La frontière entre sécurité physique et cybersécurité s’estompe. Dans un monde de plus en plus connecté, un badge, une caméra de surveillance ou un capteur peut devenir une porte d’entrée pour un attaquant qui en détournera l’usage afin d’accéder au système d’information. Inversement, le numérique menace le réel. Une cyberattaque ciblant un contrôle d’accès physique peut déverrouiller une porte menant à une zone sensible.
Dans l’Usine du Futur, la nécessaire convergence des technologies informatiques (IT) et des technologies opérationnelles (OT) supporte les nouvelles technologies de l’Internet des Objets et de l’intelligence artificielle mais crée aussi de nouvelles vulnérabilités et augmente d’autant la surface d’attaque des industriels.
Au cours d’un petit-déjeuner débat, qui s’est tenu le 25 septembre, INCYBER est revenu sur cet impératif de concilier cybersécurité et sûreté physique [vous pouvez retrouver l’intégralité des échanges dans cette vidéo de rattrapage].
Le débat a été introduit par Jean-Marc Autret, CISO pour l’OT d’EDF. L’électricien est concerné en premier chef par cette problématique. Ses installations comprennent un grand nombre de systèmes de contrôle-commande et de dispositifs de protection dont la sécurité revêt une importance vitale quand on parle du parc nucléaire. Sa filiale Enedis gère, elle, le réseau des compteurs communicants Linky l’exposant à de nouveaux risques.
« Nos systèmes devenant toujours plus interconnectés, il est impératif de faire collaborer étroitement les mondes de la sûreté d’exploitation et de la cybersécurité », avance Jean-Marc Autret. Deux mondes jusqu’alors bien distincts. « La sûreté, gère principalement des risques aléatoires, accidentels, par nature imprévisibles, et se base sur une approche probabiliste. L’objectif est d’assurer la continuité de service, ce qui suppose la mise en place de dispositifs de prévention et de plans d’urgence. »
« La cybersécurité lutte, elle, contre des attaques ciblées et délibérées, selon une approche déterministe, poursuit Jean-Marc Autret. Afin d’assurer l’intégrité du système d’information, il convient d’assurer une surveillance en continu et d’apporter une réponse rapide. En cyber, le temps est compté. »
Classer les systèmes industriels en fonction de leur criticité
EDF a classé ses systèmes industriels en cinq degrés de sécurité en fonction de leur criticité. Le niveau 5 concerne les systèmes en interface direct avec Internet ; le niveau 4, les systèmes de gestion industrielle comme la GMAO ; le niveau 3 porte sur les systèmes opérant dans le monde physique avec la supervision de données et de systèmes de contrôle-commande ; le niveau 2 touche aux systèmes de contrôle-commande, de manutention ou de protection physique ayant des impacts directs sur le process industriel et le niveau 1 est réservé aux systèmes vitaux assurant la protection et la sauvegarde des installations.
Face à l’interconnexion croissante des systèmes numériques et industriels, il pourrait être tentant de regrouper les responsabilités des entités IT et OT. « Cette fusion comporterait des risques, avertit Jean-Marc Autret. Elle pourrait conduire à une mauvaise compréhension de leurs rôles distincts ». A ses yeux, le maintien d’approches distinctes garantit la clarté et l’efficacité pour relever des défis uniques. En revanche, il plaide pour l’orchestration d’une gouvernance commune afin d’évaluer et de gérer les risques que fait naître cette interconnexion.
Début 2025, le groupe EDF a créé le Centre d’Excellence Cyber (CEC) afin de mettre en place ce cadre de gouvernance en harmonisant les pratiques et en mutualisant les outils. Cette nouvelle entité permet aussi d’anticiper les exigences réglementaires à venir, à commencer par les directives européennes NIS 2 pour le volet cyber et CER (Critical Entities Resilience) pour la résilience des entités critiques. Avec cette évolution réglementaire, le périmètre s’élargit notamment aux systèmes SCADA (Supervisory Control and Data Acquisition).
Instaurer une gouvernance commune, cyber-physique
Directeur de la prévention des risques et de la sécurité de la Société d’Exploitation de la Tour Eiffel (SETE), Sébastien Duquenne plaide pour une unicité de commandement afin d’anticiper et gérer au mieux les situations de crise. « Or, l’existence de deux cultures – l’une tournée vers l’IT et l’autre vers la sécurité – complique la mise en place de cette gouvernance unifiée. » Il rappelle que la Tour Eiffel est un établissement ouvert au public et, qu’à ce titre, les impératifs d’exploitation sont souvent privilégiés.
