%3Aquality(100)&w=640&q=75){kind=logo}
Pourquoi les recommandations en matière de sécurité CI ne répondent toujours pas aux besoins des petits opérateurs de services publics
Les recommandations destinées aux entreprises dotées de centres d'opérations de sécurité s'appliquent également aux services publics disposant d'équipes de trois personnes. La solution réside dans la mise en place d'une séquence d'actions.
14 août 2026
·Blog
·Ramon Pinero, vice-président et directeur général, BlackBerry AtHoc
%3Aquality(100)&w=3840&q=75)
La plupart des recommandations en matière de sécurité des infrastructures critiques sont destinées aux grandes entreprises disposant de centres opérationnels de sécurité dédiés et de budgets importants. Les petits services publics, qui fonctionnent souvent avec un effectif réduit et des ressources limitées, ne peuvent pas mettre en œuvre ces cadres tels qu’ils sont formulés. Il n’en résulte pas une conformité partielle, mais une paralysie opérationnelle qui entraîne une vulnérabilité persistante.
Les petits services d'approvisionnement en eau, les coopératives électriques rurales et les opérateurs régionaux de traitement des eaux usées constituent le socle des infrastructures nationales et desservent des millions de personnes. Pourtant, à bien des égards, ils sont insuffisamment protégés par les dispositifs de sécurité mêmes qui sont censés les protéger.
Les recommandations existent : la CISA les publie, le NERC-CIP en rend certaines obligatoires, et les agences sectorielles émettent régulièrement des avis. La dernière nouveauté en date est « CI Fortify », l’initiative lancée par la CISA en mai 2026 et étendue le 28 juillet grâce à des recommandations conjointes publiées en collaboration avec l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate, le FBI et des partenaires internationaux. Elle demande aux opérateurs de mettre en place deux capacités : l’isolation, définie comme « la déconnexion proactive des dépendances vis-à-vis de tiers et le fonctionnement sans recourir à des opérateurs de télécommunications, des fournisseurs d’accès à Internet, des prestataires de services et des dépendances en amont fiables », et la reprise, dont « un élément clé consiste à tester les plans de reprise et à s’entraîner à des opérations locales et manuelles ».
Ces recommandations actualisées ont été publiées quelques jours après qu’une cyberattaque coordonnée a perturbé le fonctionnement de plus de 30 réseaux d’approvisionnement en eau communaux dans le Minnesota au cours du week-end du 26 au 27 juillet 2026. Le FBI a signalé des incidents survenus dans des services d’approvisionnement en eau et de traitement des eaux usées dans au moins douze États après le 27 juillet, dont certains ont entraîné une dégradation du fonctionnement des réseaux d’approvisionnement en eau.
Le problème ne réside pas dans la qualité de ces documents ; il tient plutôt au fait qu'une grande partie d'entre eux repose sur un modèle organisationnel dont ne disposent pas la plupart des petits opérateurs de services publics : des analystes de sécurité dédiés, des équipes de gestion des incidents à plusieurs niveaux, des processus formels de gestion du changement et des lignes budgétaires consacrées aux outils de surveillance continue.
Un réseau communal d’approvisionnement en eau desservant moins de 10 000 personnes – soit environ 91 % des quelque 50 000 réseaux communaux du pays – peut n’employer que deux ou trois personnes occupant des postes liés aux technologies de l’information, dont la plupart assument également des responsabilités opérationnelles. Une telle organisation ne peut pas se permettre de disposer d’un centre d’opérations de sécurité fonctionnant 24 heures sur 24 ni d’affecter un employé à temps plein à l’analyse des menaces. Lorsqu’un avis fédéral est publié, proposant des dizaines de mesures d’atténuation sans ordre de priorité, cela se traduit souvent, dans la pratique, par l’inaction : il ne s’agit pas d’une non-conformité due à la négligence, mais d’une paralysie provoquée par une charge de mise en œuvre insurmontable.
Le problème de l'hypothèse d'entreprise
Les référentiels tels que le NIST CSF, la norme ISO 27001 et les recommandations sectorielles de la CISA partent généralement du principe que l'entreprise est une structure mature : équipes organisées en niveaux hiérarchiques, rôles bien définis, processus documentés et autorisation budgétaire pour l'acquisition d'outils spécialisés. Ce modèle correspond à une entreprise du classement Fortune 500 ou à un grand service public municipal, et non à la plupart des opérateurs chargés de la gestion des infrastructures critiques au niveau local.
