Je venais de la haute technologie et les débuts de cette entreprise étaient dans un substitut de biocarburant appelé Algues. Fascinant. Je m'amusais beaucoup. Mais d'une certaine façon, on est plutôt attiré par les choses qui ont le plus besoin de vous, je dirais.
Alors bon gré mal gré, je me suis retrouvé à mener au départ un combat difficile. Je vous le dis, en 2016 quand j'ai commencé à parler d'eau décentralisée, les gens faisaient, hein ? Quoi ? Aujourd'hui, les gens comprennent, vous savez ? De plus en plus de personnes sont conscientes que l'autonomie est extrêmement importante. Je pense donc que la haute technologie migre vers chaque secteur. Oui.
La mentalité high-tech de disruption et l'ensemble du cycle de vie high-tech, qui est un cycle de vie continu, est quelque chose qui arrive sur les marchés traditionnels. C'est pourquoi Airbnb a pris le dessus sur les hôtels et Uber sur les taxis. Et ça va se produire dans le domaine de l'eau.
C'est déjà en train de se produire. Donc je me sens vraiment comme si j'étais au bon endroit pour faire ça. J'adore ça. Vous savez, c'est tellement unique. Et laissez-moi vous dire combien de personnes disent, oh, vous travaillez sur l'eau. Dieu merci, merci, je l'apprécie tellement. Les gens sont conscients qu'il y a un problème. Vraiment.
Curran: Mm-hmm. Si vous aviez un conseil à donner aux fournisseurs centraux, comment peuvent-ils mieux nous protéger, nous les citoyens ?
Eckelberry: Eh bien, tout d'abord, prenons les choses une étape à la fois. Premièrement, promouvons la décentralisation. Plus nous le faisons, plus le système sera robuste. Et cela tendra à favoriser le recyclage et ainsi de suite.
Deuxièmement, essayons d'attirer l'attention des décideurs politiques sur le problème. Genre, Hé, on a un problème, faisons quelque chose. Continuons à avancer.
Curran : J'entends la passion dans votre voix Riggs, donc j'apprécie le temps accordé aujourd'hui.
Eckelberry : C'est un vrai plaisir, Mike. C'était un plaisir d'en parler. J'espère que vous ferez passer le message. C'est un podcast à la fois.
Curran: Je me suis entretenu avec Riggs Eckelberry, PDG d'OriginClear.
Si vous souhaitez en savoir plus sur les menaces croissantes pesant sur les infrastructures critiques et les moyens innovants pour les défendre, consultez le nouveau magazine d'actualité cyber en ligne de Tanium sur Tanium.com. Pour entendre d'autres conversations avec les meilleurs dirigeants d'entreprise et experts en sécurité d'aujourd'hui, assurez-vous de vous abonner à Let's Converge sur votre application de podcast préférée, comme Apple Podcasts et Spotify. Si vous avez aimé cet épisode, veuillez nous donner une note de cinq étoiles.
Merci de nous avoir écoutés. Nous avons hâte de partager d'autres perspectives cyber lors du prochain épisode de Let's Converge.
