Les instructions sont arrivées au beau milieu de l'attaque.

Au cours du week-end des26 et 27 juillet2026, une cyberattaque coordonnée a perturbé le fonctionnement de plus de 30 réseaux d’approvisionnement en eau communaux dans le Minnesota. Le FBI a indiqué que les services d’eau et d’assainissement d’au moins sept États avaient été touchés par des incidents après le 27 juillet, dont certains ont entraîné une dégradation des opérations de distribution d’eau (Communiqué d’intérêt public du FBI I-073026-PSA). Le 30 juillet, la CISA a publié une alerte concernant une augmentation significative des menaces visant les automates programmables dans le secteur de l'eau.

Deux jours avant cette alerte, la CISA — en collaboration avec le Centre australien de cybersécurité (ACSC) de l’Australian Signals Directorate, le FBI et des partenaires internationaux — a publié « CI Fortify – Conseils pour l'isolation des systèmes vitaux ». Les opérateurs lisaient ces consignes d’isolation tandis que leurs voisins vivaient en temps réel le scénario qu’elles décrivaient.

La question du coût n'est donc pas purement théorique, et elle mérite une réponse claire : à combien s'élèvent concrètement les dépenses qu'un petit service public devra engager pour se conformer à ces recommandations ?

Le coût d'investissement est inférieur à ce que craignait le secteur

On pense souvent à tort que CI Fortify implique une infrastructure redondante, c'est-à-dire un environnement parallèle qui reste en veille, prêt à prendre le relais. Cette idée préconçue coûte cher, est décourageante et erronée.

La CISA cite deux capacités. L'isolement : « se déconnecter de manière proactive des dépendances vis-à-vis de tiers et fonctionner sans pouvoir compter sur des opérateurs de télécommunications, des fournisseurs d'accès à Internet, des prestataires de services et des dépendances en amont fiables ». La reprise : « rétablir rapidement les systèmes vitaux compromis tout en restant isolé », où « un élément clé consiste à tester les plans de reprise et à s'entraîner à effectuer des opérations locales et manuelles ».

La restauration des systèmes compromis et la mise en pratique d’opérations manuelles constituent une approche peu coûteuse, et non le contraire. Les recommandations du 28 juillet le confirment : les tâches qu’elles détaillent consistent à identifier les systèmes critiques, à cartographier les connexions et à mettre en place des points de séparation efficaces, ainsi qu’à dresser l’inventaire des actifs, à cartographier les dépendances et à tester les procédures de reprise. Une entreprise de services publics comptant trois opérateurs peut entamer la plupart de ces tâches sans attendre le prochain cycle budgétaire.

C'est vraiment une bonne nouvelle, même si cela ne transparaît pas toujours dans la manière dont ces recommandations sont abordées.

Le coût réel se cache dans une ligne budgétaire que personne ne connaît

Relisez la définition de l'« isolement » donnée par la CISA : fonctionner sans moyens de télécommunication fiables.

Ces recommandations invitent les opérateurs à prévoir l'indisponibilité de leurs moyens de communication. Elles ne précisent toutefois pas comment un service public doit coordonner son intervention une fois que ces moyens sont indisponibles.

Ce silence, c’est la lacune. Ce n’est pas une exigence coûteuse — mais une exigence qui n’a pas été prise en compte. Et cela s’aggrave immédiatement, car la deuxième capacité exigée par la CISA consiste à mettre en pratique des opérations locales et manuelles. Les opérations manuelles ne relèvent pas d’une activité réseau. Elles impliquent des personnes : des opérateurs appelés à 2 heures du matin, des horaires de travail prolongés, des sous-traitants et des intégrateurs contactés, des partenaires d’entraide mobilisés, une agence de premier recours avertie, une communauté informée de ce qui se passe. Chacune de ces actions dépend de la capacité à joindre des êtres humains via des canaux que la CISA vient de vous dire de considérer comme peu fiables ou non dignes de confiance.

L’isolement ne dispense pas non plus un service public de ses obligations. Pendant une période d’isolement prolongée, les services publics doivent toujours passer commande et payer leurs livraisons de produits chimiques, transmettre à l’État les résultats d’analyses en laboratoire certifiées et les échantillons de conformité, gérer les commandes de pièces détachées et les bons de commande, ainsi que la paie. Rien de tout cela ne relève de la technologie opérationnelle. Tout cela relève de la coordination avec des personnes situées à l’extérieur du périmètre de sécurité — et tout cela est indispensable pour que l’eau continue de couler en toute sécurité et en toute légalité.

