Fin juillet, une série de cyberattaques a frappé des services américains d'approvisionnement en eau et de traitement des eaux usées, ce qui a donné lieu à la publication d’un avis conjoint du FBI, de l’EPA et de la CISA. Cet avis décrit les activités observées, identifie les techniques utilisées et présente les mesures d'atténuation recommandées pour le secteur. Selon cet avis, ces activités visaient les systèmes opérationnels et administratifs dont dépendent les services publics pour fournir de l'eau potable ; l'attribution et la caractérisation des auteurs de la menace par les agences fédérales doivent être considérées comme la source faisant autorité, et cet article s'y réfère tout au long de son contenu.

À lire également : Pourquoi la planification de l'isolement des technologies opérationnelles nécessite une continuité des communications

Les avis se présentent sous la forme de listes de mesures d'atténuation. Les interventions s'effectuent selon une succession de décisions prises dans l'urgence. La chose la plus utile qu'un service public puisse faire avec un avis est de transposer ses recommandations sur la chronologie d'un incident réel, car cette transposition permet de distinguer les recommandations qui relèvent de la préparation à mettre en œuvre dès maintenant de celles qui concernent les capacités que l'on doit déjà posséder lorsque le compte à rebours commence.

De l'heure zéro à l'heure six : détection et confinement

Les recommandations à court terme de l'avis se concentrent sur l'identification et l'élimination des accès non autorisés : vérification des voies d'accès à distance, réinitialisation des identifiants et isolation des segments affectés. Ce que la vue chronologique met en évidence, c’est que chacune de ces actions est coordonnée par des personnes qui, dans les premières heures, travaillent de nuit et le week-end — et utilisent leurs téléphones personnels. Les services publics qui ont réagi le plus rapidement lors des attaques de juillet sont ceux qui ont pu mobiliser leur équipe d’intervention en quelques minutes, via des canaux auxquels ils faisaient confiance, en s’assurant de l’identité des personnes impliquées. La rapidité d’alerte et la fiabilité des communications ne sont pas mentionnées comme des éléments distincts dans la plupart des avis de sécurité, mais elles constituent le fondement sur lequel repose chaque action recommandée.

Du premier au troisième jour : expulsion et continuité

À mesure que le confinement progresse, les recommandations de l'avis s'orientent vers le renforcement de la sécurité : segmentation des systèmes informatiques (IT) et opérationnels (OT), suppression de toute exposition inutile des systèmes de contrôle à Internet et validation des sauvegardes. Dans ce contexte, la contrainte pratique pour la plupart des petits services publics n’est pas de savoir quoi faire, mais de mener ces actions tout en continuant à traiter l’eau, à informer les autorités de régulation, à coordonner les opérations avec les réseaux voisins et à gérer la communication avec le public, souvent avec un effectif compté sur les doigts d’une main. La continuité du commandement, c’est-à-dire un canal de coordination permanent et sécurisé pour la direction et les opérations, est ce qui empêche les tâches techniques et les tâches institutionnelles d’entrer en conflit.

Les avis énumèrent les mesures d'atténuation. Les incidents exigent une coordination. C'est dans le fossé qui sépare ces deux aspects que les petits services publics rencontrent le plus de difficultés, mais il est possible de le combler avant le prochain incident.

Première semaine et au-delà : renforcement et validation

Les recommandations à plus long terme formulées dans cet avis, notamment en matière de gestion des identifiants, de surveillance et de planification de la réponse aux incidents, récompensent les services publics qui considèrent les événements de juillet comme un exercice plutôt que comme un accident évité de justesse. Deux exercices s’avèrent immédiatement rentables. Premièrement, un exercice de contact et d’alerte : combien de temps faut-il pour joindre tous les intervenants et confirmer la réception du message, et ce processus reste-t-il opérationnel en cas de perte de la messagerie électronique et de la téléphonie d’entreprise ? Deuxièmement, un exercice sur les canaux sécurisés : si les réseaux principaux étaient compromis demain, par quel canal la direction discuterait-elle des mesures de confinement, et ce canal est-il chiffré, authentifié et indépendant de l’infrastructure affectée ?

La plupart des services publics qui mènent ces exercices constatent les trois mêmes lacunes : l'alerte repose sur une chaîne d'appel manuelle, le canal de coordination de secours repose sur l'envoi de messages aux consommateurs sur leurs appareils personnels, et personne ne peut affirmer avec certitude quels appareils de la chaîne d'intervention sont gérés et mis à jour. Ces trois problèmes peuvent être résolus en l'espace d'un trimestre, sans intervenir sur le réseau de contrôle.

Conclusions au niveau sectoriel

Les attaques de juillet et l’avis conjoint confirment ce que les défenseurs du secteur de l’eau affirment depuis des années : cette infrastructure critique est prise pour cible, ces attaques sont documentées dans des avis fédéraux et ne relèvent donc pas de l’hypothèse, et les opérateurs chargés de la défense comptent parmi ceux qui disposent des ressources les plus limitées de tous les secteurs. La bonne réponse ne consiste pas à tenter de mettre en œuvre simultanément toutes les mesures préconisées dans l’avis. Il s’agit plutôt de procéder par étapes : sécuriser d’abord la couche de coordination, car c’est de cette capacité que dépendent toutes les autres mesures d’atténuation lorsque le prochain avis décrira un événement en cours plutôt qu’un événement maîtrisé.