Directeur de la sécurité générale de l’Assistance Publique – Hôpitaux de Paris l’AP-HP, Grégoire Dore est confronté à la même problématique. « Un hôpital doit rester un lieu ouvert. Il est plus facile de mettre des barrières virtuelles que des barrières physiques. La convergence entre la sécurité « classique » et la cybersécurité n’est pas si évidente. » Le défi est d’autant plus considérable qu’il s’agit de coordonner, dans le cas de l’AP-HP, 38 établissements. Il pointe, par ailleurs, la différence de moyens et d’effectif entre la Direction des Services Numériques (DSN) et la structure qu’il dirige.
Selon Grégoire Dore, le défi majeur réside dans l’harmonisation des approches. « D’un côté, les DSI et RSSI privilégient la conception et la gestion logique de la sécurité. De l’autre, les directions de la sûreté se focalisent sur la protection physique, le contrôle d’accès vidéo et les agents de sécurité. Pour dépasser ces silos, il est indispensable d’instaurer une gouvernance commune, véritablement cyber-physique. À l’AP-HP, nous avons lancé des réunions mensuelles destinées à créer ce cadre unifié ».
Grégoire Dore évoque d’autres bonnes pratiques comme la tenue d’un registre unique des risques qu’ils soient cyber ou physiques et le déploiement d’une hypervision commune. « Il ne peut pas y avoir un SOC côté cyber et un PC sécurité de l’autre, chacun dans son silo. La collaboration des équipes est cruciale pour une vision globale et partagée ».
De même, il préconise une politique unique de gestion des identités et des authentifications pour renforcer la cohérence dans la sécurisation des espaces physiques et numériques. De son côté, Sébastien Duquenne fait la promotion de la méthode d’analyse des risques EBIOS RM (Risk Manager) qui peut s’appliquer à la protection physique d’une structure et permet de faire travailler les experts en cybersécurité sur les sujets de la sûreté.
Une attaque informatique peut être désormais létale
Dirigeant la division connaissance, anticipation et gestion de crise au sein du commandement du ministère de l’Intérieur dans le cyberespace, le colonel Ludovic Vestieu a ensuite dressé un panorama plutôt inquiétant des nouveaux risques hybrides. « Les attaques visant les systèmes SCADA et les risques liés à la convergence IT-OT constituent un vrai sujet de préoccupation pour nous. Jusqu’à présent, les cercles spécialisés pouvaient affirmer qu’une attaque informatique n’était jamais mortelle ».
Il y avait bien le cas d’une patiente de Düsseldorf, décédée lors de son transfert après une attaque par ransomware, ou celui d’une femme en Grande-Bretagne dont la mort a été attribuée à une attaque informatique ayant retardé la transmission de ses résultats médicaux. Mais ces exemples étaient rares.
Pour l’officier supérieur, Il est probable que cette situation évolue et qu’il soit possible de mener des attaques létales en détournant un outil industriel de façon à créer un sentiment de terreur ou tout simplement pour exercer un chantage crapuleux. Il existe au moins un précédent. Le groupe israélien « Predatory Sparrow » a revendiqué, via une vidéo saisissante sur YouTube, l’incendie d’une aciérie iranienne en 2022. Il, a pour cela, détourner le haut fourneau et déverser le métal en fusion dans l’usine. « S’il a pris la précaution de faire évacuer le site, des acteurs malveillants moins scrupuleux pourraient ne pas prendre la peine de protéger les vies humaines. »
Plus récemment et plus proche de nous, un groupe a prétendu avoir pris le contrôle d’un système SCADA d’irrigation dans le sud de la France. « Bien que l’impact soit limité, cette revendication révèle une tendance inquiétante, observe le colonel Ludovic Vestieu. Ces acteurs ont développé de nouvelles compétences techniques et cherchent à gagner en notoriété en revendiquant leurs actions. L’ego représente un carburant essentiel pour bon nombre de ces acteurs malveillants. »
Contrôler les candidats et les prestataires
Comment en est-on arrivé là ? Le militaire rappelle que les systèmes industriels se sont informatisés par couches successives, sans que la sécurité ne soit toujours la priorité. « L’objectif initial était d’améliorer l’efficacité opérationnelle, en déléguant certaines opérations jusqu’alors réalisées manuellement à des systèmes automatisés. Cette automatisation a certes accéléré et facilité les processus industriels, mais les a rendus plus vulnérables en augmentant de fait la surface d’attaque. L’efficacité a été privilégiée au détriment de la sécurité. »
Se pose aussi la question de l’obsolescence des installations industrielles qui ne sont plus maintenues faute de mises à jour et de correctifs et dont le coût de leur remplacement s’avèrerait prohibitif. Pour assurer le maintien en condition opérationnelle (MCO), NIS 2 recommande de renforcer la sécurité physique pour pallier les vulnérabilités des systèmes obsolètes.
