Ce compte rendu synthétique s'appuie sur des avis publiés, des rapports d'analyse a posteriori et des entretiens menés avec des opérateurs de réseaux de cette envergure. Il ne s'agit pas de la description d'un service public en particulier. Le narrateur gère un réseau d'approvisionnement en eau desservant environ 25 000 personnes, avec onze employés, un service informatique sous-traité situé à deux heures de route, un système SCADA pris en charge par un intégrateur, et aucune équipe de nuit.

Le premier appel est arrivé à 9 h 40 un mardi matin. Notre intégrateur se trouvait dans l'historique des événements pour effectuer une tâche de routine lorsqu'il a remarqué du trafic sortant provenant d'un segment qui n'était pas censé communiquer avec quoi que ce soit. Ce n'était pas leur trafic. Ce n'était pas leur fenêtre de maintenance. Ils ne parvenaient pas à s'expliquer ce phénomène et allaient extraire les journaux avant de me rappeler.

Webinaire à la demande : ce que CI Fortify ne dit pas sur les communications

Cet appel a duré six minutes. J’ai passé les vingt minutes suivantes à concocter des explications banales, parce que c’est ce qu’on fait dans ces cas-là. La mise à jour du firmware du mois dernier. La liaison cellulaire du nouveau capteur de pression. Un ordinateur portable d’un fournisseur que quelqu’un avait oublié de déconnecter du réseau en avril.

À 10 h 35, notre association régionale nous a transmis une alerte. Les systèmes utilisant un logiciel d’accès à distance spécifique et connectés à Internet figuraient sur une liste de cibles, et voici les consignes qui nous ont été communiquées. Nous utilisons ce logiciel. Nous l’avons acheté en 2021 afin que l’intégrateur puisse effectuer des dépannages la nuit sans avoir à faire trois heures de route aller-retour.

Aucun des deux éléments n'a permis d'apporter la preuve de quoi que ce soit. Ensemble, ils m'ont empêché de mener ma journée comme d'habitude, mais je ne pouvais pas non plus déclarer d'incident. Notre plan d'intervention d'urgence prévoit un seuil à partir duquel une intrusion est considérée comme confirmée. Il ne prévoit rien pour deux éléments qui, pris séparément, pourraient ne rien signifier.

Les démarches à effectuer avant de pouvoir qualifier un événement d'« incident »

Commençons par l'intégrateur. Que constatez-vous concrètement ? Quelles hypothèses pouvez-vous écarter ? Quand quelqu'un pourra-t-il se rendre sur place ? Jeudi, ont-ils dit, à moins que nous ne fassions remonter le problème.

Nous avons ensuite fait appel à un prestataire informatique. Notre MSP est compétent. Il se trouve toutefois à deux heures de route. Le contrat couvre les heures de bureau, et le technicien qui connaît bien notre environnement était chez un autre client. Un ticket a donc été ouvert. Du coup, la phrase « accès non autorisé potentiel au réseau de contrôle » figure désormais dans un système de tickets que je ne gère pas, les notifications étant transmises à des adresses e-mail de mon domaine.

Ensuite, l'opérateur de service. Ne changez rien, notez tout ce qui bouge, appelez-moi si une consigne change d'elle-même.

Puis la directrice municipale, avant le déjeuner, car si cette affaire venait à être rendue publique, elle ne devait pas l'apprendre par un journaliste. Elle m'a demandé si l'eau était potable. Je lui ai répondu que oui, et que je le savais grâce aux concentrations résiduelles que nous mesurions manuellement, et non grâce au système qui les communique habituellement.

À un moment donné, j’ai commencé à décrire la situation par écrit à l’intégrateur, puis je me suis arrêté, le curseur clignotant. Chaque phrase que j’étais sur le point d’écrire décrivait une faille de mon installation, et le compte que j’utilisais était authentifié sur le même annuaire que la machine qui nous préoccupait. Notre espace de stockage est partagé avec la ville. Je n’avais aucune raison de penser que quelqu’un lisait ce que j’écrivais, mais aucun moyen de prouver que ce n’était pas le cas. J’ai donc préféré passer un coup de fil, puis j’ai eu la même conversation quatre autres fois par téléphone, et à 14 h, j’avais une image claire de la situation en tête, sans en avoir noté la moindre ligne nulle part.

La décision et son coût réel

Le plan prévu pour jeudi s'est transformé en décision prise mardi après-midi. Couper l'accès à distance, isoler le segment et passer en mode manuel jusqu'à ce que l'intégrateur puisse le reconfigurer à partir d'un élément dont nous sommes sûrs qu'il est sain.

