Vulnérabilités OT des centrales électriques
Les systèmes de commande qui font fonctionner les centrales ont été conçus pour la fiabilité, non pour des adversaires, et beaucoup précèdent la menace qu'ils affrontent aujourd'hui. Le durcissement OT natif, la sécurité des systèmes en rupture de réseau et la résilience des infrastructures protègent la technologie opérationnelle derrière la production, redevable à l'exploitant, non à un fournisseur étranger.
Des systèmes de commande jamais destinés à être attaqués
Une centrale électrique n'est pas pilotée par ses turbines mais par les systèmes de technologie opérationnelle qui les supervisent, les réseaux SCADA et de contrôle industriel qui ouvrent les vannes, déclenchent les disjoncteurs et maintiennent la production stable. Une grande partie de ce parc installé a des décennies, a été conçue pour la fiabilité plutôt que la résilience, et a été documentée, si tant est qu'elle le soit, par les fournisseurs étrangers qui l'ont construite. Elle n'a jamais été destinée à affronter un adversaire, et un incident cyber dans ce domaine ne corrompt pas un tableur : il ouvre une vanne, force un arrêt ou déjoue un verrou de sécurité, avec des conséquences mesurées en pannes de courant plutôt qu'en fichiers perdus.
Pour l'exploitant et l'État, l'exposition est aggravée par la dépendance. Les fournisseurs mêmes capables d'expliquer et de défendre ces systèmes sont souvent ceux qui les ont construits et qui peuvent être lents, coûteux ou tenus de divulguer leurs découvertes à un gouvernement étranger. Un exploitant de centrale incapable d'évaluer et de durcir ses propres systèmes de commande selon ses propres conditions confie la fiabilité de la production nationale au calendrier et au bon vouloir d'un tiers, un arrangement fragile pour une infrastructure sans laquelle un pays ne peut fonctionner.
Une défense OT native pour des systèmes qu'on ne peut redémarrer
Off-grid cybersecurity est le fer de lance de la réponse : des architectures de sécurité conçues pour les environnements qui doivent fonctionner sans connectivité fiable, protégeant les systèmes de commande isolés et en rupture de réseau dont dépend une centrale, précisément les systèmes que la sécurité de type informatique, mal appliquée, tend à casser. Elle est complétée par l'Infrastructure hardening, qui évalue et réduit la surface d'attaque des systèmes SCADA et de contrôle industriel derrière la production, pensé pour une OT qu'on ne peut simplement corriger ou redémarrer comme un réseau bureautique.
C'est une discipline à part entière, non de la sécurité informatique reconditionnée, et elle s'applique à la centrale telle qu'elle existe réellement plutôt que telle que la décrit un manuel de fournisseur : évaluation des automates vieillissants, segmentation entre réseaux de commande et d'entreprise, supervision comprenant les protocoles industriels, et plans de réponse que les exploitants de la centrale peuvent eux-mêmes exécuter. Parce que le durcissement et les architectures de sécurité proviennent de fabricants indépendants et non alignés, ce qui est découvert dans l'infrastructure de production d'une nation reste redevable à son exploitant, sans aucune ligne de rapport à un gouvernement étranger.
De l'évaluation du parc à une production résiliente
Un programme s'ouvre sur une évaluation honnête du parc de commande : quels automates sont les plus exposés, où réseaux de commande et d'entreprise sont dangereusement connectés, et où une seule compromission dégénérerait en arrêt. Cette hiérarchisation permet à un budget fini de durcir les systèmes dont la défaillance importe le plus, plutôt que de répartir la protection uniformément sur des automates de criticité très différente.
Le durcissement et les architectures de sécurité en rupture de réseau sont ensuite déployés sur les systèmes prioritaires, avec segmentation et supervision consciente des protocoles ajoutées afin qu'une intrusion soit contenue avant d'atteindre le processus. La phase finale est l'exploitation souveraine, avec des équipes en région qui font fonctionner la supervision, soutiennent les systèmes durcis et renouvellent la défense à mesure que les menaces évoluent. Le résultat est une production qui continue de fonctionner sous attaque délibérée, défendue par des personnes redevables à la nation plutôt qu'au fournisseur qui a construit la centrale.
