Lorsqu'un service des eaux coupe ses systèmes technologiques opérationnels à la suite d'un incident cybernétique, l'objectif est d'assurer la continuité des services. Les pompes doivent continuer à fonctionner. Les opérateurs doivent continuer à coordonner les équipes. Les autorités de régulation doivent continuer à recevoir des informations. Les populations doivent continuer à disposer d'une eau potable.

Les récentes recommandations de l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) et de ses partenaires internationaux précisent clairement les exigences techniques. Les opérateurs d’infrastructures critiques doivent être prêts à isoler les technologies opérationnelles vitales et à mettre en place des systèmes indépendants des autres réseaux en cas de perturbation ou de crise. Les attaques contre les réseaux d’eau et d’assainissement en ont démontré la nécessité. Les attaquants ciblant des automates programmables connectés à Internet ont provoqué une perte de surveillance, une perte de contrôle, des avis de faire bouillir l’eau et, dans certains cas, le recours à des opérations manuelles prolongées.

Regardez le webinaire à la demande : « Ce que CI Fortify ne dit pas sur la communication »

L'isolement à lui seul ne suffit pas à rendre une organisation résiliente. Un service public capable de déconnecter son réseau mais incapable de joindre son personnel, de coordonner les équipes, de confirmer les accusés de réception, d'informer les organismes publics ou de consigner sa réponse n'a fait que remplacer un mode de défaillance par un autre. Le plan de communication doit être considéré comme faisant partie intégrante du plan d'isolement, et non comme un élément ajouté après coup.

Un nouvel avis de la CISA formule de nouvelles recommandations sur la manière de maintenir les communications en cas de panne des systèmes. Tous les pays qui exploitent des réseaux d’adduction d’eau, des réseaux électriques, des réseaux de transport et des installations industrielles reposant sur des infrastructures OT sont confrontés au même dilemme : isoler un système compromis entraîne la mise hors service de l’infrastructure de communication qui repose sur le même réseau. Les opérateurs hors des États-Unis devraient considérer cet avis moins comme un document de conformité que comme une indication précoce de la direction que sont susceptibles de prendre leurs propres autorités de régulation.

Dans le cadre de ce plan de 90 jours,chaque phase de 30 jours comble une lacune spécifique, et l'ordre dans lequel elles se succèdent est essentiel. Vous ne pouvez pas coordonner une intervention tant que vous n'êtes pas en mesure de joindre vos collaborateurs, et vous ne pouvez pas faire confiance à un canal de coordination qui passe par la même infrastructure que celle que vous venez de couper.

Jours 1 à 30 : Remplacer la chaîne d'appel manuelle

Les 30 premiers jours doivent être consacrés à la couverture. De nombreux services publics s’appuient encore sur des chaînes d’appel manuelles qui fonctionnent dans des conditions normales, mais qui échouent en situation de crise, notamment la nuit, en cas de conditions météorologiques extrêmes ou lorsque le personnel est déjà débordé. « La chaîne d’appel manuelle ne fonctionne plus à deux ou trois heures du matin », explique Ramon Pinero, vice-président et directeur général d’ BlackBerry AtHoc. C’est précisément à ce moment-là qu’un service des eaux peut le moins se permettre une rupture de communication.

Commencez par mettre en place un processus d'alerte permettant de joindre les employés, les prestataires, les partenaires d'entraide et les parties prenantes externes via plusieurs canaux. Une même alerte doit être diffusée simultanément sur les téléphones, par e-mail et via les applications mobiles, afin que personne ne dépende d'un canal qui se trouverait justement hors service.

La diffusion ne représente que la moitié du processus. Il faut également vérifier qui a reçu l'alerte, qui l'a acquittée et qui est disponible pour intervenir. Lors d'une enquête ou d'un bilan d'après-action, ces informations constituent des éléments de preuve. Un service public capable de montrer précisément qui a été contacté et à quel moment cette personne a réagi peut ainsi justifier ses actions lorsque les autorités de régulation et le public lui posent des questions.

Jours 31 à 60 : Mise en place d'un canal de coordination hors bande

Une fois le système d'alerte mis en place, la priorité suivante est la coordination. Les dirigeants, les opérateurs, les responsables des interventions et les partenaires du secteur public ont besoin d'un moyen de communication fiable lorsque les systèmes d'entreprise, la connexion Internet ou les réseaux des opérateurs sont perturbés ou ne sont plus fiables.

Le test est simple. « Notre équipe sera-t-elle encore capable de se coordonner en interne, ainsi qu’avec l’État et la CISA, une fois le réseau coupé ? », demande M. Pinero. « Si la réponse honnête est que nous n’en sommes pas sûrs, c’est là qu’il faut combler cette lacune. » L’incertitude est le signal qui doit inciter à agir avant un incident, et non pendant celui-ci.

