Cybersécurité à bord : « Quiconque parle de Maritime 4.0 doit faire ses devoirs »

Il y a encore beaucoup de travail à faire. Il reste encore beaucoup de chemin à parcourir en matière de cybersécurité dans le domaine de l'automatisation. Alors que tout le monde pense à l'industrie 4.0, nous devons encore faire les devoirs qui nous ont été assignés pour l'industrie 3.0 – les systèmes existants doivent être renforcés.

Je pense que le secteur maritime est aussi bien, ou mal, préparé que n'importe quel autre secteur en matière de cybersécurité. Votre exemple du yacht de luxe trouve de nombreux parallèles dans d'autres secteurs. Je pense par exemple à un haut-fourneau qui a été mis à l'arrêt à la suite d'une cyberattaque. Les hauts fourneaux sont des systèmes de technologie des procédés qui fonctionnent généralement pendant plusieurs années sans interruption. L'arrêt déclenché par l'extérieur a finalement causé une perte complète. Les effets de la cybercriminalité sont graves partout où ils apparaissent. À cette fin, je ne vois aucune différence sectorielle dans le niveau actuel de mise en œuvre de la cybersécurité, ni dans l'importance de traiter le sujet et les risques qui en découlent.

Il est impératif que les opérateurs empêchent les attaquants de se connecter simplement à un réseau. Ils doivent toutefois considérer que toutes les connexions externes ne sont pas mauvaises; ils doivent simplement les sécuriser correctement. Dans ce contexte, il s'agit sans aucun doute d'une question de paramètres.

Il y a toujours des gens qui veulent vous expliquer que leur système n'est pas connecté au reste du monde et que la cybersécurité ne les concerne donc pas. Ne les croyez pas! Il y a toujours un lien quelque part. Le devoir le plus complet que nous ayons à accomplir, à mon avis, est d'établir une sensibilité à la pertinence de la cybersécurité pour les différentes parties de l'industrie maritime. À quels moments de la vie quotidienne ces professionnels entrent-ils en contact avec des failles de sécurité, et lesquelles génèrent-ils involontairement?

C'est exactement le type de cas. Les clés USB ne devraient jamais être utilisées. Pourtant, cette pratique est courante, alors qu'elle constitue un point faible évident en matière de sécurité – du moins s'il n'existe pas de zone de quarantaine pour les données importées.

Les personnes chargées des opérations à bord sont, sans aucun doute, des points faibles potentiels pour tout système informatique installé à bord; malheureusement, elles n'ont généralement pas la capacité de reconnaître les attaques sophistiquées dont leurs systèmes font l'objet. Il est donc important que les entreprises de transport maritime établissent des processus et des méthodes, puis formulent un engagement en matière de gestion de la cybersécurité. En ce qui concerne le porte-conteneurs de votre exemple, un protocole serait établi pour la prochaine fois que quelqu'un se tiendra sur le pont avec une clé USB à la main.

C'est vrai. En ce qui concerne la cybersécurité, nous nous occupons moins des méthodes que d'une stratégie d'entreprise qui se répercute sur la direction – et tout le monde doit être prêt à y consacrer des efforts. Il est impératif de définir les autorisations, de surveiller les accès et d'établir des plans d'urgence en cas de perte complète de données. Il ne suffit plus de verrouiller les armoires de commande contre un accès non autorisé à l'aide d'une clé carrée.

Ce dont nous avons besoin, c'est d'une défense en profondeur, comme un château de chevalier. Tout d'abord, la clôture protège la propriété de l'installation, puis il y a des limitations d'accès sur des pièces spécifiques, suivies par des règlements concernant des armoires spécifiques.

Par rapport aux applications terrestres, les navires présentent en effet de nouveaux défis et de nouveaux points de menace, notamment en raison de la présence d'électronique supplémentaire à bord. Il s'agit, par exemple, des systèmes de navigation, de suivi et d'alerte en cas de collision. Il s’agit de l’équipement nécessaire à la sécurité du navire. En outre, aucun navire n'est une île, quoi qu'on en pense. En effet, beaucoup de ces systèmes supplémentaires établissent des connexions externes et offrent ainsi des points d'attaque pour la manipulation. Tout comme le scénario que vous avez décrit au début de notre échange.

C'est également vrai! L'industrie 4.0 établit des liens de communication supplémentaires, car les entreprises configurent leurs flux de données pour qu'ils soient cohérents. En raison de l'intégration horizontale et verticale, les concepts d'isolation existants ne sont plus suffisants en tant que composante de la défense en profondeur. La nouvelle demande concerne la « sécurité informatique dès la conception ». Les fonctions de cybersécurité sont alors intégrées dès le départ dans la configuration d'une architecture de sécurité en couches dans les contrôleurs.

Je suis convaincu que ces agences travaillent déjà sur ce sujet, d'autant plus qu'il y a un besoin de rattrapage en matière de cybersécurité dans le secteur maritime. Comme je l'ai dit, pour créer une défense en profondeur fonctionnelle, nous devons terminer nos devoirs 3.0 – pour moi, il s'agit d'une condition préalable impérative pour mettre en œuvre les idées qui sont en cours de développement pour Maritime 4.0.