L'eau, c'est la vie. C'est pour cela qu'elle est une cible.

Republié avec l'autorisation de Focus Malaysia.

Il suffit d'ouvrir un robinet pour que l'eau qui en sort soit propre de l'eau. On allume la lumière et on s'attend à ce qu'il y ait de l'électricité. On décroche le téléphone et on s’attend à avoir du réseau. Les infrastructures essentielles sont invisibles lorsqu’elles fonctionnent. Lorsqu’elles tombent en panne, les conséquences sont immédiates, humaines et coûteuses.

Les gouvernements et les secteurs d'activité stratégiques, notamment en Malaisie, reconnaissent que la cyber-résilience ne se limite plus à la seule défense des réseaux.

Solutions de sécurité des infrastructures

Il s'agit de protéger les systèmes physiques qui assurent le bon fonctionnement de l'économie numérique.

Cette réalité a été mise en évidence récemment lorsque plus de 30 réseaux d'approvisionnement en eau du Minnesota auraient été touchés par une cyberattaque coordonnée visant les technologies opérationnelles.

Les pirates ont modifié les paramètres et les mots de passe, provoquant une perte de pression et des inondations, tandis que certaines installations sont passées en mode de fonctionnement manuel.

Ces attaques ont donné lieu à la publication de recommandations par le groupe « Five Eyes » dans le cadre de CI Fortify, recommandant aux opérateurs de préparer leurs systèmes critiques à être isolés des réseaux connectés.

Le message est clair : la résilience ne consiste pas seulement à prévenir les incidents de sécurité, mais aussi à être capable de poursuivre ses activités même en cas d'incident.

Pour la Malaisie, la leçon à tirer n’est pas qu’un incident similaire soit inévitable. Elle réside plutôt dans le fait que les services essentiels sont confrontés à un défi commun en matière de résilience : comment continuer à fonctionner lorsque les systèmes de contrôle numériques, les canaux de communication ou les réseaux fiables sont perturbés.

L'eau devient une cible stratégique

Les attaques menées aux États-Unis ne sont pas des cas isolés. Des infrastructures hydrauliques ont été prises pour cible au Danemark, en Pologne et en France, tandis que les autorités ont mis en garde contre des attaques visant les systèmes de contrôle industriels dans les secteurs de l'eau, de l'énergie et de l'industrie manufacturière.

La Malaisie est consciente de ces risques. CyberSecurity Malaysia a signalé des menaces pesant sur les environnements OT, notamment dans les domaines du traitement de l'eau, des réseaux électriques et d'autres services essentiels.

MyCERT et l’Agence nationale de cybersécurité de Malaisie (NACSA) ont également mis en garde contre des attaques visant les opérateurs du secteur de l’eau et des eaux usées, invoquant des environnements OT exposés à Internet, des infrastructures vieillissantes, des identifiants par défaut et un entretien insuffisant.

L'attrait de l'eau en tant que cible est évident. Il suffit de perturber l'approvisionnement pour que les foyers se retrouvent privés d'eau potable, que les hôpitaux soient mis à rude épreuve, que les industries subissent des interruptions et que les collectivités en ressentent les conséquences presque immédiatement.

L'eau est bien plus qu'un simple service public. C'est la vie – et elle fait partie intégrante des infrastructures qui alimentent l'avenir numérique et industriel de la Malaisie.

Ce secteur est à la base d'une grande partie de l'économie réelle de la Malaisie, depuis les chaînes d'approvisionnement des semi-conducteurs et de l'industrie manufacturière jusqu'à la transformation des produits agricoles et du caoutchouc, en passant par la pétrochimie, la pêche et l'énergie hydroélectrique du Sarawak.

La dimension de l'IA

L'intelligence artificielle devient également un indicateur de la compétitivité économique et des capacités nationales. 

Les ambitions de la Malaisie en matière d'IA à l'horizon 2030 s'appuient sur des investissements considérables dans les infrastructures numériques et les centres de données. Pourtant, l'IA repose en fin de compte sur des fondements très concrets.

Les centres de données ont besoin d'électricité. Les réseaux électriques dépendent des communications.

Les communications reposent sur des infrastructures numériques. Et à mesure que les charges de travail liées à l'IA augmentent, l'ensemble de l'écosystème dépend de plus en plus de l'eau pour son refroidissement.