Pourquoi c'est important
Une centrale électrique n'est pas pilotée par ses turbines mais par les systèmes de technologie opérationnelle qui les supervisent, les réseaux SCADA et de contrôle industriel qui ouvrent des vannes, déclenchent des disjoncteurs et maintiennent la production stable. Une grande part de ce parc installé a des décennies, a été conçue pour la fiabilité et non la résilience, et documentée, quand elle l'est, par les fournisseurs étrangers qui l'ont construite. Elle n'a jamais été destinée à affronter un adversaire, et un incident cyber dans ce domaine ne corrompt pas un tableur : il ouvre une vanne, force un arrêt ou déjoue un verrou de sûreté, avec des conséquences mesurées en coupures de courant plutôt qu'en fichiers perdus. Un État qui ne peut évaluer et durcir ses propres systèmes de contrôle à ses conditions confie la fiabilité de la production nationale au calendrier et au bon vouloir d'un tiers, un arrangement fragile pour une infrastructure sans laquelle un pays ne peut fonctionner.
Agences concernées
Compagnie ou opérateur national de production
Exploite les centrales et détient la technologie opérationnelle derrière la production. Il subit la conséquence d'un arrêt ou d'un verrou de sûreté déjoué, et a besoin du moyen d'évaluer, durcir et défendre ses propres systèmes de contrôle plutôt que de s'en remettre au fournisseur qui les a construits.
Ministère de l'énergie et autorité des infrastructures critiques
Est responsable de la continuité de la production nationale et de la sécurité de l'infrastructure sans laquelle un pays ne peut fonctionner. Il lui faut l'assurance que la couche de contrôle, et non le seul réseau bureautique, est défendue et responsable devant la nation.
Agence nationale de cybersécurité
Fixe la norme de défense des infrastructures critiques et coordonne la réponse à un incident. Il lui faut une discipline native de la technologie opérationnelle, non de la cybersécurité de bureau rebaptisée, et des constats qui restent sous contrôle national plutôt que d'affluer vers un fournisseur étranger.
Équipes d'ingénierie et d'exploitation de la centrale
Exploitent et maintiennent au quotidien les systèmes SCADA et de contrôle industriel. Il leur faut des défenses conçues pour des systèmes qu'on ne peut simplement corriger ni redémarrer, et des plans de réponse qu'elles peuvent exécuter elles-mêmes plutôt que d'attendre un fournisseur distant.
Autorité des finances et de l'audit
Examine le coût du soutien étranger et le risque d'un parc de production non protégé. Il lui faut l'assurance que la dépense de durcissement achète une capacité durable et détenue nationalement plutôt qu'une dépendance permanente au fournisseur qui a construit la centrale.
Conséquences de l'inaction
Sécuritaire
Une compromission de la couche de contrôle ne corrompt pas un fichier, elle ouvre une vanne, force un arrêt ou déjoue un verrou de sûreté, avec des conséquences mesurées en coupures de courant et en installations endommagées qui se propagent à tout ce qui dépend de l'électricité.
Sécuritaire
Un parc de production défendu au seul réseau bureautique, avec des systèmes de contrôle et bureautiques dangereusement connectés, offre à un adversaire un chemin d'une intrusion ordinaire droit vers le processus qui pilote la centrale.
Économique
Le recours aux fournisseurs étrangers qui ont construit les systèmes pour les expliquer et les défendre, un soutien qui peut être lent, coûteux, ou tenu de divulguer ce qu'il trouve à un gouvernement étranger, laisse le coût et le rythme de la protection hors du contrôle national.
Économique
Le coût en aval de la perte de production : industrie à l'arrêt, services interrompus et activité économique stoppée chaque fois que la couche de contrôle défaille, supporté par toute l'économie et non par la seule centrale.
Limites des approches actuelles
- La cybersécurité de bureau mal appliquée à la technologie opérationnelle tend à casser les processus mêmes qu'elle est censée protéger, car les systèmes de contrôle ne peuvent simplement être corrigés ni redémarrés comme un réseau bureautique.
- Défendre le réseau bureautique en laissant la couche de contrôle exposée protège la mauvaise chose : l'intrusion qui atteint le processus est celle qui provoque la coupure.
