Cybersécurité - Innovations digitales et numériques

on venait poser des questions sur les SCADA. Le contre-amiral nous a assuré qu’il n’amenait pas le sujet sur la table simplement parce que c’est l’axe de communication officiel du moment, mais bien parce que l’agence était cette année particulièrement sollicitée à ce sujet. Selon lui, et comme le mentionnait déjà Patrick Pailloux dans son discours d’ouverture, les visites sur le stand de l’ANSSI montrent qu’il existe dans ce domaine une différence de perspective fondamentale entre la sûreté de fonctionnement et la sécurité de l’information, qui repose sur l’intégrité des données transmises par les capteurs de l’équipement. Et les exploitants semblent parfois encore confondre les deux : les dispositifs de sûreté ne peuvent s’activer et empêcher une catastrophe si les informations qu’ils reçoivent des capteurs sont falsifiées et indiquent que tout va bien. Les collaborateurs de l’ANSSI avaient donc à coeur de marteler cette différence, dans l’espoir que l’écho parvienne jusqu’au automaticiens par l’intermédiaire des RSSI.

Cette loi contient de nombreux articles qui dépassent le cadre de ce billet ; nous allons nous concentrer sur le chapitre IV et les articles 21 à 25 qui détaillent les dispositions relatives à la « protection des infrastructures vitales contre la cybermenace ». Depuis l’attaque Stuxnet en 2010, les publications de failles et d’outils offensifs ciblant les « composants SCADA » se sont multipliées. Par ailleurs, de nombreux systèmes sont exposés et accessibles directement sur Internet et peuvent être détectés au moyen de simples requêtes dans un moteur de recherche. Concrètement : il peut suffire de quelques clics de souris pour accéder à des fonctions de pilotage et perturber significativement le comportement d’un site industriel. La capture d’écran ci-contre en est l’illustration : il s’agit d’un système de régulation de chauffage accessible en ligne avec login et mot de passe par défaut.

Gérard Rio, fondateur des Assises, de conclure : « Le cru 2013 nous conforte une nouvelle fois dans notre parti pris : fournir aux professionnels un lieu d’échanges et de partages, qui les réunit chaque année. Par ailleurs, nous avons pu observer l’enthousiasme des partenaires pour fournir des contenus à forte valeur ajoutée et la satisfaction de nos invités à participer aux ateliers proposés. Chaque année est un nouveau défi que nous relevons avec joie et succès. Rendez-vous donc en 2014 à Monaco ! »

Bref, sous la balkanisation apparente de cette treizième édition des Assises de la Sécurité l’on peut encore trouver un socle commun : l’ouverture des SI concerne tout le monde et la question apparaît très loin d’être réglée. Mais finalement, en l’absence d’une tendance forte – la nature ayant horreur du vide – il n’est pas très étonnant que ce soit un problème de fond qui prenne la relève.