%3Aquality(100)&w=640&q=75){kind=logo}
La détection n'est pas synonyme de coordination : ce dont les petits services d'eau ont encore besoin après « Water Watch »
Les systèmes de détection parviennent enfin aux plus petites collectivités qui en ont le plus besoin. La coordination des interventions reste toutefois un défi que les opérateurs locaux doivent relever eux-mêmes.
17 août 2026
·Blog
·Jay Goodman
%3Aquality(100)&w=3840&q=75)
Le 7 août, DEF CON Franklin et l'Association nationale de l'eau en milieu rural (NWRA) ont inauguré le « Water Watch Center » lors du salon DEF CON à Las Vegas. Cinq prestataires spécialisés dans la détection et la réponse gérées fourniront des services directement aux services d'eau desservant moins de 10 000 habitants.
Ces services publics représentent 91 % des quelque 50 000 réseaux d'approvisionnement en eau communaux des États-Unis. Ce sont également les réseaux qui, historiquement, ont été les plus difficiles à atteindre avec les programmes et les recommandations en matière de cybersécurité.
Ce lancement mérite mieux qu’une simple mention en passant. Il fait suite à deux années de travail sur le terrain au cours desquelles DEF CON Franklin a recruté près de 450 experts en cybersécurité bénévoles pour soutenir les services d’approvisionnement en eau et de traitement des eaux usées dans sept États. Lorsqu’il est apparu clairement que les efforts des bénévoles ne pourraient pas s’adapter à l’ampleur du secteur, le projet a évolué vers un modèle de prestation de services.
Il s'agit là de la première initiative crédible visant à fournir des capacités de cybersécurité à grande échelle aux services publics disposant d'un personnel réduit et de ressources limitées.
Cela répond à une question importante, mais seulement à la moitié de celle-ci.
Ce que la détection permet d'obtenir et ce qu'elle ne permet pas d'obtenir
Les solutions de détection et de réponse gérées comblent un manque de visibilité. Pour un service public qui n'a jamais disposé de personnel chargé de surveiller son environnement, cela représente un gain considérable. Cette fonctionnalité génère toutefois une notification. Une notification marque le début d'une réponse, mais ne constitue pas la réponse elle-même.
Imaginez ce que le destinataire doit faire à deux heures du matin :
Contacter un opérateur qui n'est pas en service
Contacter un responsable des opérations qui est également en charge du service informatique
Réunir suffisamment de personnes pour prendre une décision en matière de confinement
Coordonner la transition vers un pilotage manuel à l'échelle d'une centrale et d'un réseau de distribution
Déterminez qui se trouve sur place et qui est joignable.
Signaler l'état d'avancement à l'agence principale de l'État et à la CISA, et continuer à faire rapport tant que l'incident perdure.
Aucun de ces éléments ne constitue une fonction de détection, et rien de tout cela ne peut fonctionner sans des canaux qui restent opérationnels tant que le réseau de l'entreprise fait l'objet de soupçons. Des analyses indépendantes concernant ce lancement ont déjà souligné que la surveillance conçue pour les environnements informatiques peut ne pas détecter les interactions directes avec un contrôleur exposé et que le MDR n’est efficace pour les services publics ne disposant pas de personnel de sécurité que lorsqu’il bénéficie d’une visibilité sur l’environnement opérationnel. Cette limitation est bien réelle, et elle relève de la responsabilité des spécialistes de la sécurité OT. Mettons-la de côté un instant, car même une détection bénéficiant d’une visibilité opérationnelle parfaite s’arrête toujours à la notification.
