CI Fortify comble la lacune mise en évidence par l'attaque contre les infrastructures critiques du Minnesota

La CISA et les agences du groupe « Five Eyes » publient un plan d'action conjoint pour l'isolation des réseaux opérationnels (OT) alors qu'une cyberattaque visant un service des eaux est en cours

Que s'est-il passé ?

La CISA, en collaboration avec les agences de cybersécurité du Royaume-Uni, d'Australie, du Canada et de Nouvelle-Zélande, a publié «CI Fortify,», un plan en six étapes visant à isoler les technologies opérationnelles (OT) en cas de cyberattaques. Ce guide recommande aux opérateurs d’infrastructures critiques d’intégrer des points d’isolation dédiés dans leurs systèmes vitaux afin que les services essentiels puissent continuer à fonctionner même lorsque les réseaux sont délibérément coupés de l’extérieur.

La CAF Bank a temporairement suspendu ses services en ligne à la suite de problèmes liés à une faille de sécurité dans un logiciel tiers, ce qui a contraint l'organisation à mettre en place des mesures d'urgence pendant que les efforts visant à rétablir le service étaient en cours.¹

Ce communiqué intervient alors que deux incidents sont actuellement d'actualité : la CAF Bank a suspendu ses services en ligne à la suite d'une faille de sécurité dans un logiciel tiers, et une attaque coordonnée a perturbé les systèmes de technologie opérationnelle (OT) de plus de 30 services des eaux du Minnesota. Les services des eaux du Minnesota et la CAF Bank illustrent tous deux ce qui se passe en l'absence d'une couche de communication de secours lors d'un isolement forcé : la coordination s'effondre au moment même où elle est la plus cruciale.

Services d'approvisionnement en eau du Minnesota : ce que nous savons

• Période de l'attaque : 26-27 juillet 2026. Les services informatiques du Minnesota (MNIT) ont confirmé publiquement l'intrusion le 28 juillet et ont déclenché une procédure d'intervention en cas d'incident de cybersécurité à l'échelle de l'État.²

• Plus de 30 réseaux communaux d'approvisionnement en eau et de traitement des eaux usées ont été touchés ; les villes de Braham, Plymouth, South St. Paul et Maple Plain ont rendu publiques les répercussions sur leurs fonctions de contrôle automatisées.³

• Les procédures d'urgence ont permis de maintenir le service d'approvisionnement en eau et de traitement des eaux usées dans la plupart des communes touchées. Le ministère de la Santé du Minnesota a indiqué qu'aucune commune n'avait émis d'avis de modification d'utilisation à l'intention des habitants.⁴

• Au 29 juillet, l'identité de l'auteur n'était pas encore confirmée. Le MNIT travaille en coordination avec la CISA, l'EPA et le FBI, et a relevé des similitudes dans les modes d'accès avec des intrusions observées dans d'autres États et secteurs, sans toutefois désigner de responsable.

• Contexte fédéral : l’avis AA26-097A de la CISA, mis à jour au cours de la même période, fait état d’acteurs liés à l’Iran qui exploitent des automates programmables (PLC) au sein des infrastructures critiques américaines. Selon certaines informations, le calendrier de ces attaques coïnciderait avec cette activité plus large, bien qu’aucun lien officiel n’ait été établi avec les attaques du Minnesota.⁵

• Facteur de risque structurel : les États-Unis comptent environ 150 000 à 170 000 réseaux d’approvisionnement en eau, dont la plupart sont de petite taille et manquent de ressources. Un audit réalisé en 2024 par le Bureau de l’inspecteur général de l’EPA a révélé que la majorité des réseaux d’approvisionnement en eau examinés n’étaient pas à jour en matière d’évaluations des risques et de plans d’intervention d’urgence obligatoires.^{6 7}

Les six étapes

1. Identifier les systèmes et réseaux essentiels

2. Identifier les clients clés

3. Identifier les niveaux courants de criticité et de confiance pour les réseaux et les hôtes

4. Identifier les points d'isolement potentiels et cartographier les connexions aux systèmes essentiels

5. Mettre en place des points de séparation et d'isolement efficaces

6. Élaborer et tester un plan d'isolement

Pourquoi est-ce important ?

La consigne principale du guide est sans détour : les organisations doivent intégrer des points d'isolation physique dans leurs systèmes vitaux et considérer les réseaux fournis par les opérateurs comme non fiables et potentiellement hostiles. Cette exigence crée une lacune opérationnelle immédiate. Si un organisme isole son réseau OT ou IT, comment peut-il maintenir la communication et la coordination entre ses équipes pendant la période d'isolation elle-même ?