- S'en remettre au fournisseur étranger qui a construit une centrale pour l'évaluer et la défendre signifie que la protection avance au rythme et au prix de ce fournisseur, et ce qui est trouvé peut entraîner une obligation de divulgation à un gouvernement étranger.
- Évaluer une centrale selon le manuel d'un fournisseur plutôt que telle qu'elle existe réellement manque les contrôleurs vieillissants, les connexions non documentées et les verrous de sûreté qui sont l'exposition réelle.
- Une surveillance qui ne comprend pas les protocoles industriels ne peut distinguer une action de contrôle normale d'une action malveillante, si bien qu'une intrusion dans le domaine de la technologie opérationnelle peut passer inaperçue jusqu'à agir sur le processus.
Architecture de la solution
La mission n'est pas de greffer de la cybersécurité de bureau sur une centrale mais de défendre la technologie opérationnelle derrière la production comme une discipline à part entière, évaluée telle que la centrale existe réellement et responsable devant l'opérateur, non le fournisseur qui l'a construite. Elle combine une sécurité conçue pour des systèmes de contrôle déconnectés et un durcissement natif de la technologie opérationnelle, en cohérence avec les produits phares cybersécurité hors réseau et durcissement d'infrastructure et la solution résilience des infrastructures critiques.
Sécurité des systèmes déconnectés
La cybersécurité hors réseau (Off-Grid Cybersecurity) fournit des architectures de sécurité conçues pour des environnements devant fonctionner sans connectivité fiable, protégeant les systèmes de contrôle isolés et physiquement séparés dont dépend une centrale, précisément les systèmes que la cybersécurité de bureau, mal appliquée, tend à casser.
Durcissement natif de la technologie opérationnelle
Le durcissement d'infrastructure (Infrastructure Hardening) évalue et réduit la surface d'attaque des systèmes SCADA et de contrôle industriel derrière la production, conçu pour une technologie opérationnelle qu'on ne peut simplement corriger ni redémarrer comme un réseau bureautique, appliqué à la centrale telle qu'elle existe réellement et non telle que la décrit le manuel d'un fournisseur.
Segmentation et surveillance sachant lire les protocoles
La segmentation entre réseaux de contrôle et bureautiques, avec une surveillance comprenant les protocoles industriels, contient une intrusion avant qu'elle n'atteigne le processus et peut distinguer une action de contrôle normale d'une action malveillante, fermant les chemins qu'une défense limitée au bureau laisse ouverts.
Réponse et continuité
Des plans de réponse conçus pour la technologie opérationnelle et exécutables par les opérateurs de la centrale eux-mêmes maintiennent la production sous attaque délibérée, si bien qu'un incident est contenu sans attendre un fournisseur distant, en cohérence avec la solution résilience et sécurité civile.
Commandement opérateur et responsabilité
Une image d'assurance unique maintient la compagnie, l'autorité des infrastructures critiques et les équipes de la centrale dans une même chaîne de responsabilité, si bien que les constats sur les points faibles de la production restent sous contrôle national, sans ligne de report étrangère.
Modèle de déploiement
- Une capacité nationale permanente de défense de la technologie opérationnelle plutôt qu'un audit fournisseur ponctuel, le moyen d'évaluer, durcir et défendre le parc de contrôle, conservé sous contrôle national.
- Une capacité détenue en propre par l'opérateur : durcissement et architectures de sécurité hors réseau issus de fabricants indépendants et non alignés, si bien que ce qui est trouvé dans le parc de production reste responsable devant la nation plutôt qu'un fournisseur étranger.
- Concentrée en priorité là où une seule compromission se propagerait en arrêt, si bien qu'un budget fini durcit les systèmes dont la défaillance importe le plus avant de répartir la protection uniformément.
- Coordonnée entre la compagnie, l'autorité des infrastructures critiques et les équipes de la centrale, si bien qu'évaluation, durcissement et réponse forment une seule chaîne de responsabilité.
- Exploitée en région par des équipes nationales formées, soutenue en région plutôt qu'à distance.
Flux de données et de commandement
- Une évaluation honnête du parc de contrôle établit quels contrôleurs sont les plus exposés et où réseaux de contrôle et bureautiques sont dangereusement connectés, si bien que l'effort se concentre là où une compromission se propagerait.
