Comment Resilient Communications facilite la continuité opérationnelle dans le secteur de l'énergie et des services publics

Les cyberattaques contre les entreprises du secteur de l'énergie et des services publics sont de plus en plus fréquentes et sophistiquées. Selon certains rapports, les attaques visant ce secteur ont augmenté de 80 % d'une année sur l'autre. Si ces attaques constituent une menace directe pour l'ensemble du secteur de l'énergie, elles ont également des répercussions sur la sécurité publique et la sécurité nationale. En donnant la priorité à des communications sécurisées, résilientes et essentielles à sa mission, le secteur de l'énergie et des services publics peut contribuer à protéger ses infrastructures, à fournir des services sans interruption et à alimenter l'avenir en toute confiance.

La conversation doit dépasser la question de savoir pourquoi la sécurité est une nécessité urgente et se concentrer sur la manière de renforcer la résilience afin de garantir la continuité opérationnelle. Lorsqu'une attaque ou une violation se produit inévitablement, l'élément le plus critique qui limite les dommages et détermine la vitesse de récupération est l'intégrité de l'infrastructure de communication. Il s'agit là d'une ligne de vie opérationnelle.

Pilier 1 : Identité et souveraineté de la plateforme (la base du Zero Trust)

La véritable résilience ne consiste pas seulement à crypter un message ; il s'agit de garantir l'identité des personnes qui communiquent et de s'assurer que c'est le service lui-même, et non un tiers, qui contrôle les clés et les règles d'accès.

Vérification cryptographique de l'identité

Au-delà des mots de passe de base et de l'authentification multifactorielle (MFA), les communications sécurisées modernes doivent adopter la vérification d'identité cryptographique.  

• Le problème posé par l'enregistrement ouvert : de nombreux services de messagerie cryptée s'appuient sur des modèles d'infrastructure à clé publique (PKI) ouverts, où tout le monde peut se joindre à une conversation privée. Pour sécuriser les conversations utilitaires, chaque utilisateur (opérateur de salle de contrôle, technicien de terrain, partenaire) doit être authentifié cryptographiquement via des identifiants délivrés par l'organisation.

• La solution : les plateformes de communication destinées aux services publics doivent relier directement l'identité numérique au système interne d'une organisation (par exemple, Active Directory). Cela permet d'éviter que des appareils compromis ne puissent usurper l'identité des utilisateurs et accéder à des discussions critiques ou à des données opérationnelles. Ainsi, une cyberattaque ne peut pas dégénérer en une défaillance du système de commande et de contrôle.

Propriété des clés client et souveraineté des données

Pour gérer efficacement les risques et répondre aux exigences strictes du NERC CIP, les services publics doivent détenir les clés de chiffrement, même si la plateforme est hébergée dans le cloud.

• Au-delà du chiffrement de bout en bout (E2EE) : l'E2EE protège le contenu, mais pas la plateforme qui facilite l'interaction. Les plateformes conçues pour les infrastructures critiques doivent pouvoir être déployées dans des clouds souverains, contrôlés par les clients ou gérés par les États. Cela permet aux services publics d'exercer un contrôle physique et technologique sur les composants du réseau et les clés de chiffrement, de sorte qu'aucune assignation gouvernementale ou juridiction étrangère ne puisse accéder à leurs communications sans leur autorisation.

• La solution : les solutions de communication mobile hautement sécurisées, telles que celles proposées par BlackBerry, peuvent fournir des services certifiés de voix, de messagerie et de partage de fichiers cryptés de bout en bout. Cela permet aux équipes de commandement et de contrôle de communiquer en toute sécurité sans risque d'interception lors d'un incident réseau à grande échelle.

Pilier 2. Certification et validation à haut niveau d'assurance

Dans les secteurs critiques, la « sécurité » doit être prouvée par une évaluation indépendante et rigoureuse réalisée par un tiers. Les certifications déplacent l'attention des affirmations marketing d'un fournisseur vers l'assurance donnée par un organisme de réglementation tiers.  

Certification Critères communs (CC)

Les Critères communs (CC), formalisés dans la norme ISO/IEC 15408, constituent une norme internationale pour l'évaluation des produits de sécurité informatique. Il s'agit de la norme de référence pour de nombreux déploiements gouvernementaux et d'infrastructures critiques.  