Ce canal doit être opérationnel et avoir fait l’objet de tests avant qu’un incident ne se produise. Son fonctionnement ne doit pas dépendre de l’isolation de cette même infrastructure. Il doit permettre une communication vocale sécurisée, l’échange de messages et la coordination des statuts entre les personnes chargées d’assurer la continuité des services essentiels. Cela implique un chiffrement de bout en bout des conversations et de la transmission, capable de résister même lorsque les réseaux publics sont saturés.

Jours 61 à 90 : Gestion des appareils essentiels à la réponse aux incidents

Au cours du dernier mois, identifiez l'ensemble restreint d'appareils que les responsables de la réponse, les opérateurs et les coordinateurs des secours utiliseront lors d'un incident nécessitant un confinement. Intégrez ces appareils dans votre système de gestion. Vérifiez les contrôles relatifs à l'identité, à l'accès, au chiffrement et aux mises à jour.

« Un canal de secours sur un ordinateur portable compromis n'est tout simplement pas un véritable canal de secours », explique M. Pinero. Le canal de confiance et le dispositif de confiance doivent aller de pair, car si l'un des deux est compromis, cela compromet l'autre.

L'objectif n'est pas de mettre en place un nouveau programme de sécurité de grande envergure. Il s'agit plutôt de s'assurer que la poignée de personnes chargées de la réponse utilisent des appareils et des canaux fiables lorsque le reste de l'environnement est incertain. Pour la plupart des services publics, cela représente un nombre gérable d'appareils et un objectif réaliste à atteindre en 30 jours.

Testez le plan avant d'en avoir besoin

Au 90e jour, le service public devrait être en mesure d'organiser un exercice pratique. Isoler les systèmes concernés. Avertir les équipes d'intervention. Coordonner les opérations manuelles. Informer les partenaires externes. Puis établir un compte rendu indiquant qui a été contacté, par quel canal, quand la réception a été confirmée et quelles mesures ont été prises par la suite.

Ces éléments ne sont pas de simples formalités administratives. Ils démontrent que l’organisation est capable de poursuivre ses activités lorsque le réseau n’est plus un lieu sûr pour la coordination. Un exercice permet également de mettre en évidence les lacunes que cache un plan sur papier : le prestataire dont le numéro a changé, le canal de coordination que personne n’a utilisé depuis six mois, l’appareil qui n’a jamais reçu sa dernière mise à jour.

Pour les services des eaux, c'est là que réside la véritable mesure de la résilience. Il ne s'agit pas de savoir si l'on est capable de couper le réseau, mais si le personnel est capable de se coordonner pour garantir la salubrité de l'eau une fois que cela a été fait.

Pour commencer

La structure en 90 jours fonctionne car elle comble les lacunes dans l’ordre de leur importance : la portée en premier lieu, la coordination ensuite, puis la fiabilité des appareils. Un service n’a pas besoin de tout résoudre d’un seul coup. Il doit savoir que, lorsque le réseau n’est plus fiable, les personnes chargées de la réponse peuvent toujours se retrouver, communiquer en toute sécurité et rendre compte de leurs actions.

Pour les services publics, la priorité n’est pas d’ajouter davantage de complexité. Il s’agit de s’assurer que les personnes concernées puissent être jointes, se coordonner en toute sécurité et rendre compte de leurs actions lorsque les systèmes habituels ne sont pas disponibles ou ne sont pas fiables. BlackBerry soutient cet objectif grâce à des fonctionnalités de communication sécurisées conçues pour les environnements à haut risque, notamment des alertes multicanaux, une coordination hors bande, une protection validée de l’identité et des certifications telles que FIPS, les Critères communs et FedRAMP Classe D (Haut).

Commencez dès aujourd’hui par vous poser cette seule question : si vous isoliez votre technologie opérationnelle ce soir, votre équipe serait-elle encore en mesure de coordonner la réponse d’ici demain matin ? La réponse vous indiquera par où commencer votre plan d’action sur 90 jours.

À lire également :

• Quand un incident cybernétique dans un service des eaux prend une tournure inattendue

• Le Water Watch Center met en évidence les lacunes en matière de cyber-réponse des services des eaux

• Pourquoi les recommandations en matière de sécurité CI ne répondent toujours pas aux besoins des petits opérateurs de services publics

• Partir du principe qu'il y a eu une intrusion : et ensuite ? Aller au-delà du slogan pour se concentrer sur les exigences opérationnelles

• Ce que CI Fortify demande aux services publics d'investir — et la fonctionnalité qu'il ne mentionne jamais

• Quand les téléphones tombent en panne : le problème de coordination que personne ne prévoit