Comment améliorer la résilience de l'approvisionnement électrique face aux menaces de cybersécurité
Les enjeux croissants de la cybersécurité de l'alimentation électrique
Les hôpitaux, les centres de données, les réseaux de transport, les usines de fabrication et les maisons dépendent tous d'un approvisionnement électrique stable. L'infrastructure du réseau devient de plus en plus numérisée et interconnectée, elle devient aussi plus exposée aux cybermenaces. Les attaquants ciblent de plus en plus les systèmes énergétiques non seulement pour les perturbations, mais aussi pour les rançons, l'espionnage ou l'avantage stratégique. Des événements récents comme l'attaque de [[Les] coupures de courant du réseau électrique en Ukraine démontrent que les conséquences d'une cyberattaque réussie sur les systèmes électriques peuvent s'étaler sur des économies entières.
La résilience dans ce contexte signifie plus que la simple prévention d'une brèche. Elle signifie la conception de systèmes qui peuvent résister à une attaque, continuer à fournir de l'énergie pendant l'incident et récupérer rapidement après. Cela nécessite une approche holistique qui intègre la cybersécurité dans chaque couche d'opérations, du logiciel de salle de contrôle aux appareils de terrain et aux barrières physiques.
Comprendre le paysage menacé
Les systèmes d'alimentation électrique font face à un ensemble diversifié et évolutif de cybermenaces, notamment :
- Ransomware – Logiciel malveillant qui chiffre les données critiques ou qui désactive les systèmes de contrôle jusqu'à ce qu'une rançon soit payée. L'attaque du pipeline colonial de 2021 a temporairement arrêté la livraison de carburant dans l'est des États-Unis.
- Preintes persistantes avancées (APT) – Groupes parrainés par l'État qui effectuent des reconnaissances à long terme et des attaques ciblées sur les infrastructures du réseau.Les pannes d'électricité en Ukraine en 2015 et 2016 ont été attribuées à ces groupes, qui ont utilisé des slogans et compromis les titres de créance VPN pour éteindre les sous-stations à distance.
- Attaques de chaînes d'approvisionnement – Compromising hardware or software components before they upporting to the utility.
- Ressources d'insider[ – Employés ou entrepreneurs mécontents ayant un accès autorisé qui endommagent intentionnellement les systèmes.
- Phishing and social engineering – Exploiter l'erreur humaine pour obtenir un accès initial aux réseaux. Même des défenses techniques robustes peuvent être contournées par un seul courriel d'hameçonnage réussi.
Les attaquants exploitent des points faibles tels que l'équipement ancien utilisant des protocoles dépassés, des logiciels non équipés, des points d'accès à distance non sécurisés et une segmentation du réseau insuffisante.
Principes fondamentaux de la cyberrésilience pour les systèmes d'alimentation
La résilience repose sur un ensemble de principes fondamentaux qui guident l'architecture, les opérations et les interventions, qui s'appliquent à l'ensemble de la transmission, de la distribution et de la génération.
Défense en profondeur
Une stratégie de défense en profondeur recouvre plusieurs protections de sorte que si l'on échoue, d'autres bloquent encore un attaquant. Cela comprend les pare-feu périmètre, la segmentation du réseau interne, la détection d'intrusion par hôte, la liste blanche des applications pour les systèmes de contrôle industriel (ICS) et des contrôles d'accès stricts à tous les niveaux.
Sécurisation par conception
Lors de l'acquisition de nouveaux équipements ou de systèmes de mise à niveau, les services publics devraient exiger un démarrage sécurisé, un firmware signé, un contrôle d'accès basé sur les rôles et des communications chiffrées[. Le Cadre de cybersécurité NIST fournit une base solide pour intégrer la sécurité dans la conception et la gestion des risques.
Surveillance et intervention continues
Un système de puissance résilient utilise une surveillance continue du trafic réseau, des registres de systèmes et des données de capteurs physiques pour détecter les anomalies. Les centres d'opérations de sécurité (SOC) dotés d'analystes qui comprennent les environnements IT et OT (technologie opérationnelle) peuvent identifier les attaques en cours et déclencher des actions de réponse avant que les dommages ne se propagent.