- Durcissement et architectures de sécurité hors réseau sont appliqués aux systèmes prioritaires, la centrale étant évaluée telle qu'elle existe réellement et non telle que la décrit un manuel de fournisseur.
- La segmentation sépare le contrôle des réseaux bureautiques, et la surveillance sachant lire les protocoles observe la couche de contrôle à la recherche d'actions qu'une opération normale ne produirait pas.
- Une intrusion est contenue avant d'atteindre le processus, et les opérateurs de la centrale exécutent un plan de réponse conçu pour la technologie opérationnelle plutôt que d'attendre un fournisseur distant.
- L'image d'assurance tient la compagnie et l'autorité des infrastructures critiques informées des points faibles de la production et de la manière dont elle est défendue.
- Tous les constats d'évaluation, dossiers de durcissement et données de surveillance sont conservés sous contrôle national, si bien que la connaissance des faiblesses du parc appartient en propre à l'opérateur.
Étapes de mise en œuvre
Évaluation du parc
Le parc de contrôle est évalué honnêtement : quels contrôleurs sont les plus exposés, où réseaux de contrôle et bureautiques sont dangereusement connectés, et où une seule compromission se propagerait en arrêt, si bien qu'un budget fini est dirigé vers ce qui importe le plus.
Durcir les systèmes critiques
Durcissement et architectures de sécurité hors réseau sont déployés sur les systèmes prioritaires, segmentation et surveillance sachant lire les protocoles étant ajoutées pour qu'une intrusion soit contenue avant d'atteindre le processus.
Réponse et continuité
Des plans de réponse conçus pour la technologie opérationnelle et exécutables par les opérateurs de la centrale eux-mêmes sont établis, si bien que la production continue sous attaque délibérée sans attendre un fournisseur distant.
Exploitation souveraine
Des équipes en région sont formées à exploiter la surveillance, soutenir les systèmes durcis et rafraîchir la défense à mesure que les menaces évoluent : l'état final est une production défendue par des gens responsables devant la nation plutôt que devant le fournisseur qui a construit la centrale.
Calendrier indicatif
- Généralement échelonnée sur des cycles budgétaires successifs plutôt que livrée en une seule acquisition.
- Séquencée pour disposer d'une évaluation honnête du parc avant d'engager le durcissement.
- Soumise au périmètre convenu au briefing selon les centrales, systèmes de contrôle et connexions précis à défendre.
- Cadencée par le transfert vers l'exploitation souveraine, non par un calendrier de livraison externe.
Qualitatif uniquement. Les calendriers sont échelonnés selon le périmètre convenu au briefing: aucune date ni durée n'est publiée.
Catégories de coûts indicatives
Catégories de coûts uniquement, lorsque c'est défendable. Les chiffres dépendent de la configuration et sont communiqués sous briefing selon votre besoin: jamais publiés.
Indicateurs de réussite
| Confinement à la couche de contrôle | Une intrusion est arrêtée avant d'atteindre le processus, observé par des incidents contenus à la frontière bureautique plutôt que se propageant en arrêt. |
| Continuité de production sous attaque | La centrale continue de fonctionner à travers une attaque délibérée, observé par une production qui reste stable là où un parc non durci aurait disjoncté ou se serait arrêté. |
| Visibilité de la technologie opérationnelle | Les actions de contrôle malveillantes sont distinguables des normales, observé par une surveillance sachant lire les protocoles faisant émerger dans le domaine des intrusions qu'une défense limitée au bureau manquerait. |
| Responsabilité des constats | La connaissance des points faibles de la production reste chez l'opérateur, observé par l'absence de ligne de report étrangère sur ce qui est découvert dans les systèmes de la centrale. |
| Exploitation souveraine | Surveillance, durcissement et réponse sont exploités et enseignés par des équipes nationales, observé par la réduction de la dépendance au fournisseur qui a construit la centrale. |
Souveraineté et localisation
- Propriété par l'acheteur des constats d'évaluation, des dossiers de durcissement et des données de surveillance produits par la capacité.