Sur le papier, cela représente trois opérations. En termes de personnel, cela se traduit ainsi : dosage manuel des produits chimiques, enregistrement des résidus toutes les deux heures par une personne certifiée pour le faire, et je dispose de trois personnes qualifiées. L’une d’entre elles assistait à la remise de diplôme de sa fille dans un autre État. L’absence de service de nuit signifie que quelqu’un doit assurer la permanence de 23 h à 7 h, ce qui implique d’appeler les personnes chez elles, puis leurs conjoints, avant de se rendre en voiture à leur domicile parce que leur téléphone était éteint.

L'application que j'utilise habituellement pour gérer la couverture fonctionnait sur le réseau que je venais de couper. La liste des numéros d'appel affichée sur le mur près du poste de travail SCADA datait de quatorze mois et deux des numéros n'étaient plus valides.

Les opérations manuelles relèvent davantage d'une chaîne de traçabilité que d'une procédure. La personne qui prend la relève à 11 heures doit connaître la dernière mesure, les modifications que nous avons apportées et ce à quoi correspondait la situation normale avant mardi. Il s'agit là d'un échange, qui s'est produit à six reprises au cours des quatre jours suivants, chaque fois sur le téléphone portable personnel de l'un ou l'autre.

Se tourner vers l'extérieur avant même d'en savoir quoi que ce soit

L'organisme de référence devait recevoir mes informations, et le délai de signalement n'attend pas que l'on dispose d'un tableau technique complet. Mon premier rapport consistait essentiellement en une liste d'éléments que je ne pouvais pas confirmer : un trafic sortant inexpliqué ; une exposition correspondant à une notification ; un segment déconnecté ; des opérations manuelles en cours. Aucun indice de manipulation des processus, mais aucun indice permettant non plus de l'exclure.

L'État a demandé qui se chargeait de l'expertise judiciaire. J'ai répondu que c'était l'intégrateur et notre MSP, et j'ai tout de suite réalisé l'impression que cela donnait au moment où je l'ai dit.

L'antenne locale du FBI a fait preuve de professionnalisme et souhaitait obtenir des éléments de preuve, mais ceux-ci se trouvaient sur le réseau en question. J'ai également appris que la question « faut-il en informer le public ? » n'est pas d'ordre technique, et que la discussion se déroule nettement mieux lorsqu'un avocat de la ville est en ligne.

Le retour

Neuf jours, du début à la fin. L'intégrateur a réinstallé les machines concernées à partir d'images dont le bon fonctionnement était avéré ; nous avons cessé d'intervenir manuellement un dimanche après-midi, et la dernière décision s'est avérée être celle pour laquelle personne n'écrit de procédure. À un moment donné, j'ai dû à nouveau faire confiance à un capteur.

Aucun certificat ne garantit que tout est en ordre. Ce que vous obtenez, c’est un groupe de personnes qui vous indiquent ce qu’elles ont vérifié, et c’est à vous de juger si cela était suffisant. J’ai donné mon accord un dimanche, car les relevés manuels étaient stables depuis neuf jours et deux personnes dont je connais le travail m’ont assuré que la remise en état était solide. Voilà la version honnête des faits.

Ce qui arrive ensuite et dont personne ne vous prévient

Puis, il y a eu la paperasse, et celle-ci n’était pas une mince affaire. L’État voulait un calendrier. Le conseil d’administration voulait savoir quand le directeur municipal avait été informé et qui avait autorisé le passage en mode manuel. Notre assureur voulait connaître les dates et les durées. Tout ce dont je disposais, c’était le journal des appels de mon téléphone personnel, un bloc-notes et une conversation de groupe datant de la deuxième nuit, que je préférais ne montrer à personne.

Les souvenirs ne constituent pas une trace écrite. Les canaux sur lesquels vous improvisez sont ceux qui sont censés fournir des preuves six semaines plus tard.

Toutes les mesures d'atténuation figurant sur la liste des recommandations du secteur étaient en jeu cette semaine-là. De mon point de vue, aucune d’entre elles ne ressemblait vraiment à une mesure d’atténuation. Elles se présentaient comme des appels que je devais passer à des personnes qui risquaient de ne pas répondre, via des canaux dont je n’étais pas sûr, avant d’en savoir assez pour prononcer le mot « incident » à voix haute. Les recommandations sont rédigées pour le moment qui suit la déclaration. Le plus difficile, c’étaient les onze heures qui précédaient celle-ci.

À lire également :

• Le Water Watch Center met en évidence les lacunes en matière de cyber-réponse des services des eaux

• Pourquoi les recommandations en matière de sécurité CI ne répondent toujours pas aux besoins des petits opérateurs de services publics

• Partir du principe qu'il y a eu une intrusion : et ensuite ? Aller au-delà du slogan pour se concentrer sur les exigences opérationnelles

• Ce que CI Fortify demande aux services publics d'investir — et la fonctionnalité qu'il ne mentionne jamais

• Quand les téléphones tombent en panne : le problème de coordination que personne ne prévoit