L'énergie et l'eau sont désormais des cibles. Défendez-les comme telles.
Les systèmes de contrôle derrière l'énergie, l'eau et la finance sont des cibles stratégiques, réduisez leur surface d'attaque, défendez-les en continu, maintenez-les en fonctionnement hors réseau et vérifiez les structures dont ils dépendent.
Les services publics qui font tourner le pays sont désormais en première ligne
Les systèmes qui font fonctionner une nation, les réseaux de contrôle derrière l'énergie, l'eau, l'électricité et la finance, ont été conçus pour être fiables, non pour être attaqués. Ils le sont désormais couramment. Un adversaire capable d'atteindre l'automate d'un poste électrique ou le réseau SCADA d'une station de traitement des eaux n'a plus besoin de franchir une frontière pour provoquer une panne générale, un déversement ou une défaillance de règlement financier.
Ce qui rend ces systèmes difficiles à défendre est précisément ce qui les rend essentiels : on ne peut pas simplement les éteindre pour les corriger. La technologie opérationnelle fonctionne en continu, et une grande partie ne peut pas être redémarrée à la demande sans conséquences qui se propagent à toute une région. La défendre, c'est réduire la surface d'attaque, la surveiller en permanence et vérifier le parc physique dont elle dépend, sans jamais l'arrêter pour autant.
Unstrat réunit ces travaux au sein d'un canal unique, responsable et non aligné, sans aucune obligation de divulguer ses constats à un gouvernement étranger. Les capacités ci-dessous traitent le problème depuis le réseau de contrôle jusqu'au béton et à l'acier.
Réduire la surface d'attaque avant qu'on ne la cartographie
Le point de départ est le durcissement des infrastructures : une sécurité native OT conçue pour les systèmes SCADA et de contrôle industriel qui ne peuvent pas être redémarrés, avec une couverture protocolaire approfondie pour l'IEC 61850, Modbus et DNP3, y compris les réseaux à air gap et une tolérance nulle aux faux positifs. Il ne s'agit pas de sécurité informatique d'entreprise reconvertie pour un réseau électrique ; c'est une défense bâtie pour des environnements où l'indisponibilité signifie pannes générales, déversements ou défaillances de règlement.
La crédibilité de ce durcissement n'est pas théorique. Ces travaux sont éprouvés sur des réseaux électriques et des réseaux de paiement en exploitation, avec plus de 3 GW de production défendus et des recherches de vulnérabilités créditées au registre américain du NIST. Une technologie de sécurisation des postes électriques pour environnements IEC 61850 a été validée en laboratoire gouvernemental et déployée en conditions réelles, toute la différence entre une évaluation sur le papier et une défense qui a tenu en conditions réelles.
Réduire la surface d'attaque est la sécurité la moins chère qu'une nation puisse acheter, car elle supprime les vulnérabilités avant qu'il ne faille détecter un adversaire en train de les exploiter. C'est le socle sur lequel repose tout le reste de cet article.
Surveiller en permanence, et réagir quand il le faut
Le durcissement réduit la surface ; il ne supprime pas la nécessité de surveiller. La cybersécurité défensive assure des opérations de sécurité 24 h/24 et 7 j/7, la détection des menaces et la réponse aux incidents pour les systèmes critiques, avec plus de 100 000 menaces bloquées chaque jour sur des flottes, des réseaux électriques et des plateformes financières. Des opérations assistées par IA permettent à une petite équipe de combattre à la vitesse de la machine, livrées en défense en profondeur et sous supervision humaine plutôt que laissées sans surveillance.
Une défense continue ne vaut que par sa réponse lorsque quelque chose passe au travers. C'est pourquoi le tableau est complété par la réponse aux incidents : des interventions qui contiennent et éradiquent les compromissions en cours, et des opérations red team qui répètent l'adversaire avant son arrivée. Les intervenants apportent le regard de chercheurs ayant légalement pénétré des navires, des systèmes ferroviaires et des réseaux de contrôle industriels, et chaque intervention rend le parc plus défendable, ses constats alimentant directement le durcissement.
Le résultat est une boucle plutôt qu'une action ponctuelle : durcir, surveiller, réagir, puis durcir de nouveau à la lumière de ce que la réponse a enseigné. Pour des infrastructures qui ne peuvent pas se permettre une seconde compromission identique, cette boucle est l'essentiel.
Quand le réseau tombe, la défense ne le peut pas
Certains des systèmes les plus critiques d'une nation sont précisément ceux qu'elle ne peut pas maintenir connectés, installations isolées, à air gap et distantes, qui doivent fonctionner sans connectivité fiable. La cybersécurité hors réseau fournit des architectures de sécurité pour exactement ces environnements, apportant l'assurance des systèmes déconnectés auprès d'un partenaire sans ligne de compte rendu vers un gouvernement étranger.
L'intégrité physique compte autant que l'intégrité réseau. Les structures qui portent les infrastructures d'une nation vieillissent, se corrodent et fatiguent, et une défaillance à ce niveau est aussi invalidante que n'importe quelle cyberattaque. Le contrôle non destructif vérifie ce parc sans démontage, au moyen de la radiographie numérique, des rayons X à haute énergie et de la tomodensitométrie, afin de maintenir structures et composants certifiés et en service. Appliqué aux plateformes, aux composants et aux équipements en service, il transforme l'assurance structurelle d'un espoir en un dossier documenté.
Ensemble, la protection hors réseau et l'inspection non destructive comblent les vides que laisse une vision de la résilience purement connectée et purement cyber. Les infrastructures cèdent aux jointures entre disciplines, et c'est là que ces jointures sont couvertes.
Une seule équipe responsable pour l'ensemble
La raison de réunir durcissement, défense continue, assurance hors réseau, réponse aux incidents et inspection physique au sein d'un canal indépendant unique est que la résilience des infrastructures n'est pas un problème unique, mais un ensemble de problèmes imbriqués. Répartissez-les entre plusieurs fournisseurs et les vides entre les contrats deviennent les vulnérabilités. Réunissez-les sous une seule équipe responsable, sans obligation de divulgation envers une grande puissance, et la défense devient cohérente, du réseau de contrôle jusqu'au béton.
Pour un acheteur gouvernemental, cette cohérence fait toute la différence entre un empilement de produits de sécurité et une nation résiliente. L'énergie et l'eau sont désormais des cibles. Voilà à quoi ressemble le fait de les défendre comme telles.