La question des dépendances soulevée par CI Fortify
En mai, la CISA a publié « CI Fortify : Conseils pour l'isolation des systèmes vitaux » en collaboration avec l'Australian Signals Directorate, le National Cyber Security Centre du Royaume-Uni et le Centre canadien de cybersécurité. Ce document formule deux exigences structurelles :
Isolement: la capacité à déconnecter de manière proactive les technologies opérationnelles essentielles et les systèmes de soutien des dépendances vis-à-vis de tiers, notamment les télécommunications, Internet et les connexions aux fournisseurs
Rétablissement: la capacité à se reconstruire à partir de sources dont la fiabilité est avérée tout en restant isolé. Le document de planification de la CISA prévoit le maintien des services essentiels dans cet état pendant une période pouvant aller jusqu'à trois mois
En comparant ces deux initiatives, un défi conceptuel apparaît. Le service de détection et de réponse gérées est fourni par un tiers via Internet. Selon les hypothèses de planification propres à CI Fortify, ce service se situe au-delà de la limite que l'opérateur a reçu pour instruction de pouvoir définir.
Toute fonctionnalité fournie sous forme de service est confrontée au même défi, et le moment le plus opportun pour y répondre est avant un incident d'isolation, plutôt que pendant celui-ci. Un opérateur qui comprend que la détection est interrompue pendant l'isolation peut s'organiser en conséquence. Un opérateur qui ne s'est jamais posé la question ne s'en rendra compte qu'au pire moment possible.
Ce défi nous concerne également. BlackBerry® AtHoc® est par défaut une solution « cloud-first », et c’est le modèle de déploiement qui détermine si les alertes et la traçabilité sont maintenues en cas de coupure de connexion ; les déploiements sur site et hybrides permettent de répondre par l’affirmative, ce qui n’est pas le cas d’une configuration exclusivement hébergée. Tout fournisseur affirmant assurer la continuité grâce à l’isolation, y compris le nôtre, devrait être tenu de préciser le modèle de déploiement sur lequel repose cette affirmation.
Il y a donc une question qu'il convient de poser à chaque prestataire de la chaîne d'intervention, en utilisant exactement les mêmes termes : que fait cette fonctionnalité lorsque la connexion Internet est coupée, et quel modèle de déploiement permet de concrétiser cette réponse ?
Ce que l'on peut acheter avec le prochain dollar
La situation en matière de financement a évolué au cours de la même semaine. Deux sénateurs américains ont présenté le « Water Cyber Shield Act » , qui conférerait à l’EPA le pouvoir explicite de mener des évaluations de cybersécurité et d’établir des normes en collaboration avec la CISA et le NIST, et qui autoriserait un budget annuel de 300 millions de dollars par le biais des fonds renouvelables des États pour l’eau potable et l’assainissement. Il s’agit d’un projet de loi et non d’une loi promulguée ; l’autorisation ne vaut pas allocation budgétaire. Néanmoins, un secteur habitué à recevoir des mandats non financés dispose désormais d’un service de détection gratuit et d’un mécanisme de financement plausible soumis au Congrès.
Cela fait du séquençage une question d’actualité. Si la première étape de renforcement des capacités a été mise en place gratuitement et concernait la détection, la deuxième étape devrait porter sur ce à quoi la détection donne le relais : l’alerte de masse avec confirmation de réception et vérification de la présence du personnel, le tout acheminé via un canal de coordination qui ne passe pas par le réseau suspecté. Pour un service public dont la capacité d’intervention totale se limite à quatre personnes, un échec de la coordination équivaut à un échec de l’intervention. Il n’y a pas de réserves suffisantes pour compenser cela.
Il y a ici un aspect lié à la pérennité que personne ne devrait hésiter à souligner. Les financements de démarrage à vocation philanthropique et l’engagement bénévole ont permis de mettre en place ce que le gouvernement fédéral n’avait pas réussi à faire, et aucun de ces deux éléments ne relève d’une ligne budgétaire. Les capacités qu’un service public possède, exploite et met en œuvre dans son travail quotidien survivent à n’importe quel cycle de subventions. La chose la plus utile que les associations du secteur et les agences étatiques compétentes puissent faire face à l’engouement actuel est d’indiquer à leurs membres quelles initiatives financer en second lieu et pourquoi.
Le Centre de surveillance de l'eau a comblé la plus grande lacune du secteur. La prochaine lacune à combler est celle qui existe entre la détection et l'intervention.