La mise en œuvre complète du CSF du NIST exige d'une organisation qu'elle recense l'ensemble de ses actifs, qu'elle les protège grâce à des contrôles d'accès et à des formations, qu'elle détecte les anomalies par une surveillance continue, qu'elle intervienne conformément à un plan de réponse aux incidents documenté et qu'elle assure la reprise d'activité grâce à des procédures de continuité d'activité testées. Chaque fonction donne lieu à des sous-fonctions, des rôles, des outils et des processus supplémentaires.
Pour une équipe opérationnelle de trois personnes chargée de gérer à la fois les environnements informatiques et les environnements de technologie opérationnelle, il n’est pas possible de mettre en œuvre ces fonctions simultanément. Le guide n’indique pas aux opérateurs par quoi commencer s’ils ne peuvent se consacrer qu’à une seule fonction ce trimestre. Il ne fait pas la distinction entre un contrôle qui réduit considérablement le risque et un contrôle qui n’apporte qu’une amélioration marginale. Il présente une architecture globale, puis laisse au lecteur le soin de déterminer l’ordre des priorités.
Il s'agit davantage d'une défaillance structurelle que d'une lacune dans la documentation. Les organisations les moins à même d'interpréter et de hiérarchiser des recommandations complexes sont celles qui bénéficient du moins de soutien en matière d'interprétation de ces dernières.
La paralysie causée par des listes de mesures d'atténuation non classées par ordre de priorité
Les avis de la CISA et les alertes sectorielles comprennent souvent des listes de mesures correctives comprenant entre 20 et 50 points. Chaque point peut être techniquement valable, mais, pris dans leur ensemble, ils créent un retard de mise en œuvre qu’un petit opérateur ne peut pas rattraper en un an, et encore moins dans le court laps de temps qui s’écoule entre la publication de l’avis et le début de l’exploitation active de la faille.
Les listes non classées posent un problème cognitif spécifique : elles n’offrent aucun point d’entrée. Lorsque chaque élément est présenté comme ayant la même importance, les opérateurs commencent souvent par ce qui leur est familier ou pratique d’un point de vue logistique, plutôt que par ce qui est essentiel sur le plan opérationnel. La gestion des correctifs retient l’attention car il s’agit d’une tâche de routine. La segmentation du réseau entre les environnements informatiques (IT) et techniques (OT) est reportée car elle nécessite une planification et peut entraîner des temps d’arrêt. Le déploiement de l’authentification multifactorielle prend du retard car il nécessite la coordination des utilisateurs.
Il en résulte une posture de sécurité qui semble active, alors que les efforts se concentrent sur des domaines à faible impact et que les surfaces d’attaque à forte valeur restent exposées. Les attaquants qui ciblent les infrastructures critiques n’ont pas besoin du système le plus récent pour lequel aucun correctif n’a été appliqué. Ce dont ils ont besoin, c’est d’une faille de segmentation, d’un canal d’accès à distance non surveillé ou d’identifiants par défaut restés inchangés parce que l’avis les mentionnant figurait au point 34 sur 47.
Dans une petite structure, un manque de coordination équivaut à un échec total
La planification des interventions pour un petit service public doit tenir compte simultanément de deux ressources limitées : le budget et l'attention du personnel. Elle doit également respecter une réalité structurelle liée aux incidents que les recommandations destinées aux grandes entreprises peuvent se permettre d'ignorer.
Les grandes organisations sont capables de faire face aux défaillances de coordination. Si une équipe ne signale pas un incident de sécurité à une autre, cette dernière peut tout de même le détecter et y réagir de manière autonome. La redondance est un gage de résilience.
Les petits services publics ne disposent pas de cette redondance. Un service public dont la capacité d’intervention se résume à quatre personnes perd toute capacité d’intervention si ces quatre personnes ne parviennent pas à se joindre, à vérifier qui est mobilisé et à discuter franchement de la marche à suivre. Si la seule personne chargée de la gestion des systèmes SCADA est indisponible lors d’un incident et que personne d’autre ne maîtrise suffisamment l’environnement OT pour isoler les systèmes affectés, un échec de coordination se transforme en échec opérationnel.
