Les exploitants d'infrastructures critiques sont invités à se préparer à une réalité plus difficile : le réseau pourrait ne pas être fiable lors de l'incident qu'il est censé aider à résoudre.

Regardez le webinaire à la demande : « Ce que CI Fortify ne dit pas sur la communication »

C'est le principe sur lequel repose CI Fortify, les recommandations conjointes de la CISA, du Centre australien de cybersécurité (Australian Cyber Security Centre) de l'Australian Signals Directorate, du FBI et de partenaires internationaux, notamment le Centre de cybersécurité du Royaume-Uni, le Centre canadien de cybersécurité et les centres de sécurité nationale néo-zélandais. Ces recommandations mettent l'accent sur l'isolation des technologies opérationnelles vitales et des systèmes qui les soutiennent, afin que les services essentiels puissent continuer à fonctionner en cas de crise.

L'objectif technique est pertinent. Mais il soulève une question opérationnelle à laquelle chaque organisme gestionnaire d'infrastructure critique doit répondre avant le prochain incident : une fois le réseau coupé, comment les personnes chargées de la gestion de la crise communiqueront-elles entre elles ?

L'isolement modifie la nature du problème de communication

En temps normal, les communications transitent souvent par les réseaux d'entreprise, les outils de collaboration dans le cloud, les réseaux des opérateurs ou les voies publiques d'Internet. Lors d'un cyberincident, ces canaux peuvent être indisponibles, saturés, compromis ou déconnectés intentionnellement.

Cela signifie que le plan de secours ne peut pas consister à « utiliser les téléphones personnels » ou à « se tourner vers une application de messagerie grand public ». Ces outils peuvent échapper au contrôle de l’organisation, présenter des lacunes en matière de traçabilité, dépendre des mêmes réseaux défaillants ou ne pas être en mesure de fournir les preuves nécessaires après l’incident.

« “Utiliser ses téléphones personnels” ou “passer à une application de messagerie grand public” ne peut pas être la solution de secours. » — Ramon Pinero, vice-président et directeur général, BlackBerry AtHoc

« Hors bande » ne se résume pas à un chemin distinct

Une voie de communication hors bande doit être indépendante des systèmes à isoler. Elle doit être fiable et avoir fait l’objet de tests avant la survenue d’un incident. Elle doit rester opérationnelle dans des conditions dégradées, et pas seulement lors d’un exercice théorique en conditions contrôlées, et elle doit prendre en charge les fonctions indispensables à la conduite des interventions : alerte, accusé de réception, rappel, coordination sécurisée et compte rendu. 

Cela revêt une importance particulière pour votre organisation, car les équipes d’intervention sont souvent réduites. Une entreprise de services publics, par exemple, ne dispose parfois que de quelques personnes qui connaissent bien la centrale, maîtrisent l’environnement de contrôle et sont capables de prendre les bonnes décisions opérationnelles sous pression. Si ces personnes ne peuvent être jointes ni coordonnées, l’isolement technique ne permettra pas d’assurer la résilience opérationnelle.

L'importance du compte rendu de coordination

La résilience est désormais évaluée a posteriori. Les autorités de régulation, les organismes publics, les conseils d’administration et les collectivités peuvent avoir besoin de savoir qui a été informé, qui a réagi, quelles mesures ont été prises et quand les informations essentielles ont été communiquées. Une plateforme de communication conçue uniquement pour assurer la diffusion de l’information, mais non pour fournir des preuves, laissera un vide lorsque votre bilan d’intervention sera examiné.

Les communications hors bande doivent être financées et testées dans le cadre de tout plan de résilience. Elles permettent la transmission des ordres, la responsabilisation du personnel, la coordination sur le terrain et la communication vers l'extérieur lorsque l'on ne peut plus se fier aux infrastructures habituelles. Il ne s'agit pas d'une simple fonction de commodité.

Mettez-le en place avant que l'incident ne se produise

Le test pratique est simple : votre équipe est-elle toujours capable de se coordonner en interne et avec des partenaires externes une fois le réseau isolé ? Si la réponse est « je ne sais pas », vous venez de mettre au jour une faille en matière de résilience.

Pour combler cette lacune, il faut mettre en place un canal hors bande fiable, valider les appareils essentiels à la réponse, vérifier la transmission et l'accusé de réception des alertes, et s'entraîner à suivre ce processus avec le même sérieux que celui accordé à l'isolation technique. Un plan d'isolation qui ne permet pas d'assurer les communications est incomplet. Votre organisation a besoin à la fois de systèmes capables de continuer à fonctionner et de personnes capables de poursuivre la coordination.

Lorsque les systèmes technologiques opérationnels sont hors ligne, la coordination devient impossible

Les récentes cyberattaques visant les services d'approvisionnement en eau américains ont constitué un véritable signal d'alarme. Les réseaux OT des infrastructures critiques constituent des cibles de choix pour les acteurs malveillants, et le risque n'est plus seulement théorique. C'est pourquoi l'avis « CI Fortify » publié le 28 juillet par la CISA constitue une directive claire : il faut se préparer dès aujourd'hui à isoler les systèmes OT vitaux et à maintenir les opérations essentielles.

Pour en savoir plus : rendez-vous sur le Centre de ressources BlackBerry CI Fortify