Devant l’enjeu que représente une faille du côté des technologies opérationnelles (OT), une grande partie des débats autour de la sécurité des réseaux énergétiques tend à se focaliser sur la protection des générateurs d’électricité, des sous-stations et des panneaux de commande. Les conséquences pourraient en effet être dévastatrices pour la fiabilité, la résilience et la sécurité du réseau. Toutefois, dans la majorité des systèmes conventionnels de contrôle industriel de l’énergie, les systèmes de production et de transmission d’énergie sont la plupart du temps séparés des réseaux informatiques, et « hors ligne », par nature. Le bilan de la lutte contre le piratage est par conséquent plutôt positif.
Pour ce qui est de l’impact des violations du réseau informatique sur les accords de niveau de service (SLA), la productivité de la main-d’œuvre et les risques de pertes de données (données d’entreprise et de clients), le tableau n’est pas aussi reluisant.
C’est ce qu’a récemment mis en évidence la découverte d’un malware sur le réseau d’entreprise d’Entergy, un fournisseur d’énergie du Fortune 500 aux États-Unis. Comme beaucoup d’entreprises de ce secteur, le réseau Entergy est bombardé de menaces de plusieurs sources. Comme l’indique le laboratoire national de l’Idaho dans son rapport d’août 2016 intitulé « Cyber Threat and Vulnerability Analysis of the US Electric Sector (Analyse de la menace cyber et des vulnérabilités du secteur américain de l’électricité) », jusqu’à présent, les services publics aux États-Unis n’ont pas eu à déplorer de cyberattaques ciblées avec des conséquences durables ou permanentes sur le fonctionnement du réseau électrique. Et pourtant dans tout le pays, les compagnies d’électricité ont vu le nombre d’incidents de sécurité cyber et physique augmenter régulièrement — une tendance qui reste préoccupante. »
La détection d’un malware sur le réseau d’Entergy a poussé un opérateur de système indépendant du Midwest (ISO) à relever le niveau de menace en limitant pendant une courte période l’accès d’Entergy à son réseau, le temps d’analyser les systèmes, de supprimer les logiciels malveillants et de retrouver des réseaux jugés propres. Même si Entergy affirme que le piratage n’a causé aucune perte de données (données clients, employés ou opérationelles), l’incident offre l’occasion de rappeler aux professionnels des technologies de l’information et de la sécurité informatique quelles peuvent être les conséquences tangibles des violations informatiques sur les niveaux de service et la conformité dans le domaine de la protection des données.
Hameçonnage, un vecteur d’attaque majeur
La plupart des attaques sur le réseau d’une entreprise commencent bien souvent par un courriel d’hameçonnage invitant un collaborateur candide à cliquer sur un lien. Le clic déclenche alors un logiciel malveillant ou permet au hacker de récupérer des informations d’identification confidentielles ou des accès qui lui permettront de poursuivre ultérieurement son infiltration du réseau.
Certes l’on sait aujourd’hui reconnaître les faux e-mails, mais ça n’a pas toujours été le cas ! De plus, dans les coulisses de nombreux incidents commandités par des États, les pirates se sont perfectionnés, notamment pour l’élaboration de faux messages qui ressemblent à s’y méprendre aux e-mails envoyés par les départements Paye, DSI ou RH, et bien souvent destinés à des ingénieurs de contrôle peu soupçonneux.
Si la formation des équipes à la cybersécurité doit bien entendu rester une priorité, les dirigeants et exploitants d’entreprises d’énergie doivent également doter leurs collaborateurs d’outils pour reconnaître facilement les faux e-mails et les sites malveillants. Les sites malveillants sont le premier vecteur de propagation des malwares conçus pour voler des données confidentielles.
Une méthode éprouvée consiste à signer numériquement les e-mails envoyés et reçus par les participants sur le réseau interne et externe — employés, sous-traitants, régulateurs, etc. La signature numérique des e-mails est une solution facile et évolutive qui permet aux destinataires de s’assurer rapidement de la fiabilité de l’origine d’un message.
Exemple d’e-mail signé numériquement et affichant l’identité vérifiée de l’expéditeur.
Les certificats, nécessaires pour les signatures numériques, sont émis par une source de confiance et constituent la base d’une expérience utilisateur fiable. Qu’est-ce qu’une source de confiance ? On distingue deux approches valides :
- Vous pouvez vous appuyer sur une autorité de certification tierce de confiance, lorsque la distribution d’ancres de confiance est inutile, et que la mise en place d’audits approfondis permet de se conformer aux exigences strictes du programme racine.
- Vous pouvez aussi vous appuyer sur votre propre racine de confiance privée en émettant des certificats de signature de courriels destinés au personnel, aux sous-traitants et aux membres de votre communauté fermée à partir d’une hiérarchie de certificats dédiée à votre organisation...
Comme pour la plupart des implémentations informatiques, les deux approches exigent certains compromis, notamment sur la façon d’assigner les certificats et d’établir la confiance. En voici les grands principes :
|
|
Confiance publique |
Confiance privée |
|
|
Idéale pour les messages sécurisés entre : |
|
|
|
|
Modalités d’assignation et de gestion |
|
|
|
|
À prendre en compte |
|
|
Quelle que soit la stratégie adoptée, les services cloud de GlobalSign peuvent vous être utiles. En plus d’une gestion simplifiée des PKI, ces services sont configurés conformément aux préférences réglementaires propres aux réseaux énergétiques.
Vous avez des questions sur la signature numérique des e-mails ? Pour approfondir le sujet des signatures numériques et du chiffrement avec S/MIME, plongez-vous dans notre livre blanc ou faites-nous directement part de vos questions spécifiques.