CI Fortify rend cette approche plus rigoureuse plutôt que plus souple. La définition même de l’« isolement » donnée par la CISA demande aux opérateurs de se préparer à fonctionner sans télécommunications fiables, et les directives ne précisent pas comment un service public doit coordonner sa réponse une fois cette situation installée. Sa deuxième capacité aggrave le problème : la mise en pratique d’opérations locales et manuelles n’est pas une activité de réseau. C’est une question d’hommes. Les opérateurs ont été appelés à 2 heures du matin, les horaires de service ont été prolongés, les sous-traitants et les intégrateurs ont été contactés, les partenaires d’entraide ont été mobilisés, une agence de premier rang a été informée, et la population a été mise au courant de la situation.
L’isolement ne dispense pas non plus un service public de ses obligations. Pendant une période d’isolement prolongée, les services publics doivent toujours passer commande et payer les livraisons de produits chimiques, transmettre à l’État les analyses de laboratoire certifiées et les prélèvements de conformité, gérer les commandes de pièces détachées et les bons de commande, ainsi que la paie. Rien de tout cela ne relève de la technologie opérationnelle. Tout cela relève de la coordination avec des personnes situées à l’extérieur du périmètre de sécurité, et tout cela est nécessaire pour que l’eau continue de s’écouler en toute sécurité et en toute légalité.
Une réponse efficace aux incidents au sein d’une petite organisation passe donc par une simplicité radicale. Le plan d’intervention doit tenir sur deux pages et préciser qui appelle qui, dans quel ordre et par quel canal de communication, lorsqu’une condition déclencheuse spécifique est remplie. Il doit être testé au moins une fois par an dans le cadre d’un exercice sur table avec les personnes qui seraient chargées de le mettre en œuvre. Il doit être mis à jour dès qu’il y a un changement au niveau du personnel ou des coordonnées.
La complexité d'un plan d'intervention engendre une responsabilité précisément dans les conditions que ce plan est censé gérer : pression, confusion et contraintes de temps.
La détection est en passe d'être résolue. La coordination, c'est toujours à vous de jouer.
Le problème de pénurie de personnel décrit ci-dessus commence enfin à retenir l'attention du secteur. Le 7 août 2026, DEF CON Franklin et la National Rural Water Association ont lancé le Water Watch Center, mettant en relation un premier groupe de cinq prestataires spécialisés dans la détection et la réponse gérées avec des services des eaux desservant moins de 10 000 personnes, sans aucun coût pour ces derniers.
Il s'agit là de la solution la plus crédible à ce jour pour pallier le manque de personnel dans les petits services publics, mais il convient de l'interpréter avec précision : elle apporte une capacité de détection aux opérateurs qui n'en disposent pas.
La détection vous indique qu’un incident s’est produit. La coordination, c’est la manière dont vous y répondez. Le Water Watch Center comble la première lacune pour les petits services d’eau ; il leur revient toutefois de résoudre la question de la coordination. Ce que fait un service d’eau composé de trois personnes dans l’heure qui suit l’appel de ce fournisseur — qui répond au téléphone, qui est joignable, qui peut autoriser une coupure, qui prévient l’État — est un problème à part.
Un plan de déploiement pour le premier trimestre
Cette même logique de priorisation peut être transposée dans un plan pour le premier trimestre. L'objectif est de réaliser des progrès tangibles face aux risques les plus susceptibles d'entraîner une perturbation opérationnelle, plutôt que de satisfaire à l'ensemble des exigences de sécurité. Commencez par le niveau dont l'absence rendrait caduc tout autre investissement en cas d'incident réel.
Jours 1 à 30 : mise en place d’un système d’alerte avec confirmation de réception. Remplacer la chaîne d’appel manuelle, qui tombe en panne à 2 heures du matin, par un système de notification de masse qui atteint le personnel, les sous-traitants, les intégrateurs et les contacts d’entraide via plusieurs canaux, et qui recense les personnes ayant effectivement répondu. Il s’agit là de la mise en œuvre opérationnelle de la « mise en pratique des opérations locales et manuelles » ; on ne peut pas faire fonctionner une usine manuellement sans avoir d’abord réuni les personnes qui savent comment s’y prendre.BlackBerry®AtHoc® offre cette fonctionnalité et est certifié FedRAMP Classe D (Haut niveau), certification renouvelée cette année, ce qui est essentiel lorsque la couche de coordination elle-même ne doit pas devenir une cible vulnérable.
