Le rôle de la NRC dans l'élaboration de normes de cybersécurité pour les centrales nucléaires

Guide de réglementation 5.71: Lignes directrices de mise en oeuvre

Pour aider les titulaires de permis à se conformer à la 10e partie du CFR 73.54, le CNRC a publié le Guide de réglementation 5.71, -Le présent guide contient des recommandations techniques détaillées sur la façon de concevoir, de mettre en oeuvre et de maintenir un programme de cybersécurité. Il est en étroite harmonie avec le cadre de l'Institut national des normes et de la technologie (NIST) pour améliorer la cybersécurité des infrastructures essentielles et intègre les principes d'assurance de l'information des Agences de sécurité nationale (ANS).

• Inventaire et classification des actifs pour tous les actifs numériques.
• Méthode d'évaluation des risques fondée sur la surface des attaques, la probabilité de la menace et la gravité des conséquences.
• Mesures de protection telles que les contrôles aux frontières, l'accès aux services les moins privilégiés et les pratiques de développement de logiciels sécurisés.
• Surveillance continue et détection d'anomalies à l'aide d'outils de gestion des informations et des événements de sécurité (SIEM).
• Procédures de réponse et de récupération des incidents qui incluent des sauvegardes hors ligne et des capacités de repli manuel.
• Un programme complet de formation et de sensibilisation pour tout le personnel ayant accès à des systèmes numériques critiques.

NUREG-1801 et mise à jour de la base de conception Menace

Le CNRC révise périodiquement ses normes de base de conception de la menace (DBT) pour tenir compte des changements dans les capacités adverses.Le DBT, contenu dans NUREG-1801, ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Éléments clés des normes de cybersécurité du CNRC : une plongée plus profonde

Évaluation des risques et identification numérique des biens essentiels

Les titulaires de permis doivent effectuer une analyse des écarts entre leur posture de sécurité actuelle et les exigences de la partie 73.54 du CFR, puis mettre en oeuvre des stratégies de protection fondées sur le profil de risque. Le CNRC souligne que les évaluations des risques doivent être systématiques, documentées et reproductibles. Ils doivent tenir compte à la fois des menaces externes (acteurs de l'État-nation, pirates) et des menaces internes (employés mécontents, entrepreneurs).

Défense en longueur et segmentation du réseau

La segmentation des réseaux est particulièrement critique : les systèmes critiques en matière de sécurité devraient être isolés des réseaux d'affaires et d'Internet, sauf si la connectivité est absolument nécessaire. Si des contrôles stricts sont requis, des contrôles tels que les passerelles unidirectionnelles, les pare-feu des couches d'application et la surveillance des sessions doivent être déployés. Le CNRC exige également que les réseaux privés virtuels (RVP) et l'accès à distance soient étroitement contrôlés, avec authentification et enregistrement à deux facteurs.

Détection et réponse des incidents

Le CNRC s'attend à ce que les titulaires de permis soient capables de détecter les cyberincidents en temps quasi réel, ce qui signifie que les systèmes de détection des intrusions (SDI) et de prévention des intrusions (SIP) soient déployés sur les réseaux de sécurité et d'affaires, en corrélation avec les registres dans un SIEM central. Les titulaires de permis doivent également établir un plan d'intervention en cas d'incident qui couvre les personnes qui sont avisées, la façon dont l'incident est contenu et la façon dont les preuves sont conservées pour des mesures législatives ou réglementaires potentielles.

Relèvement et continuité des activités

Les plans de récupération doivent garantir que les centrales nucléaires peuvent reprendre leur exploitation en toute sécurité après un cyberincident, notamment en maintenant des copies hors ligne des données et des logiciels de configuration, en passant par des systèmes automatisés et en effectuant des essais périodiques de restauration. Le CNRC avise les titulaires de permis d'élaborer des stratégies de dégradation et de survie, qui permettent à l'installation de fonctionner en toute sécurité même si certaines commandes numériques ne sont pas disponibles.

Le processus d'application et d'inspection du CNRC

Inspections et évaluations de la cybersécurité

Le CNRC procède à des inspections régulières et spéciales des centrales nucléaires pour vérifier la conformité aux normes de cybersécurité.Les inspecteurs du Bureau de la sécurité nucléaire et des interventions en cas d'incidents du CNRC évaluent le plan de cybersécurité, examinent la mise en oeuvre des contrôles et testent les capacités d'intervention en cas d'incident. Ils évaluent également les dossiers de formation du personnel de cybersécurité. Le CNRC utilise une approche fondée sur les risques pour prioriser les inspections : les installations qui dépendent davantage des systèmes numériques ou celles qui ont connu des incidents cybernétiques récents font l'objet d'un examen plus approfondi.

Exigences en matière de rapports

Les titulaires de permis doivent signaler certains événements de cybersécurité au CNRC dans des délais précis.

• Les cyberattaques confirmées qui compromettent un CDA ou dégradent sa fonction.
• Activité suspecte qui indique une menace potentielle pour l'initié.
• Des défaillances importantes des contrôles de sécurité – par exemple, une mauvaise configuration du pare-feu qui expose un réseau de sécurité pendant plus de 24 heures.

Ces rapports sont tenus confidentiels pour protéger les renseignements sensibles à la sécurité. Le CNRC recueille également des données agrégées sur les incidents de cybersécurité afin de cerner les tendances à l'échelle de l'industrie et d'ajuster les directives réglementaires en conséquence.