Mesures pratiques pour améliorer la résilience
Passant des principes à la pratique, les opérateurs de réseaux et de services publics peuvent mettre en œuvre une série de mesures concrètes qui améliorent considérablement la posture de cybersécurité et la résilience opérationnelle.
Segmentation des réseaux et confiance zéro
En segmentant le réseau informatique (systèmes d'affaires) du réseau OT (systèmes de contrôle) et en divisant davantage l'OT en zones basées sur la criticité, un attaquant qui viole une zone ne peut pas facilement pivoter vers les systèmes de contrôle de base. Le modèle Zero Trust[ – jamais confiance, toujours vérifier – nécessite l'authentification et l'autorisation de chaque connexion, même à l'intérieur du périmètre.
Gestion de la patching et de la vulnérabilité
Dans les environnements OT, le patching peut être difficile car les mises à jour peuvent perturber les opérations ou nécessiter une recertification complexe. Une approche fondée sur le risque priorise les patchs pour les appareils face à Internet, les passerelles d'accès à distance et les contrôleurs critiques. Le patching virtuel via les systèmes de prévention des intrusions peut fournir une protection temporaire.
Contrôle d'accès et authentification multi-facteurs
La mise en œuvre de authentification multifacteurs (MFA)[ pour tous les accès humains, y compris les consoles de la salle de contrôle, les postes de travail d'ingénierie et les connexions à distance, réduit considérablement le risque de vol de titres de compétence. L'accès basé sur le rôle garantit que les opérateurs ne peuvent effectuer que les actions nécessaires à leur travail, limitant le rayon de souffle d'un compte d'initié ou compromis.
Planification des interventions et exercices
[Les exercices de table impliquant des équipes de TI et d'OT, ainsi que des partenaires externes comme les organismes de réglementation de la grille, doivent construire une mémoire musculaire. Le ministère de l'Énergie CESER offre des conseils et des exercices pour le secteur de l'énergie.
Le rôle de la sécurité physique dans la cyberrésilience
L'attaque de 2013 contre une sous-station californienne, bien que physique, a mis en évidence la vulnérabilité des infrastructures critiques. La combinaison de barrières physiques, de vidéosurveillance, de capteurs de détection d'intrusion et de systèmes de contrôle d'accès avec des mesures de cybersécurité crée une défense unifiée. Le personnel devrait être formé pour signaler les comportements suspects et comprendre qu'un incident physique (comme un véhicule non autorisé près d'une sous-station) pourrait être un précurseur d'une cyberattaque.
Renforcer la résilience à long terme grâce aux normes et à la collaboration
Aucune utilité ne peut résister seul aux adversaires sophistiqués. La résilience à long terme dépend de l'adoption de normes industrielles et de la participation aux communautés d'échange d'information.
Adopter des normes éprouvées
La série de normes IEC 62443 est la référence mondiale pour la cybersécurité dans les systèmes d'automatisation et de contrôle industriels, y compris la production et la distribution d'électricité. Elle fournit une approche structurée pour l'évaluation des risques, les exigences en matière de sécurité et le développement de produits sécurisés.
Partage de l'information et partenariats public-privé
Les organismes comme le Centre d'échange et d'analyse de l'information sur l'électricité (E-ISAC) permettent aux services publics de partager des indicateurs de compromis, de modèles d'attaque et de techniques d'atténuation dans un environnement de confiance. Les partenariats public-privé avec des organismes comme CISA, le ministère de l'Énergie et les services locaux d'application de la loi facilitent une intervention coordonnée lors d'incidents majeurs.
Conclusion
L'amélioration de la résilience de l'alimentation électrique face aux menaces de cybersécurité est un processus continu et multicouche qui nécessite des contrôles techniques comme la segmentation du réseau, la confiance zéro et une gestion robuste de l'accès; des pratiques opérationnelles comme le patching régulier, les exercices d'incident et les sauvegardes hors ligne; et des engagements organisationnels en matière de normes, de formation et de collaboration.