Retour 
Aujourd'hui, au cœur de Londres, j'ai aperçu un écran sur le quai 4 de la gare de Vauxhall. Il s'agissait d'une illustration des merveilles du transport moderne : des trains se déplaçant en toute fluidité sur plusieurs lignes, leurs positions, leurs destinations et leurs voies affichant toutes une précision étroitement orchestrée en temps réel. Il s'agissait d'une représentation convaincante de la complexité d'un système ferroviaire public sur une petite île - un réseau étroitement tissé où l'intégrité des données est primordiale.
Au cœur de ces systèmes se trouve l'internet des objets (IoT) périphérique, c'est-à-dire les trains eux-mêmes. Ces trains - ou du moins leurs ombres numériques - sont surveillés et potentiellement même contrôlés par des applications externes, résidant probablement sur des plateformes en nuage telles que AWS, Azure ou GCP. Contrairement à la grande majorité des périphériques IoT, ces trains ont la responsabilité colossale de transporter des centaines de milliers de vies humaines à travers le pays, et c'est ce facteur de risque humain qui met en évidence la tâche délicate et complexe consistant à s'assurer que les données échangées entre ces périphériques IoT et les centres de commande basés dans le nuage restent intactes et conservent leur intégrité.
L'intégrité des données dans les systèmes ferroviaires publics ne se limite pas à l'exactitude de la localisation des trains ou des horaires ; elle concerne la sécurité, la fiabilité et la confiance du public. Une simple faille dans les données peut entraîner des erreurs d'itinéraire, des retards ou, dans le pire des cas, des accidents. Il semble donc évident que la protection de ces données contre la corruption, l'accès non autorisé ou la manipulation est de la plus haute importance.
C'est là qu'interviennent les professionnels chargés de la cybersécurité et de l'infrastructure, qui ont pour mission de protéger les données qui alimentent ces liaisons de transport essentielles. La capacité (et en fait l'agilité) d'identifier et de traiter les vulnérabilités ou les mauvaises configurations des logiciels et des systèmes basés sur l'informatique en nuage est cruciale. Car il faut bien le reconnaître, aujourd'hui, nos réseaux informatiques ne sont souvent que des logiciels, même si nous leur donnons le grand titre d'"infrastructure numérique".
Plus je réfléchissais aux facteurs de risque auxquels est confronté un prestataire de services ferroviaires (et j'avais pris mon train pour Leatherhead à ce moment-là, j'avais donc tout le temps de réfléchir), plus je constatais la complexité de la situation. Les réseaux ferroviaires (du moins au Royaume-Uni) sont vastes, avec plusieurs compagnies et réseaux ferroviaires qui essaient de travailler ensemble. Chaque point d'intégration augmente leur vulnérabilité et la détection et l'atténuation rapides des vulnérabilités sont essentielles pour maintenir l'intégrité du système.
L'exemple du système ferroviaire moderne constitue une étude de cas convaincante, mais il est essentiel de reconnaître que les principes de la cybersécurité moderne s'appliquent également à tous les secteurs de l'infrastructure critique nationale. Chacun de ces secteurs repose sur un écosystème complexe de technologies opérationnelles (OT), qu'il s'agisse de systèmes de contrôle de réseaux énergétiques intelligents, de contrôleurs de pompes à eau ou de périphériques d'imagerie médicale. Tous ces éléments sont désormais connectés à des logiciels, le plus souvent contrôlés dans le nuage.
Comme le système ferroviaire, ces infrastructures sont vitales pour le bien-être et la sécurité de la population de la nation, ce qui souligne la nécessité de mesures de cybersécurité rigoureuses.
L'intégration de technologies avancées dans ces secteurs critiques apporte d'immenses avantages, mais elle les expose également à des cybermenaces sophistiquées. Garantir l'intégrité des données, remédier rapidement aux vulnérabilités et mettre en œuvre une micro-segmentation sont des stratégies qui doivent être universellement adoptées dans le cadre des principes de la confiance zéro. L'objectif est de créer une infrastructure résiliente, capable de résister et de se remettre rapidement d'un cyberincident, afin de préserver la sécurité publique et la sécurité nationale.