À lire également :
La détection n'est pas synonyme de coordination : ce dont les petits services d'eau ont encore besoin après « Water Watch »
Les systèmes de détection parviennent enfin aux plus petites collectivités qui en ont le plus besoin. La coordination des interventions reste toutefois un défi que les opérateurs locaux doivent relever eux-mêmes.
17 août 2026
·Blog
·Jay Goodman
Le 7 août, DEF CON Franklin et l'Association nationale de l'eau en milieu rural (NWRA) ont inauguré le « Water Watch Center » lors du salon DEF CON à Las Vegas. Cinq prestataires spécialisés dans la détection et la réponse gérées fourniront des services directement aux services d'eau desservant moins de 10 000 habitants.
Ces services publics représentent 91 % des quelque 50 000 réseaux d'approvisionnement en eau communaux des États-Unis. Ce sont également les réseaux qui, historiquement, ont été les plus difficiles à atteindre avec les programmes et les recommandations en matière de cybersécurité.
Ce lancement mérite mieux qu’une simple mention en passant. Il fait suite à deux années de travail sur le terrain au cours desquelles DEF CON Franklin a recruté près de 450 experts en cybersécurité bénévoles pour soutenir les services d’approvisionnement en eau et de traitement des eaux usées dans sept États. Lorsqu’il est apparu clairement que les efforts des bénévoles ne pourraient pas s’adapter à l’ampleur du secteur, le projet a évolué vers un modèle de prestation de services.
Il s'agit là de la première initiative crédible visant à fournir des capacités de cybersécurité à grande échelle aux services publics disposant d'un personnel réduit et de ressources limitées.
Cela répond à une question importante, mais seulement à la moitié de celle-ci.
Ce que la détection permet d'obtenir et ce qu'elle ne permet pas d'obtenir
Les solutions de détection et de réponse gérées comblent un manque de visibilité. Pour un service public qui n'a jamais disposé de personnel chargé de surveiller son environnement, cela représente un gain considérable. Cette fonctionnalité génère toutefois une notification. Une notification marque le début d'une réponse, mais ne constitue pas la réponse elle-même.
Imaginez ce que le destinataire doit faire à deux heures du matin :
Contacter un opérateur qui n'est pas en service
Contacter un responsable des opérations qui est également en charge du service informatique
Réunir suffisamment de personnes pour prendre une décision en matière de confinement
Coordonner la transition vers un pilotage manuel à l'échelle d'une centrale et d'un réseau de distribution
Déterminez qui se trouve sur place et qui est joignable.
Signaler l'état d'avancement à l'agence principale de l'État et à la CISA, et continuer à faire rapport tant que l'incident perdure.
Aucun de ces éléments ne constitue une fonction de détection, et rien de tout cela ne peut fonctionner sans des canaux qui restent opérationnels tant que le réseau de l'entreprise fait l'objet de soupçons. Des analyses indépendantes concernant ce lancement ont déjà souligné que la surveillance conçue pour les environnements informatiques peut ne pas détecter les interactions directes avec un contrôleur exposé et que le MDR n’est efficace pour les services publics ne disposant pas de personnel de sécurité que lorsqu’il bénéficie d’une visibilité sur l’environnement opérationnel. Cette limitation est bien réelle, et elle relève de la responsabilité des spécialistes de la sécurité OT. Mettons-la de côté un instant, car même une détection bénéficiant d’une visibilité opérationnelle parfaite s’arrête toujours à la notification.