Collaboration avec les partenaires de l'industrie et du gouvernement

Travailler avec l'Institut de l'énergie nucléaire (NEI)

Le CNRC collabore régulièrement avec l'Institut de l'énergie nucléaire (INÉ), l'organisme responsable de la politique de l'industrie nucléaire, pour élaborer et affiner les normes de cybersécurité. Le document d'orientation NEI 08-09 a été officiellement approuvé par le CNRC dans le Guide de réglementation 5.71 comme méthode acceptable pour se conformer à la partie 73.54 du CFR. Le CNRC et l'INÉ organisent conjointement des ateliers, des exercices de table et des groupes de travail pour faire face aux nouvelles menaces, comme les ransomwares et les vulnérabilités de la chaîne d'approvisionnement.

Coordination avec les organismes de sécurité nationale

Le CNRC travaille en étroite collaboration avec le ministère de la Sécurité intérieure de l'Agence de la cybersécurité et de la sécurité des infrastructures (ISA) et le ministère de l'Énergie du Canada. Le CISA fournit des renseignements sur les menaces et des évaluations de vulnérabilité que les titulaires de permis du CNRC peuvent avoir accès au Programme de partage de l'information sur les risques liés à la cybersécurité (PCRP).

Collaboration internationale

La cybersécurité nucléaire est un enjeu mondial.Le CNRC collabore avec l'Agence internationale de l'énergie atomique (AIEA) et ses États membres pour harmoniser les normes et partager les leçons apprises.La série d'orientations techniques de l'AIEA sur la sécurité nucléaire, en particulier Les éléments essentiels et objectifs du régime de sécurité nucléaire d'un État, parallèle de nombreuses exigences du CNRC.

Défis à relever dans l'élaboration et l'application des normes de cybersécurité

Équilibrer la sécurité et l'efficacité opérationnelle

Les centrales nucléaires sont des environnements hautement réglementés où tout changement de logiciel ou de configuration doit être soigneusement vérifié. Des exigences de cybersécurité trop strictes pourraient ralentir l'entretien ou les mises à niveau légitimes. Le CNRC s'attaque à cette question en permettant aux titulaires de permis de proposer d'autres approches par le biais du processus d'exemption -- à condition que l'autre voie atteigne un niveau de sécurité équivalent.

Systèmes hérités et propriétaires

De nombreuses centrales nucléaires exploitent encore des systèmes numériques anciens qui ont été conçus bien avant que des menaces modernes à la cybersécurité ne se manifestent, et qui peuvent avoir des ressources informatiques limitées (p. ex., des contrôleurs intégrés dotés de processeurs 8 bits) qui ne peuvent appuyer la surveillance des logiciels malveillants ou des réseaux. Le CNRC exige des mesures d'atténuation des risques pour ces systèmes, notamment une stricte isolement du réseau, une surveillance manuelle et des mesures compensatoires comme une sécurité physique accrue.

Menaces d'initié et risques liés à la chaîne d'approvisionnement

Le CNRC exige explicitement des titulaires de permis qu'ils s'attaquent aux menaces d'initiés dans leurs plans de cybersécurité et dans leurs programmes de sécurité plus vastes. Les menaces d'initiés sont difficiles à combattre parce que des personnes de confiance ont un accès légitime. Le CNRC s'attend à ce que les titulaires de permis mettent en place des mesures de surveillance du comportement, des règles d'intégrité de deux personnes et des vérifications périodiques des antécédents du personnel de cybersécurité.

Orientations futures des normes de cybersécurité du CNRC

Réacteurs avancés et jumeaux numériques

À mesure que l'industrie nucléaire se dirige vers des réacteurs de pointe, y compris des petits réacteurs modulaires (RMR) et des microréacteurs, le CNRC élabore des normes de cybersécurité qui s'étendent à ces nouvelles conceptions. Les réacteurs de pointe dépendent souvent fortement de l'automatisation numérique, de la surveillance à distance et même du contrôle autonome. Le CNRC doit s'assurer que la sécurité est intégrée à la phase de conception plutôt qu'à la mise à niveau.

Intégration de l'intelligence artificielle et de l'automatisation

Le CNRC reconnaît les avantages potentiels et les risques de cybersécurité de l'IA. Par exemple, les modèles d'IA pourraient être manipulés par des intrants contradictoires ou pourraient produire des résultats biaisés s'ils étaient formés à des données compromises. Le CNRC collabore avec des partenaires de recherche comme le Laboratoire national Idaho et les laboratoires nationaux Sandia pour élaborer des lignes directrices sur l'utilisation sécuritaire de l'IA dans les systèmes liés à la sécurité.

L'accent est mis sur la résilience et la récupération

Bien que la prévention demeure essentielle, le CNRC insiste de plus en plus sur la cyberrésilience, la capacité d'opérer en toute sécurité même pendant une cyberattaque continue. Les normes futures peuvent exiger des titulaires de permis qu'ils testent plus rigoureusement les scénarios de démarrage noir et de repli analogique. Le CNRC étudie également des moyens d'accélérer le partage des renseignements sur les menaces entre les titulaires de permis sans violer la confidentialité ou les préoccupations exclusives.

Conclusion

Le rôle du CNRC dans l'élaboration de normes de cybersécurité pour les centrales nucléaires est indispensable.De la réglementation fondamentale de la 10 CFR, partie 73.54, aux directives détaillées de mise en oeuvre du Guide de réglementation 5.71, le CNRC a établi un cadre qui met en équilibre une protection rigoureuse et une applicabilité pratique.En collaboration continue avec l'industrie, les organismes de sécurité nationale et les organismes internationaux, le CNRC veille à ce que les centrales nucléaires demeurent résistantes à un contexte de cybermenace en évolution rapide.