Jours 31 à 60: mettre en place un canal de coordination hors bande. Faire en sorte que les équipes de direction et d’exploitation utilisent des communications vocales et de messagerie cryptées et authentifiées, indépendantes de l’infrastructure d’authentification de l’entreprise et du chemin réseau, afin que la coordination des incidents ne passe jamais par des canaux dégradés ou présumés compromis.BlackBerry® SecuSUITE® fournit cette couche de sécurité. La coordination hors bande est une mesure de contrôle établie, et non une simple option : le modèle MITRE ATT&CK la répertorie comme mesure d’atténuation M1060, recommandant aux défenseurs d’« établir des canaux de communication hors bande sécurisés afin d’assurer la continuité des communications critiques lors d’incidents de sécurité, d’attaques visant l’intégrité des données ou de défaillances des communications au sein du réseau ».
Jours 61 à 90 : intégrer les appareils essentiels à la réponse dans le système de gestion. Identifier le petit parc de téléphones et d'ordinateurs portables qui servira à la réponse et s'assurer qu'ils sont à jour, sécurisés et récupérables.BlackBerry® UEM permet de gérer ce parc. Un canal de secours accessible depuis un ordinateur portable compromis ne constitue pas une solution de secours.
Aucune de ces mesures ne nécessite d’intervenir sur le réseau de contrôle, de maintenir du personnel spécialisé ou de s’engager dans un programme pluriannuel. Chacune d’entre elles permet d’atteindre un niveau de préparation mesurable en quelques semaines, ce qui est tout aussi important pour les conseils d’administration et les dossiers tarifaires que pour la sécurité : un service public peut ainsi démontrer à ses régulateurs et à sa communauté que la dernière recommandation fédérale a entraîné un changement concret dans son dispositif de sécurité. Et chacune d’entre elles porte ses fruits dans le cadre des opérations courantes, et pas seulement en cas de crise.
Une approche plus globale reste toutefois essentielle. La gestion des identifiants, la segmentation du réseau et l’authentification multifactorielle font toutes partie intégrante d’un programme abouti, et les opérateurs doivent s’efforcer de les mettre en œuvre. Mais ces mesures relèvent du deuxième trimestre, et non du premier, car un service public qui a renforcé la sécurité de tous ses systèmes mais qui n’est pas capable de coordonner son propre personnel s’est doté de dispositifs de contrôle qu’il ne pourra pas utiliser lors de l’incident pour lequel ils ont été mis en place.
Note à l'attention des conseillers du secteur
Les associations, les organismes publics chargés de la primauté de l'État et les consultants qui adaptent les directives fédérales aux petits réseaux ont davantage d'influence sur la sécurité du secteur que n'importe quel fournisseur. À l'heure actuelle, le résultat le plus précieux que cette influence puisse produire est une hiérarchisation honnête des priorités : indiquer à un service public aux ressources limitées non seulement l'ensemble des mesures d'atténuation, mais aussi ce qu'il faut faire en premier, en deuxième et en troisième lieu, et pourquoi.
Une orientation qui refuse d'établir un ordre de priorité revient à déléguer discrètement la décision la plus difficile à la partie disposant des ressources les plus limitées.
Les recommandations en matière de sécurité doivent répondre aux besoins des opérateurs qui en ont le plus besoin
Les recommandations existantes ne sont pas erronées. Elles présentent toutefois des lacunes qui touchent particulièrement les organisations les moins bien armées pour y remédier.
CI Fortify définit la bonne orientation à suivre. Pour garantir une sécurité efficace des infrastructures critiques au niveau local, il est nécessaire de disposer de lignes directrices qui classent les mesures de contrôle en fonction de leur impact opérationnel, établissent une distinction entre ce qui est idéal et ce qui est suffisant, et tiennent compte des contraintes réelles en matière de personnel et de budget auxquelles sont confrontés les petits opérateurs.
Tant que ces recommandations n'existeront pas sous une forme plus accessible et ancrée dans la réalité opérationnelle, les petits opérateurs de services publics devraient éviter de se laisser paralyser par des listes de mesures d'atténuation présentées sans ordre de priorité. Classez-les par ordre d'impact par dollar dépensé et par heure de travail investie. Commencez par le niveau qui permet d'assurer la coordination de vos équipes. Partez de là pour construire la suite. Et posez-vous la question que CI Fortify ne soulève pas : en cas de coupure de courant, comment nos équipes peuvent-elles communiquer entre elles ?