La question des dépendances soulevée par CI Fortify
En mai, la CISA a publié « CI Fortify : Conseils pour l'isolation des systèmes vitaux » en collaboration avec l'Australian Signals Directorate, le National Cyber Security Centre du Royaume-Uni et le Centre canadien de cybersécurité. Ce document formule deux exigences structurelles :
Isolement: la capacité à déconnecter de manière proactive les technologies opérationnelles essentielles et les systèmes de soutien des dépendances vis-à-vis de tiers, notamment les télécommunications, Internet et les connexions aux fournisseurs
Rétablissement: la capacité à se reconstruire à partir de sources dont la fiabilité est avérée tout en restant isolé. Le document de planification de la CISA prévoit le maintien des services essentiels dans cet état pendant une période pouvant aller jusqu'à trois mois
En comparant ces deux initiatives, un défi conceptuel apparaît. Le service de détection et de réponse gérées est fourni par un tiers via Internet. Selon les hypothèses de planification propres à CI Fortify, ce service se situe au-delà de la limite que l'opérateur a reçu pour instruction de pouvoir définir.
Toute fonctionnalité fournie sous forme de service est confrontée au même défi, et le moment le plus opportun pour y répondre est avant un incident d'isolation, plutôt que pendant celui-ci. Un opérateur qui comprend que la détection est interrompue pendant l'isolation peut s'organiser en conséquence. Un opérateur qui ne s'est jamais posé la question ne s'en rendra compte qu'au pire moment possible.
Ce défi nous concerne également. BlackBerry® AtHoc® est par défaut une solution « cloud-first », et c’est le modèle de déploiement qui détermine si les alertes et la traçabilité sont maintenues en cas de coupure de connexion ; les déploiements sur site et hybrides permettent de répondre par l’affirmative, ce qui n’est pas le cas d’une configuration exclusivement hébergée. Tout fournisseur affirmant assurer la continuité grâce à l’isolation, y compris le nôtre, devrait être tenu de préciser le modèle de déploiement sur lequel repose cette affirmation.
Il y a donc une question qu'il convient de poser à chaque prestataire de la chaîne d'intervention, en utilisant exactement les mêmes termes : que fait cette fonctionnalité lorsque la connexion Internet est coupée, et quel modèle de déploiement permet de concrétiser cette réponse ?
Ce que l'on peut acheter avec le prochain dollar
La situation en matière de financement a évolué au cours de la même semaine. Deux sénateurs américains ont présenté le « Water Cyber Shield Act » , qui conférerait à l’EPA le pouvoir explicite de mener des évaluations de cybersécurité et d’établir des normes en collaboration avec la CISA et le NIST, et qui autoriserait un budget annuel de 300 millions de dollars par le biais des fonds renouvelables des États pour l’eau potable et l’assainissement. Il s’agit d’un projet de loi et non d’une loi promulguée ; l’autorisation ne vaut pas allocation budgétaire. Néanmoins, un secteur habitué à recevoir des mandats non financés dispose désormais d’un service de détection gratuit et d’un mécanisme de financement plausible soumis au Congrès.
Cela fait du séquençage une question d’actualité. Si la première étape de renforcement des capacités a été mise en place gratuitement et concernait la détection, la deuxième étape devrait porter sur ce à quoi la détection donne le relais : l’alerte de masse avec confirmation de réception et vérification de la présence du personnel, le tout acheminé via un canal de coordination qui ne passe pas par le réseau suspecté. Pour un service public dont la capacité d’intervention totale se limite à quatre personnes, un échec de la coordination équivaut à un échec de l’intervention. Il n’y a pas de réserves suffisantes pour compenser cela.
Il y a ici un aspect lié à la pérennité que personne ne devrait hésiter à souligner. Les financements de démarrage à vocation philanthropique et l’engagement bénévole ont permis de mettre en place ce que le gouvernement fédéral n’avait pas réussi à faire, et aucun de ces deux éléments ne relève d’une ligne budgétaire. Les capacités qu’un service public possède, exploite et met en œuvre dans son travail quotidien survivent à n’importe quel cycle de subventions. La chose la plus utile que les associations du secteur et les agences étatiques compétentes puissent faire face à l’engouement actuel est d’indiquer à leurs membres quelles initiatives financer en second lieu et pourquoi.
Le Centre de surveillance de l'eau a comblé la plus grande lacune du secteur. La prochaine lacune à combler est celle qui existe entre la détection et l'intervention.
À lire également :
%3Aquality(100)&w=3840&q=75)