Au-delà de ces enjeux techniques, le colonel Ludovic Vestieu évoque le facteur humain. Un accès légitime au système peut provenir tout simplement d’un vol d’un ordinateur ou d’un employé mal intentionné. Si dans les activités essentielles et vitales, comme le domaine nucléaire, des enquêtes sont réalisées avant de recruter un salarié, ces contrôles ne sont pas systématiquement appliqués dans les entreprises de transport ou les établissements hospitaliers.
Il conseille non seulement de mettre en place des procédures de recrutement rigoureuses mais aussi d’inclure dans les contrats de travail des clauses protégeant les savoir-faire industriels et techniques. La menace peut aussi venir des prestataires qui interviennent sur site et se connectent, le cas échéant, aux systèmes de leur client. « Une entreprise de nettoyage peut facilement devenir le vecteur d’une attaque informatique. »
Des menaces hybrides mêlant physique et numérique
Le haut gradé pointe, par ailleurs, le flou entretenu entre les usages privés et professionnels avec la généralisation des pratiques numériques. Une dérive qu’il a observée dans le secteur de l’agroalimentaire. « Les exploitations agricoles sont généralement de petite taille avec une faible culture cyber. Un employé va, par exemple, télécharger une version de PDF corrompue introduisant un malware dans le système professionnel. »
Il existe, par ailleurs, des menaces hybrides mêlant sécurité physique et environnement numérique. Grégoire Dore les a listées. Une organisation peut être confrontée au piratage de la GTB (Gestion Technique du Bâtiment) entraînant l’arrêt de climatisation de la salle serveur et par conséquent du système d’information. Un sinistre, comme un incendie ou une inondation, peut également causer une interruption de service et la perte des systèmes de sauvegarde locale.
L’intrusion dans le système de contrôle d’accès va, lui, provoquer le déverrouillage de portes sensibles et nécessite d’ouvrir en permanence les accès bloqués. Ce qui suppose de renforcer le contrôle physique. L’accès non autorisé à une salle serveur permet notamment de connecter un périphérique malveillant.
La nécessaire implication du Comex
Face à la multiplicité des risques, il s’agit de sensibiliser les collaborateurs aux risques industriels sans entraver leur activité professionnelle. « Imposer des mots de passe de 20 caractères, renouvelables tous les six mois, peut devenir rapidement ingérable dans un contexte industriel, avertit Jean-Marc Autret. Imaginez qu’en pleine nuit, un technicien soit appelé pour dépanner un automate et ne parvienne pas à retrouver le mot de passe approprié. Cela peut mettre la production en danger ».
Thierry Delville va plus loin « La sécurité, qu’elle soit physique ou cyber, ne doit pas être vécue comme une contrainte. Elle doit s’insérer de manière fluide dans les process. » Ce qui suppose d’être à l’écoute des métiers, seuls à même d’expliquer leurs modes de fonctionnement.
Les intervenants du petit-déjeuner ont également rappelé l’importance d’impliquer le top management. « Sans sensibilisation des décideurs de haut niveau et sans engagement clair de la hiérarchie, rien ne peut se structurer durablement », rappelle Thierry Delville. Depuis quinze ans, il observe une montée en maturité des dirigeants des grands comptes sur le sujet cyber. En revanche, dans les entreprises de taille plus modeste, la prise de conscience est moins évidente.
Chez EDF, la sensibilisation du Comex passe par le biais des homologations. « En tant qu’Opérateur d’Importance Vitale, l’entreprise doit réaliser des analyses de risque pour chacun de ses systèmes critiques et les présenter aux dirigeants, afin d’éclairer leurs décisions », explique Jean-Marc Autret.
Thierry Delville observe également une professionnalisation de la gestion de crise. Il est indispensable, selon lui, de pouvoir réunir autour de la table tous les acteurs – opérationnels, experts de la cybersécurité et de la sûreté, juristes, responsables des ressources humaines – pour définir une réponse coordonnée. Pour faire face à un événement par nature imprévisible, il conseille de recourir à la notion d’open source intelligence (OSINT). Cette exploitation d’informations librement accessibles permet d’appréhender des menaces protéiformes, y compris la vulnérabilité d’installations physiques.
Il s’agit non seulement de gérer la crise mais aussi le stress et les egos dans ces situations critiques, rappelle le colonel Ludovic Vestieu. « Certains chercheront à s’imposer et prendre le « lead », d’autres craqueront mentalement. L’humain reste le centre de gravité d’une gestion crise. Il convient de se préparer non seulement sur le plan technique mais aussi managérial. Il faut un commandement pour maintenir le cap. »
The post Comment faire converger les impératifs de cybersécurité et de sûreté physique appeared first on INCYBER NEWS.
Connexion