Les centres de données modernes nécessitent un refroidissement important, ce qui fait de l'approvisionnement fiable en eau un enjeu stratégique pour la croissance du secteur numérique.

Les investissements étrangers contribuent peut-être à accélérer la mise en œuvre de la « Vision 2030 » de la Malaisie, mais cette dynamique dépend de la fiabilité des infrastructures, qui doivent fonctionner sans interruption.

Le gouvernement malaisien a estimé que les centres de données situés dans les États de Selangor, Johor et Negeri Sembilan pourraient avoir besoin de plus de 445 millions de litres d'eau par jour d'ici la fin de la décennie.

Cela établit un lien direct entre la sécurité de l'approvisionnement en eau, la cybersécurité, la sécurité économique et, en fin de compte, la sécurité nationale. 

L'effet domino : attaquer en amont

Les pirates savent que le moyen le plus rapide de provoquer une perturbation passe souvent par les étapes en amont. Ils n'ont pas besoin de s'introduire directement dans un centre de données s'ils peuvent interrompre un service essentiel dont celui-ci dépend.

Pour les attaquants, l'électricité, l'eau et les télécommunications sont devenues des leviers stratégiques.

Si l'un d'entre eux est perturbé, les répercussions peuvent rapidement se faire sentir au niveau de la coordination des urgences, des hôpitaux, du secteur industriel et des infrastructures numériques.

La loi malaisienne de 2024 sur la cybersécurité (loi n° 854) recense 11 secteurs d'infrastructures d'information critiques au niveau national, notamment l'eau, l'énergie, la santé, les transports et les infrastructures numériques.

 Leur protection doit également être considérée comme interdépendante. À mesure que l'adoption de l'IA s'accélère, la protection des infrastructures en amont devient essentielle pour garantir la sécurité des services numériques en aval.

La préparation doit partir du principe non seulement que les systèmes peuvent être pris pour cible, mais aussi que certains d'entre eux peuvent être compromis.

Se préparer au compromis

La première responsabilité de tout exploitant d'infrastructure critique reste de renforcer la sécurité de ses systèmes. La visibilité des actifs, l'authentification forte, la segmentation du réseau, la gestion des vulnérabilités, la protection des sauvegardes et la mise à l'épreuve des processus de reprise restent des éléments fondamentaux.

Mais la résilience ne se limite pas à la prévention. Les opérateurs devraient se poser une question plus difficile : Si nos systèmes principaux venaient à être compromis demain, la direction serait-elle encore en mesure de diriger et decommuniquer et coordonner une intervention en toute sécurité ?

Les incidents majeurs nécessitent des décisions rapides impliquant des dirigeants, des ingénieurs, des autorités de régulation, les services d'urgence et des partenaires externes.

Pourtant, les canaux habituels de coordination peuvent être indisponibles, compromis ou ne pas inspirer confiance.

C'est là que des communications fiables et indépendantes deviennent indispensables. La coordination ne peut pas s'arrêter simplement parce que les systèmes habituels cessent de fonctionner.

La Malaisie dispose déjà de bases solides. La cybersécurité sécurité (loi n° 854) définit les responsabilités des opérateurs d’infrastructures critiques nationales (NCII), tandis que les dispositifs nationaux de gestion des crises cybernétiques fournissent un cadre pour faire face aux incidents graves.

La prochaine étape consiste à veiller à ce que la planification de la résilience ne se limite pas à la reprise des systèmes informatiques, mais s'étende également à la continuité des activités.

Les exercices doivent permettre de vérifier non seulement si les systèmes peuvent être rétablis, mais aussi si les dirigeants sont capables de communiquer en toute sécurité, de vérifier les identités, de coordonner leurs actions au-delà des frontières organisationnelles et de garantir la fiabilité du processus décisionnel tout au long d'une crise.

Sécuriser les systèmes qui sous-tendent l'avenir numérique de la Malaisie

Alors que la Malaisie met en place une économie fondée sur l'intelligence artificielle, le cloud computing, l'industrie de pointe et les capacités numériques souveraines, la protection des systèmes physiques qui sous-tendent cet avenir devient une priorité nationale de sécurité .