• Profils de protection (PP) : Aux États-Unis, le National Information Assurance Partnership (NIAP) exige que les évaluations soient conformes aux profils de protection (PP). Ces profils définissent les exigences de sécurité obligatoires pour des catégories de produits spécifiques (par exemple, les appareils mobiles, les VPN), garantissant que le produit est testé par rapport à un modèle de menace consensuel et réaliste.  

• Niveau d'assurance : la certification CC atteste de la robustesse de la sécurité du matériel et des logiciels d'un produit, couvrant tous les aspects, des autorisations et du contrôle d'accès à la mise en œuvre cryptographique (par exemple, le chiffrement validé FIPS 140-2).  

Conformité réglementaire et conformité au cadre réglementaire

Alors que les certifications valident la technologie, les cadres de conformité valident les pratiques et les politiques relatives à cette technologie.

• NERC CIP : Pour le secteur de l'énergie et des services publics, les normes NERC CIP (Critical Infrastructure Protection) imposent des contrôles spécifiques concernant les périmètres de sécurité électroniques, la gestion des changements de configuration et la planification des interventions en cas d'incident pour les systèmes informatiques des réseaux électriques de transport (BES).  

• Cadres NIST : Le cadre de cybersécurité (CSF) du NIST et certaines publications spéciales du NIST fournissent une taxonomie détaillée des résultats en matière de sécurité qui guident les organisations dans la gestion de leurs risques cybernétiques, prescrivant souvent l'utilisation de contrôles cryptographiques puissants et d'une infrastructure à clé publique (PKI) pour les services de sécurité tels que la confidentialité, l'intégrité et la non-répudiation.

La solution

Le choix d'outils certifiés pour protéger les communications d'une main-d'œuvre mobile nombreuse, dispersée et hautement réglementée, tels que ceux de la suite BlackBerry® Secure Communications, offre des solutions de niveau gouvernemental, largement certifiées et cryptées de bout en bout. Ces outils sont conçus pour protéger les informations hautement sensibles et maintenir la continuité opérationnelle face aux menaces au niveau national et aux cyberattaques sophistiquées.

Pilier n° 3 : donner les moyens d'agir aux équipes de terrain grâce à des outils sécurisés

La continuité opérationnelle dépend fortement des personnes qui gèrent les actifs, tant dans la salle de contrôle que sur le terrain. Si leurs outils sont vulnérables, cela compromet leur capacité à maintenir la résilience des services.

Collaboration sécurisée pour plus de rapidité et de sécurité

L'utilisation d'outils de communication grand public, tels que les téléphones personnels et les applications de messagerie instantanée non cryptées, pour les activités professionnelles officielles crée d'énormes failles en matière de sécurité et de conformité. Une plateforme sécurisée et spécialement conçue garantit :

• Les données sensibles sont protégées : les données opérationnelles, les diagrammes et les discussions sensibles sont conservés dans un environnement crypté et contrôlé. Cela minimise les fuites de données et aide le service public à conserver la propriété et le contrôle de ses flux de communication en temps réel.

• Réponse plus rapide et plus sûre aux incidents : lors d'une panne de courant ou d'un événement physique, une communication rapide est essentielle pour rétablir le service. La voix et la messagerie sécurisées permettent aux équipes de partager des données télémétriques en temps réel, de coordonner les équipes et d'exécuter des plans de reprise complexes sans craindre d'interception ou de modification. Cela se traduit directement par des temps de réponse plus rapides et une durée de panne réduite.

La solution

Assurer la résilience opérationnelle lors de tout incident relève du domaine d'une plateforme Critical Event Management CEM), telle que la solution BlackBerry® AtHoc® hautement validée. Ces outils intègrent les notifications d'urgence et les interventions en cas d'incident dans un cadre unifié. Conçus pour être résilients grâce à des capacités de basculement natives, ces systèmes maintiennent la communication sur plusieurs canaux afin d'alerter le personnel, de coordonner la reprise et de conserver une piste d'audit complète à des fins de conformité, même en cas de panne des systèmes principaux de l'entreprise.

La voie à suivre : un appel à l'action

Le secteur de l'énergie et des services publics connaît actuellement une transformation numérique inéluctable, essentielle pour créer un avenir plus durable et plus efficace. Cependant, celle-ci ne peut aboutir que si elle repose sur une sécurité à toute épreuve, avec au cœur un système de communication sécurisé. Les défaillances de communication menacent non seulement le fonctionnement des services publics, mais aussi la sécurité publique et nationale. La mise en place de systèmes de communication résilients permet au secteur de protéger les infrastructures critiques, d'assurer le bon fonctionnement des services et d'aborder l'avenir avec confiance.