- Durcissement et architectures de sécurité hors réseau issus de fabricants indépendants et non alignés, si bien que ce qui est trouvé dans le parc de production répond aux priorités nationales, sans ligne de report étrangère.
- Contrôle local de la configuration de surveillance, de la politique de segmentation et de la planification de réponse.
- Options d'intégration locale avec les systèmes nationaux de compagnie, d'infrastructures critiques et de réponse aux incidents.
- Formation des équipes de la centrale, des analystes et des opérateurs avec programmes de formation des formateurs pour bâtir un vivier souverain de défense de la technologie opérationnelle.
- Transfert de technologie progressif et localisation de la capacité de durcissement et de surveillance, dont la portée est définie par programme.
Soutien
- Surveillance et soutien en région plutôt qu'un support distant tributaire du fournisseur, si bien que le parc reste défendu sans fournisseur externe d'astreinte.
- Un dispositif de support dimensionné pour maintenir les systèmes durcis et la surveillance à jour à mesure que les menaces évoluent sur toute leur vie de service.
- Un vivier national formé d'équipes de la centrale, d'analystes et de mainteneurs qui survit à la livraison initiale.
- Une voie vers un soutien indépendant afin que la défense de la production nationale soit celle que la nation exploite, non un service qu'elle loue.
Étape suivante sur cette mission
Capacités pertinentes
Solutions pertinentes
Réseaux d'énergie, d'eau, de transport et systèmes portuaires évalués, durcis et surveillés en continu, par une équipe qui n'a aucun gouvernement étranger à qui rendre compte de ses constats.
Page solution →Des systèmes de contrôle durcis, une sécurité qui fonctionne réseau coupé et une inspection qui certifie le patrimoine physique, la moitié ingrate de la défense nationale qui décide de la moitié bruyante.
Page solution →Questions fréquentes
Pourquoi la sécurité informatique ordinaire ne peut-elle protéger les systèmes de commande d'une centrale ?
Parce que les systèmes de technologie opérationnelle ne peuvent être simplement corrigés ou redémarrés comme un réseau bureautique, et les schémas de sécurité informatique mal appliqués tendent à casser les processus mêmes qu'ils sont censés protéger. Le durcissement OT natif et les architectures de sécurité en rupture de réseau sont conçus pour des systèmes de commande qui doivent continuer de fonctionner, y compris quand la connectivité fait défaut.
Quelle est la conséquence concrète d'une compromission OT d'une centrale ?
Un incident cyber en technologie opérationnelle ne corrompt pas un fichier, il ouvre une vanne, force un arrêt ou déjoue un verrou de sécurité. Les conséquences se mesurent en pannes de courant et en équipements endommagés, ce qui explique pourquoi durcir la couche de commande, et pas seulement le réseau d'entreprise, est ce qui maintient la production sous attaque.
Qui détient les constats sur les vulnérabilités des centrales d'une nation ?
L'exploitant les détient. Parce que le durcissement et les architectures de sécurité en rupture de réseau proviennent de fabricants indépendants et non alignés, l'évaluation des points les plus faibles de l'infrastructure de production reste redevable à l'exploitant national, sans aucune ligne de rapport à un gouvernement étranger sur ce qui est découvert dans les systèmes de la centrale.
Problématiques connexes
Les réseaux électriques, les systèmes d'eau et les réseaux de transport font face à des attaques à la fois physiques et cyber. Durcir les systèmes de contrôle qui les pilotent, défendre les réseaux qui les entourent et contrer la menace des drones au-dessus d'eux maintient les services essentiels en fonctionnement sous pression.
Page de la problématiqueMinistères, registres et bases de données nationales sont attaqués en continu par des acteurs criminels et liés à des États. Des opérations défensives permanentes, des exercices offensifs autorisés et des architectures pour environnements déconnectés protègent les systèmes sur lesquels repose un État, redevables à votre gouvernement, non à un gouvernement étranger.
Page de la problématiqueLe piquage, le soutage illicite et le sabotage des infrastructures pétrolières drainent les revenus nationaux et causent des dommages environnementaux. Une surveillance persistante depuis le ciel détecte les branchements illégaux et les mouvements de navires, tandis que le durcissement des systèmes de contrôle protège le réseau de pipelines lui-même.
Page de la problématique