Il s'agit avant tout d'un problème de notification de masse et de communication d'urgence. Le guide part du principe que les opérateurs peuvent isoler l'infrastructure ; il n'aborde pas la question de savoir comment les responsables opérationnels, le personnel de terrain et les clients concernés peuvent rester en contact une fois cette isolation mise en place. C'est précisément là qu'intervient la gamme BlackBerry.

Comment BlackBerry s'inscrit dans ce schéma

Mesures recommandées sur la base du plan d'action

• Tout plan d'isolation OT/IT doit être associé à un plan de continuité des communications. Une isolation sans canal de coordination ne fait que retarder la perturbation, elle ne l'empêche pas.

• Il convient de noter que les communications d'urgence et de commandement dépendent actuellement d'un même opérateur ou d'une même infrastructure informatique, qui sont isolés. Cette dépendance constitue la faille que CI Fortify ne comble pas.

• Testez conjointement le plan d'isolation et le plan de secours en matière de communication. Le processus en six étapes présenté dans le guide se termine par « créer et tester un plan d'isolation » ; les procédures de notification et de coordination doivent être testées dans le cadre de ce même exercice, et non séparément.

• Donner la priorité aux notifications hors bande et multicanaux pour toute zone identifiée comme susceptible de faire l'objet d'un isolement progressif, afin que la visibilité du commandement soit préservée pendant la durée de l'isolement lui-même.

Point de vue BlackBerry

« CI Fortify » recommande aux agences d’isoler leurs réseaux. Il ne leur indique toutefois pas comment rester connectées une fois cette mesure mise en œuvre. Les conséquences subies par les services des eaux du Minnesota et la CAF Bank illustrent toutes deux le coût concret de cette lacune : interruption des services, absence de solution de secours claire pour le commandement et la coordination. BlackBerry AtHoc conçu précisément pour combler cette lacune : une solution de communication d’urgence multicanal et vérifiée, qui fonctionne indépendamment de l’infrastructure sur laquelle elle s’appuie.

À lire également :

• Le Water Watch Center met en évidence les lacunes en matière de cyber-réponse des services des eaux

• Pourquoi les recommandations en matière de sécurité CI ne répondent toujours pas aux besoins des petits opérateurs de services publics

• Partir du principe qu'il y a eu une intrusion : et ensuite ? Aller au-delà du slogan pour se concentrer sur les exigences opérationnelles

• Ce que CI Fortify demande aux services publics d'investir — et la fonctionnalité qu'il ne mentionne jamais

• Quand les téléphones tombent en panne : le problème de coordination que personne ne prévoit

• Leçons à tirer des attaques perpétrées en juillet contre des services d'approvisionnement en eau : ce que l'avis conjoint recommande aux exploitants de faire désormais

• Pourquoi la planification de l'isolement en matière de technologies de l'information nécessite-t-elle d'assurer la continuité des communications ?

Références :

1. Les travaux se poursuivent pour rétablir les services de la banque caritative (Communiqué à l'attention des clients de la CAF Bank concernant les efforts en cours pour rétablir les services à la suite d'une faille de sécurité dans un logiciel tiers, 1er août 2026.)

2. Le dispositif d'intervention de l'État en matière de cybersécurité a été déclenché à la suite d'un incident cybernétique survenu au sein d'un service des eaux

   (Minnesota IT Services, communiqué de presse MNIT, 28 juillet 2026.)

3. Des dizaines de services des eaux du Minnesota visés par des attaques coordonnées de type OT (Security Week, 29 juillet 2026.)

4. Le Minnesota poursuit son intervention face aux cyberattaques visant les réseaux d'approvisionnement en eau des collectivités (Minnesota IT Services, communiqué de presse MNIT, 30 juillet 2026.)

5. Des cyberacteurs liés à l'Iran exploitent des automates programmables dans des infrastructures critiques aux États-Unis (AA26-097A) (Agence pour la cybersécurité et la sécurité des infrastructures (CISA), avis de la CISA n° AA26-097A, 22 juillet 2026.)

6. Fiche d'information sur les exigences relatives à l'évaluation des risques et de la résilience ainsi qu'aux plans d'intervention d'urgence (EPA, 26 mai 2026.)

7. Des failles de sécurité « critiques » ont été détectées dans de nombreux services des eaux, met en garde l'inspecteur général de l'EPA

   (Bureau de l'inspecteur général de l'Agence américaine de protection de l'environnement. Évaluation des failles de cybersécurité affectant les réseaux d'eau potable américains, résumée dans State Scoop, le 18 novembre 2024.)