À lire également :
Pourquoi les recommandations en matière de sécurité CI ne répondent toujours pas aux besoins des petits opérateurs de services publics
Les recommandations destinées aux entreprises dotées de centres d'opérations de sécurité s'appliquent également aux services publics disposant d'équipes de trois personnes. La solution réside dans la mise en place d'une séquence d'actions.
14 août 2026
·Blog
·Ramon Pinero, vice-président et directeur général, BlackBerry AtHoc
La plupart des recommandations en matière de sécurité des infrastructures critiques sont destinées aux grandes entreprises disposant de centres opérationnels de sécurité dédiés et de budgets importants. Les petits services publics, qui fonctionnent souvent avec un effectif réduit et des ressources limitées, ne peuvent pas mettre en œuvre ces cadres tels qu’ils sont formulés. Il n’en résulte pas une conformité partielle, mais une paralysie opérationnelle qui entraîne une vulnérabilité persistante.
Les petits services d'approvisionnement en eau, les coopératives électriques rurales et les opérateurs régionaux de traitement des eaux usées constituent le socle des infrastructures nationales et desservent des millions de personnes. Pourtant, à bien des égards, ils sont insuffisamment protégés par les dispositifs de sécurité mêmes qui sont censés les protéger.
Les recommandations existent : la CISA les publie, le NERC-CIP en rend certaines obligatoires, et les agences sectorielles émettent régulièrement des avis. La dernière nouveauté en date est « CI Fortify », l’initiative lancée par la CISA en mai 2026 et étendue le 28 juillet grâce à des recommandations conjointes publiées en collaboration avec l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate, le FBI et des partenaires internationaux. Elle demande aux opérateurs de mettre en place deux capacités : l’isolation, définie comme « la déconnexion proactive des dépendances vis-à-vis de tiers et le fonctionnement sans recourir à des opérateurs de télécommunications, des fournisseurs d’accès à Internet, des prestataires de services et des dépendances en amont fiables », et la reprise, dont « un élément clé consiste à tester les plans de reprise et à s’entraîner à des opérations locales et manuelles ».
Ces recommandations actualisées ont été publiées quelques jours après qu’une cyberattaque coordonnée a perturbé le fonctionnement de plus de 30 réseaux d’approvisionnement en eau communaux dans le Minnesota au cours du week-end du 26 au 27 juillet 2026. Le FBI a signalé des incidents survenus dans des services d’approvisionnement en eau et de traitement des eaux usées dans au moins douze États après le 27 juillet, dont certains ont entraîné une dégradation du fonctionnement des réseaux d’approvisionnement en eau.
Le problème ne réside pas dans la qualité de ces documents ; il tient plutôt au fait qu'une grande partie d'entre eux repose sur un modèle organisationnel dont ne disposent pas la plupart des petits opérateurs de services publics : des analystes de sécurité dédiés, des équipes de gestion des incidents à plusieurs niveaux, des processus formels de gestion du changement et des lignes budgétaires consacrées aux outils de surveillance continue.
Un réseau communal d’approvisionnement en eau desservant moins de 10 000 personnes – soit environ 91 % des quelque 50 000 réseaux communaux du pays – peut n’employer que deux ou trois personnes occupant des postes liés aux technologies de l’information, dont la plupart assument également des responsabilités opérationnelles. Une telle organisation ne peut pas se permettre de disposer d’un centre d’opérations de sécurité fonctionnant 24 heures sur 24 ni d’affecter un employé à temps plein à l’analyse des menaces. Lorsqu’un avis fédéral est publié, proposant des dizaines de mesures d’atténuation sans ordre de priorité, cela se traduit souvent, dans la pratique, par l’inaction : il ne s’agit pas d’une non-conformité due à la négligence, mais d’une paralysie provoquée par une charge de mise en œuvre insurmontable.
Le problème de l'hypothèse d'entreprise
Les référentiels tels que le NIST CSF, la norme ISO 27001 et les recommandations sectorielles de la CISA partent généralement du principe que l'entreprise est une structure mature : équipes organisées en niveaux hiérarchiques, rôles bien définis, processus documentés et autorisation budgétaire pour l'acquisition d'outils spécialisés. Ce modèle correspond à une entreprise du classement Fortune 500 ou à un grand service public municipal, et non à la plupart des opérateurs chargés de la gestion des infrastructures critiques au niveau local.
