Dans le contexte de la numérisation, les exigences en matière de cybersécurité augmentent aussi énormément. « Ainsi, 11% des entreprises allemandes ont enregistré un incident de sécurité informatique au cours des 12 derniers mois. Trois entreprises sur dix s’attendent à être prises pour cible par des cybercriminels dans les 12 mois à venir – les bandes organisées sont particulièrement redoutées. La guerre en Ukraine alimente à cet égard la crainte d’une augmentation des cyberattaques. [1] » Le domaine de l’infrastructure critique, c’est-à-dire ce qui nous maintient en vie au quotidien, doit faire l’objet d’une attention particulière. C’est le cas par exemple de l’infrastructure électrique, qui fait l’objet d’une attention particulière dans cet article. Dans une « enquête sur la cybersécurité : les fournisseurs d’électricité suisses sont insuffisamment protégés contre les pirates informatiques », le Tagesanzeiger de Suisse (TA) affirme en effet que « les fournisseurs d’électricité suisses ne sont pas suffisamment protégés contre les pirates informatiques. Les entreprises sont particulièrement mauvaises dans la reconnaissance des attaques ainsi que dans la réaction à celles-ci. [2] »

Ce livre blanc aborde les dangers fondamentaux, le statu quo, la législation en vigueur dans l’UE ainsi que les solutions actuellement réalisables et disponibles dans le contexte des instruments de mesure électriques.

En raison de la dynamique et de l’extrême complexité du sujet, ce rapport sert d’orientation et ne doit pas être considéré comme définitif.

Scénarios de menaces

En principe, on peut dire que nous connaissons deux catégories principales de risques possibles. Il s’agit d’une part des vols de données [3] et d’autre part des manipulations de données. [3] Volontairement ou involontairement. Par inadvertance ou par des actes criminels.

Pour une meilleure segmentation, nous énumérons, comme toujours de manière non exhaustive, quelques-uns des scénarios de menace comme suit :

1. Piratage d’une entreprise avec chantage, cryptage de données, vol, menaces, …
   (par ex. par ransomware (Lockbit, …), malware, …)
2. Panne et attaque de services (hébergés en externe)
   (p. ex. sites web, comptes de médias sociaux, services cloud, services de sauvegarde de données, …)
3. Attaques d’espionnage et de phishing
   (par ex. par des interviews, des sondages, un espionnage virtuel & physique, des visiteurs inconnus, des fuites de cartes de crédit, …)
4. Cyber-attaques contre des personnes
   (p. ex. chantage et menaces contre des individus, applications pour smartphones (p. ex. caméra, microphone), …)
5. Pertes
   (p. ex. simple perte de données, perte de matériel, vol de matériel, …)
6. Échange conscient de données
   (p. ex. par des supports de données externes (clés USB, cartes SD, smartphone…), EDI, API, …)
7. Influences physiques & physiques
   (par ex. foudre, incendie, eau, vandalisme, sabotage, …)
8. Panne & défaillance de la sauvegarde des données
   (par ex. NAS, documentation insuffisante, mises à jour insuffisantes, longues pannes de courant, supports défectueux, vieillissement, …)
9. Manque de sensibilisation au sein même de l’entreprise.
   (p. ex. ignorance et naïveté générales, manque de connaissances en TIC, pas de « truc de chef », manque de formation, …)
10. Équipement défectueux
    (p. ex. pannes, anciens systèmes, virus sur smartphone, nombre de clients TIC non déclarés, appareils tiers dans le réseau TIC, …)

Le point « Appareils tiers dans le réseau TIC » en particulier doit nous occuper dans cet article, car il concerne aussi les instruments de mesure et reflète donc aussi les scénarios de menace mentionnés ci-dessus.

La nouvelle importance des flux de données dans les réseaux de distribution électrique

• Les réseaux électriques interconnectés doivent pouvoir communiquer entre euxL’intégration dans le World Wide Web a lieu (www)
• L’intégration d’un plus grand nombre de points de mesure est nécessaire en raison des nombreux nœuds (en particulier dans le réseau basse tension = Smart Grid).
• Les utilisateurs du niveau de réseau 7 (réseau de distribution local <1kV) deviennent des spécialistes (App) (p. ex. SmartHome, approvisionnement en énergie, empreinte carbone, …)
• Les applications Smart Grid sont nécessaires et demandées (par ex. réseaux intelligents, transparence, automatisation, temps réel, …).
• La planification avec simulation, les données en temps réel et les tendances deviennent de plus en plus importantes pour les réseaux
• Gestion dynamique de la charge et de la puissance = téléaction (par ex. redispatching, §14a EnWG (Allemagne), installations PV sans contre-charge, …)
• Les centres de contrôle actuels sont reliés à des applications parallèles (par ex. pour Smart Grid)
• Les solutions cloud arrivent sur les réseaux électriques
• Les perturbations et les changements (dynamique) doivent être enregistrés en temps réel
• De nouveaux facteurs de perturbation et d’influence apparaissent (par exemple, pour les énergies renouvelables, comme la formation de nuages, le vent, la chaleur, …)
• …