Même un petit service qui a répertorié toutes les dépendances et répété les procédures manuelles échoue s'il ses quatre intervenants ne parviennent pas à se joindre et à confirmer qui est mobilisé. Dans une petite organisation, un échec de coordination équivaut à un échec total. Une entreprise perd une heure et s'en accommode. Un service public perd l'intervention elle-même.

La couche de coordination, concrètement

Pour combler les failles laissées par CI Fortify, trois fonctionnalités sont nécessaires, et aucune d'entre elles n'intervient au niveau du réseau de contrôle.

Notification de masse et suivi du personnel. BlackBerry^® AtHoc^® permet de joindre le personnel, les sous-traitants, les intégrateurs et les partenaires d’entraide via plusieurs canaux avec confirmation de réception — et recense les personnes ayant répondu. C'est la concrétisation opérationnelle du principe consistant à « mettre en pratique des opérations locales et manuelles » : on ne peut pas faire fonctionner une usine manuellement sans réunir les personnes qui savent comment s'y prendre, et une chaîne d'appel manuelle ne résiste pas à un incident impliquant plusieurs sites à 2 heures du matin. BlackBerry AtHoc est certifié FedRAMP Classe D (Haut niveau), certification renouvelée cette année, ce qui est essentiel lorsque la couche de coordination elle-même ne doit pas devenir une cible vulnérable.

Appels et messages cryptés. BlackBerry^® SecuSUITE^® permet des communications indépendantes de l’infrastructure d’identité de l’entreprise et du chemin réseau, afin que la direction et les équipes opérationnelles puissent se coordonner en toute franchise pendant une phase de confinement, même lorsque l’infrastructure acheminant le trafic normal est dégradée ou présumée compromise. Lorsque la définition même de l’isolement donnée par la CISA part du principe que les télécommunications ne sont pas fiables, un canal indépendant n’est pas une simple précaution : c’est la condition de fonctionnement stipulée.

Des terminaux gérés et sécurisés. BlackBerry^®UEM garantit que le petit parc d'appareils essentiels à la réactivité reste à jour, sécurisé et récupérable. Un canal de secours accessible depuis un ordinateur portable compromis n'est pas une véritable solution de secours.

Il s'agit d'une solution complémentaire. Elle ne nécessite pas de repenser l'architecture du réseau de contrôle, de conserver du personnel spécialisé ni de s'engager dans un programme pluriannuel — et elle apporte de la valeur au quotidien, et pas seulement lors d'un événement.

Pourquoi nous disons cela

BlackBerry commercialise des solutions de communication sécurisées ; nous avons donc tout naturellement intérêt à savoir quelle tournure prendra ce débat. C'est légitime. Mais le fond du problème réside dans le texte initial : la CISA a ordonné aux opérateurs d’infrastructures critiques de se préparer à fonctionner sans télécommunications fiables et de s’entraîner aux opérations manuelles, et ces directives n’abordent pas la manière dont la coordination peut être maintenue dans l’une ou l’autre de ces situations. La plupart des fournisseurs qui alimentent ce débat commercialisent des solutions de sécurité réseau, de visibilité des systèmes OT ou de contrôle d’accès — des produits performants qui résolvent les aspects du problème représentés dans leurs schémas. La couche de coordination se situe en dehors de chacun de ces schémas, ce qui explique précisément pourquoi elle ne bénéficie d’aucun financement.

CI Fortify indique la bonne voie à suivre. Les services publics qui le mettent en œuvre devraient se poser une question supplémentaire que le guide ne soulève pas : lorsque nous sommes déconnectés, comment nos collaborateurs peuvent-ils communiquer entre eux ?

À lire également :
Quand les téléphones tombent en panne : le manque de coordination que personne ne prévoit
Leçons tirées des attaques de juillet contre les réseaux d’approvisionnement en eau : ce que l’avis conjoint recommande aux exploitants de faire ensuite
Pourquoi la planification de l'isolation des systèmes OT nécessite une continuité des communications