La mise en œuvre complète du CSF du NIST exige d'une organisation qu'elle recense l'ensemble de ses actifs, qu'elle les protège grâce à des contrôles d'accès et à des formations, qu'elle détecte les anomalies par une surveillance continue, qu'elle intervienne conformément à un plan de réponse aux incidents documenté et qu'elle assure la reprise d'activité grâce à des procédures de continuité d'activité testées. Chaque fonction donne lieu à des sous-fonctions, des rôles, des outils et des processus supplémentaires.
Pour une équipe opérationnelle de trois personnes chargée de gérer à la fois les environnements informatiques et les environnements de technologie opérationnelle, il n’est pas possible de mettre en œuvre ces fonctions simultanément. Le guide n’indique pas aux opérateurs par quoi commencer s’ils ne peuvent se consacrer qu’à une seule fonction ce trimestre. Il ne fait pas la distinction entre un contrôle qui réduit considérablement le risque et un contrôle qui n’apporte qu’une amélioration marginale. Il présente une architecture globale, puis laisse au lecteur le soin de déterminer l’ordre des priorités.
Il s'agit davantage d'une défaillance structurelle que d'une lacune dans la documentation. Les organisations les moins à même d'interpréter et de hiérarchiser des recommandations complexes sont celles qui bénéficient du moins de soutien en matière d'interprétation de ces dernières.
La paralysie causée par des listes de mesures d'atténuation non classées par ordre de priorité
Les avis de la CISA et les alertes sectorielles comprennent souvent des listes de mesures correctives comprenant entre 20 et 50 points. Chaque point peut être techniquement valable, mais, pris dans leur ensemble, ils créent un retard de mise en œuvre qu’un petit opérateur ne peut pas rattraper en un an, et encore moins dans le court laps de temps qui s’écoule entre la publication de l’avis et le début de l’exploitation active de la faille.
Les listes non classées posent un problème cognitif spécifique : elles n’offrent aucun point d’entrée. Lorsque chaque élément est présenté comme ayant la même importance, les opérateurs commencent souvent par ce qui leur est familier ou pratique d’un point de vue logistique, plutôt que par ce qui est essentiel sur le plan opérationnel. La gestion des correctifs retient l’attention car il s’agit d’une tâche de routine. La segmentation du réseau entre les environnements informatiques (IT) et techniques (OT) est reportée car elle nécessite une planification et peut entraîner des temps d’arrêt. Le déploiement de l’authentification multifactorielle prend du retard car il nécessite la coordination des utilisateurs.
Il en résulte une posture de sécurité qui semble active, alors que les efforts se concentrent sur des domaines à faible impact et que les surfaces d’attaque à forte valeur restent exposées. Les attaquants qui ciblent les infrastructures critiques n’ont pas besoin du système le plus récent pour lequel aucun correctif n’a été appliqué. Ce dont ils ont besoin, c’est d’une faille de segmentation, d’un canal d’accès à distance non surveillé ou d’identifiants par défaut restés inchangés parce que l’avis les mentionnant figurait au point 34 sur 47.
Dans une petite structure, un manque de coordination équivaut à un échec total
La planification des interventions pour un petit service public doit tenir compte simultanément de deux ressources limitées : le budget et l'attention du personnel. Elle doit également respecter une réalité structurelle liée aux incidents que les recommandations destinées aux grandes entreprises peuvent se permettre d'ignorer.
Les grandes organisations sont capables de faire face aux défaillances de coordination. Si une équipe ne signale pas un incident de sécurité à une autre, cette dernière peut tout de même le détecter et y réagir de manière autonome. La redondance est un gage de résilience.
Les petits services publics ne disposent pas de cette redondance. Un service public dont la capacité d’intervention se résume à quatre personnes perd toute capacité d’intervention si ces quatre personnes ne parviennent pas à se joindre, à vérifier qui est mobilisé et à discuter franchement de la marche à suivre. Si la seule personne chargée de la gestion des systèmes SCADA est indisponible lors d’un incident et que personne d’autre ne maîtrise suffisamment l’environnement OT pour isoler les systèmes affectés, un échec de coordination se transforme en échec opérationnel.