Pour s'atteler à cette tâche monumentale, nous pouvons commencer par examiner un certain nombre de domaines clés :
1. Comprendre et atténuer les risques liés aux infrastructures nationales critiques
La sécurité des infrastructures nationales critiques (INC) couvre différents secteurs, tous essentiels à la sécurité, au fonctionnement et à l'économie du pays. L'impact potentiel de systèmes ou d'infrastructures compromis peut aller de problèmes de sécurité à des perturbations opérationnelles, des pertes financières et des ramifications juridiques. L'évaluation du risque implique d'évaluer les capacités et les intentions de l'acteur de la menace par rapport aux défenses et aux contrôles de sécurité existants. Cette évaluation prend en compte les vulnérabilités potentielles telles que les comptes d'utilisateurs non supprimés, les problèmes liés aux listes de contrôle d'accès, les logiciels non corrigés et les logiciels malveillants, entre autres.
Les sociétés d'exploitation britanniques sont légalement liées par les réglementations NIS, 2018, avec les conseils du NCSC et du Partenariat pour la sécurité de l'information cybernétique (CISP).
En Europe, la directive NIS2 est spécifiquement conçue pour garantir des normes de cybersécurité pour les ICN. Vous trouverez plus d'informations à ce sujet dans l'article de blog de la semaine dernière.
Les États-Unis disposent de normes de protection des infrastructures critiques (CIP), élaborées par la North American Electric Reliability Corporation (NERC) pour le secteur électrique. Ces normes sont obligatoires et applicables dans l'ensemble des États-Unis.
En Australie, il existe la loi de 2018 sur la sécurité des infrastructures critiques (Security of Critical Infrastructure Act 2018). Cette loi est conçue pour gérer les risques complexes et évolutifs liés à la sécurité nationale qui pèsent sur les infrastructures essentielles de l'Australie.
Quelle que soit votre région, l'examen des normes et réglementations locales ou même l'utilisation des normes et réglementations ci-dessus comme référence vous aideront.
2. Menaces internationales et menaces persistantes avancées (APT)
Le National Cyber Security Centre (NCSC) du Royaume-Uni et la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis considèrent les acteurs affiliés à des États, en particulier la Chine et la Russie, comme des cybermenaces importantes, bien que leur objectif varie de la collecte d'informations personnelles et de la propriété intellectuelle à des cyberattaques directes sur les infrastructures.
Outre les acteurs parrainés par des États, l'environnement cybernétique non réglementé dans certains pays favorise la croissance des gangs d'hacktivistes et des APT, qui s'appuient sur des tactiques sophistiquées pour exploiter les vulnérabilités des systèmes dans le nuage et sur site. L'impact perturbateur qu'aurait le ciblage d'une infrastructure nationale critique (ainsi que l'adoption d'une infrastructure basée sur le cloud) fait de ces organisations une cible pour les acteurs de la menace qui souhaitent provoquer un tel discours civil.
Les professionnels de la cybersécurité doivent maintenir les meilleures pratiques en matière de contrôle d'accès, de configuration des systèmes et de correctifs, comme le prouvent les certifications telles que le Cyber Essentials du Royaume-Uni, afin d'atténuer ces menaces.
3. Menaces émergentes et stratégies défensives
L'adoption de l'IA par les pirates informatiques accroît la fréquence et la complexité des cybermenaces, soulignant la nécessité de disposer de cyberdéfenses actualisées. Des composants tels que Microsoft Entra ID (la nouvelle marque de Microsoft pour Azure AD) jouent un rôle crucial dans le contrôle d'accès, ce qui signifie que toute compromission constituerait une menace importante pour la disponibilité du système. En outre, les risques de phishing, de logiciels malveillants, de menaces de type "zero-day" et de ransomware exigent des mesures de sécurité complètes, notamment des mécanismes de défense sophistiqués, une formation à la cyberconscience et des plans de sauvegarde et de récupération robustes.
La protection de nos infrastructures nationales critiques nécessite une approche à multiples facettes, combinant une évaluation rigoureuse des risques, le respect des normes juridiques, la vigilance à l'égard des cybermenaces internationales et la mise en œuvre de technologies de sécurité avancées et de meilleures pratiques.
Alors que l'écran du quai 4 à Vauxhall m'a d'abord fait penser aux défis de cybersécurité auxquels sont confrontés les systèmes ferroviaires publics, plus j'y ai réfléchi, plus j'ai réalisé que les leçons et les stratégies qu'ils doivent adopter s'appliquent à l'ensemble des infrastructures nationales critiques. Alors que ces systèmes continuent de se transformer et d'évoluer, les efforts de collaboration des professionnels de la cybersécurité, des fournisseurs de technologies et des opérateurs d'infrastructures sont essentiels pour maintenir la sécurité, la fiabilité et la confiance que la société place dans ces services fondamentaux.
Lire le blog