Digression : loi sur l’énergie (EnWG) – dispositifs de consommation contrôlables :

La nouvelle version de l’article 14a de la loi allemande sur l’énergie (EnWG) (01.01.2023) prévoit une réduction des tarifs de réseau pour les consommateurs qui ont conclu avec le gestionnaire de réseau un accord sur le pilotage par le réseau d’installations de consommation pilotables ou de raccordements au réseau avec des installations de consommation pilotables. [4]

En bref : « A partir de 2024, le réseau basse tension doit être progressivement transformé en smart grid dans le cadre du §14a de la loi sur l’énergie. La première étape de développement pour chaque gestionnaire de réseau de distribution est la commande statique des charges interruptibles au niveau du réseau basse tension, qui doit être remplacée par la commande dynamique au plus tard en 2029.

Par charges interruptibles, on entend dans le réseau basse tension tous les consommateurs dont la puissance de raccordement est supérieure à 3,7 kW. En font partie en premier lieu les pompes à chaleur, les accumulateurs électriques, l’infrastructure de recharge pour véhicules électriques ou les climatiseurs ». [5]

Ainsi, les flux de données et les volumes vont considérablement augmenter et on peut supposer que d’autres pays dotés d’infrastructures urbaines et complexes pourraient suivre un principe similaire.

Quelles sont les stratégies utilisées pour protéger les données et les manipulations ?

Ce paragraphe traite en principe des éléments possibles de la cybersécurité. Il est frappant de constater le peu d’informations spécifiques sur le thème de la technologie opérationnelle (OT) dans le contexte des appareils de terrain intégrés (p. ex. capteurs, instruments de mesure, …).

• Définition d’une politique I(C)T spécifique à l’entreprise
• Emploi de spécialistes informatiques internes et externes dans leurs domaines respectifs
• Exploiter des réseaux fermés ou isolés
• Respect strict des directives et des lois nationales en matière de protection des données
• Réduire les systèmes propriétaires (par exemple, les interfaces propriétaires des fabricants)
• Utilisation de protocoles standardisés (par exemple IEC61850, PQDIF IEEE1159.3, etc.)
• Utilisation de solutions logicielles supplémentaires pour la surveillance
• Centralisation des systèmes (matériel, logiciels, RH)
• Externalisation de services à des prestataires externes
• Insourcing de prestations d’externalisation
• Segmentation du réseau afin de minimiser les surfaces d’attaque possibles
• Utilisation de normes de sécurité auditables (par exemple ISO27001, individuellement, etc.)
• …

Aperçu de l’ISO27001 – une approche viable ?

La présente Norme internationale a été élaborée pour définir les exigences relatives à l’établissement, à la mise en œuvre, au maintien et à l’amélioration continue d’un système de management de la sécurité de l’information (SMSI).

L’introduction d’un système de gestion de la sécurité de l’information est une décision stratégique pour une organisation. La création et la mise en œuvre d’un tel système au sein d’une organisation dépendent de ses besoins et de ses objectifs, des exigences de sécurité, des processus organisationnels ainsi que de la taille et de la structure de l’organisation. Il faut partir du principe que tous ces facteurs d’influence évoluent au fil du temps.

Le système de gestion de la sécurité de l’information préserve la confidentialité, l’intégrité et la disponibilité des informations en appliquant un processus de gestion des risques et en donnant aux parties intéressées la confiance nécessaire pour gérer les risques de manière appropriée.

Il est important que le système de gestion de la sécurité de l’information fasse partie des procédures de l’organisation et soit intégré dans sa structure de gestion globale, et que la sécurité de l’information soit prise en compte dès la conception des processus, des systèmes d’information et des mesures.

On s’attend à ce que la mise en œuvre d’un système de sécurité (ISMS) soit échelonnée en fonction des besoins de l’organisation.

Cette norme est complétée par la norme IEC62443. Celle-ci décrit à son tour une approche globale de la cybersécurité. Et ce, jusqu’au niveau des composants de l’automatisation industrielle.

Références

[1] https://www.tuev-verband.de/studien?tx_news_pi1%5Bnews%5D=671 [07.07.2023]

[2] https://www.tagesanzeiger.ch/schweizer-stromversorger-sind-ungenuegend-gegen-hacker-geschuetzt-686630607216 [02.07.2021]