CI Fortify rend cette approche plus rigoureuse plutôt que plus souple. La définition même de l’« isolement » donnée par la CISA demande aux opérateurs de se préparer à fonctionner sans télécommunications fiables, et les directives ne précisent pas comment un service public doit coordonner sa réponse une fois cette situation installée. Sa deuxième capacité aggrave le problème : la mise en pratique d’opérations locales et manuelles n’est pas une activité de réseau. C’est une question d’hommes. Les opérateurs ont été appelés à 2 heures du matin, les horaires de service ont été prolongés, les sous-traitants et les intégrateurs ont été contactés, les partenaires d’entraide ont été mobilisés, une agence de premier rang a été informée, et la population a été mise au courant de la situation.
L’isolement ne dispense pas non plus un service public de ses obligations. Pendant une période d’isolement prolongée, les services publics doivent toujours passer commande et payer les livraisons de produits chimiques, transmettre à l’État les analyses de laboratoire certifiées et les prélèvements de conformité, gérer les commandes de pièces détachées et les bons de commande, ainsi que la paie. Rien de tout cela ne relève de la technologie opérationnelle. Tout cela relève de la coordination avec des personnes situées à l’extérieur du périmètre de sécurité, et tout cela est nécessaire pour que l’eau continue de s’écouler en toute sécurité et en toute légalité.
Une réponse efficace aux incidents au sein d’une petite organisation passe donc par une simplicité radicale. Le plan d’intervention doit tenir sur deux pages et préciser qui appelle qui, dans quel ordre et par quel canal de communication, lorsqu’une condition déclencheuse spécifique est remplie. Il doit être testé au moins une fois par an dans le cadre d’un exercice sur table avec les personnes qui seraient chargées de le mettre en œuvre. Il doit être mis à jour dès qu’il y a un changement au niveau du personnel ou des coordonnées.
La complexité d'un plan d'intervention engendre une responsabilité précisément dans les conditions que ce plan est censé gérer : pression, confusion et contraintes de temps.
La détection est en passe d'être résolue. La coordination, c'est toujours à vous de jouer.
Le problème de pénurie de personnel décrit ci-dessus commence enfin à retenir l'attention du secteur. Le 7 août 2026, DEF CON Franklin et la National Rural Water Association ont lancé le Water Watch Center, mettant en relation un premier groupe de cinq prestataires spécialisés dans la détection et la réponse gérées avec des services des eaux desservant moins de 10 000 personnes, sans aucun coût pour ces derniers.
Il s'agit là de la solution la plus crédible à ce jour pour pallier le manque de personnel dans les petits services publics, mais il convient de l'interpréter avec précision : elle apporte une capacité de détection aux opérateurs qui n'en disposent pas.
La détection vous indique qu’un incident s’est produit. La coordination, c’est la manière dont vous y répondez. Le Water Watch Center comble la première lacune pour les petits services d’eau ; il leur revient toutefois de résoudre la question de la coordination. Ce que fait un service d’eau composé de trois personnes dans l’heure qui suit l’appel de ce fournisseur — qui répond au téléphone, qui est joignable, qui peut autoriser une coupure, qui prévient l’État — est un problème à part.
Un plan de déploiement pour le premier trimestre
Cette même logique de priorisation peut être transposée dans un plan pour le premier trimestre. L'objectif est de réaliser des progrès tangibles face aux risques les plus susceptibles d'entraîner une perturbation opérationnelle, plutôt que de satisfaire à l'ensemble des exigences de sécurité. Commencez par le niveau dont l'absence rendrait caduc tout autre investissement en cas d'incident réel.
Jours 1 à 30 : mise en place d’un système d’alerte avec confirmation de réception. Remplacer la chaîne d’appel manuelle, qui tombe en panne à 2 heures du matin, par un système de notification de masse qui atteint le personnel, les sous-traitants, les intégrateurs et les contacts d’entraide via plusieurs canaux, et qui recense les personnes ayant effectivement répondu. Il s’agit là de la mise en œuvre opérationnelle de la « mise en pratique des opérations locales et manuelles » ; on ne peut pas faire fonctionner une usine manuellement sans avoir d’abord réuni les personnes qui savent comment s’y prendre.BlackBerry®AtHoc® offre cette fonctionnalité et est certifié FedRAMP Classe D (Haut niveau), certification renouvelée cette année, ce qui est essentiel lorsque la couche de coordination elle-même ne doit pas devenir une cible vulnérable.
Jours 31 à 60: mettre en place un canal de coordination hors bande. Faire en sorte que les équipes de direction et d’exploitation utilisent des communications vocales et de messagerie cryptées et authentifiées, indépendantes de l’infrastructure d’authentification de l’entreprise et du chemin réseau, afin que la coordination des incidents ne passe jamais par des canaux dégradés ou présumés compromis.BlackBerry® SecuSUITE® fournit cette couche de sécurité. La coordination hors bande est une mesure de contrôle établie, et non une simple option : le modèle MITRE ATT&CK la répertorie comme mesure d’atténuation M1060, recommandant aux défenseurs d’« établir des canaux de communication hors bande sécurisés afin d’assurer la continuité des communications critiques lors d’incidents de sécurité, d’attaques visant l’intégrité des données ou de défaillances des communications au sein du réseau ».
Jours 61 à 90 : intégrer les appareils essentiels à la réponse dans le système de gestion. Identifier le petit parc de téléphones et d'ordinateurs portables qui servira à la réponse et s'assurer qu'ils sont à jour, sécurisés et récupérables.BlackBerry® UEM permet de gérer ce parc. Un canal de secours accessible depuis un ordinateur portable compromis ne constitue pas une solution de secours.
Aucune de ces mesures ne nécessite d’intervenir sur le réseau de contrôle, de maintenir du personnel spécialisé ou de s’engager dans un programme pluriannuel. Chacune d’entre elles permet d’atteindre un niveau de préparation mesurable en quelques semaines, ce qui est tout aussi important pour les conseils d’administration et les dossiers tarifaires que pour la sécurité : un service public peut ainsi démontrer à ses régulateurs et à sa communauté que la dernière recommandation fédérale a entraîné un changement concret dans son dispositif de sécurité. Et chacune d’entre elles porte ses fruits dans le cadre des opérations courantes, et pas seulement en cas de crise.
Une approche plus globale reste toutefois essentielle. La gestion des identifiants, la segmentation du réseau et l’authentification multifactorielle font toutes partie intégrante d’un programme abouti, et les opérateurs doivent s’efforcer de les mettre en œuvre. Mais ces mesures relèvent du deuxième trimestre, et non du premier, car un service public qui a renforcé la sécurité de tous ses systèmes mais qui n’est pas capable de coordonner son propre personnel s’est doté de dispositifs de contrôle qu’il ne pourra pas utiliser lors de l’incident pour lequel ils ont été mis en place.
Note à l'attention des conseillers du secteur
Les associations, les organismes publics chargés de la primauté de l'État et les consultants qui adaptent les directives fédérales aux petits réseaux ont davantage d'influence sur la sécurité du secteur que n'importe quel fournisseur. À l'heure actuelle, le résultat le plus précieux que cette influence puisse produire est une hiérarchisation honnête des priorités : indiquer à un service public aux ressources limitées non seulement l'ensemble des mesures d'atténuation, mais aussi ce qu'il faut faire en premier, en deuxième et en troisième lieu, et pourquoi.
Une orientation qui refuse d'établir un ordre de priorité revient à déléguer discrètement la décision la plus difficile à la partie disposant des ressources les plus limitées.
Les recommandations en matière de sécurité doivent répondre aux besoins des opérateurs qui en ont le plus besoin
Les recommandations existantes ne sont pas erronées. Elles présentent toutefois des lacunes qui touchent particulièrement les organisations les moins bien armées pour y remédier.
CI Fortify définit la bonne orientation à suivre. Pour garantir une sécurité efficace des infrastructures critiques au niveau local, il est nécessaire de disposer de lignes directrices qui classent les mesures de contrôle en fonction de leur impact opérationnel, établissent une distinction entre ce qui est idéal et ce qui est suffisant, et tiennent compte des contraintes réelles en matière de personnel et de budget auxquelles sont confrontés les petits opérateurs.
Tant que ces recommandations n'existeront pas sous une forme plus accessible et ancrée dans la réalité opérationnelle, les petits opérateurs de services publics devraient éviter de se laisser paralyser par des listes de mesures d'atténuation présentées sans ordre de priorité. Classez-les par ordre d'impact par dollar dépensé et par heure de travail investie. Commencez par le niveau qui permet d'assurer la coordination de vos équipes. Partez de là pour construire la suite. Et posez-vous la question que CI Fortify ne soulève pas : en cas de coupure de courant, comment nos équipes peuvent-elles communiquer entre elles ?
À lire également :