Fin juillet, une série de cyberattaques a touché les services publics américains de distribution d'eau potable et d'assainissement, ce qui a mené le FBI, l'EPA et la CISA à publier un avis conjoint . Cet avis décrit l'activité observée, identifie les techniques employées et formule des recommandations pour atténuer les risques dans le secteur. Selon cet avis, l'activité a ciblé les systèmes opérationnels et administratifs dont dépendent ces services pour assurer la distribution d'eau potable ; l'attribution et la caractérisation des auteurs de la menace par les agences fédérales font foi et ce document s'y réfère systématiquement.

À lire aussi : Pourquoi la planification de l’isolement en salle d’opération nécessite une continuité des communications

Les avis se présentent sous forme de listes de mesures d'atténuation. Les interventions se déroulent par une série de décisions prises dans l'urgence. L'utilisation la plus utile qu'un service public puisse faire de l'avis est de transposer ses recommandations sur le déroulement temporel d'un incident réel, car cette transposition permet de déterminer quelles recommandations relèvent de la préparation immédiate et lesquelles correspondent à des capacités que le service public doit déjà posséder au moment où l'incident se produit.

De l'heure zéro à l'heure six : Détection et confinement

Les recommandations à court terme de l'avis de sécurité se concentrent sur l'identification et la suppression des accès non autorisés : vérification des méthodes d'accès à distance, réinitialisation des identifiants et isolement des segments affectés. L'analyse chronologique révèle un point essentiel : chacune de ces actions est coordonnée par des personnes qui, durant les premières heures, travaillent de nuit et la fin de semaine, parfois même depuis leurs téléphones personnels. Les services publics qui ont réagi le plus rapidement lors des attaques de juillet sont ceux qui ont pu constituer leur équipe d'intervention en quelques minutes, par des canaux de communication fiables, avec confirmation des personnes impliquées. La rapidité d'alerte et la fiabilité des communications ne sont généralement pas mentionnées comme des points précis dans les avis de sécurité, mais elles constituent le fondement de toute action recommandée.

Jour 1 à Jour 3 : Expulsion et continuité

À mesure que le confinement progresse, les recommandations se concentrent sur le renforcement des systèmes : segmentation des infrastructures informatiques et opérationnelles, réduction de l’exposition inutile des systèmes de contrôle à Internet et validation des sauvegardes. Dans cette phase critique, la principale difficulté pour la plupart des petites entreprises de services publics est de savoir quoi faire ; elles doivent agir tout en continuant à traiter l’eau, à informer les autorités de réglementation, à se coordonner avec les réseaux voisins et à gérer les communications publiques, souvent avec un effectif réduit à quelques personnes. La continuité du commandement, c'est-à-dire un canal de coordination permanent et sécuritaire entre la direction et les opérations, est essentielle pour éviter que les aspects techniques et institutionnels ne se chevauchent.

Les avis recensent les mesures d'atténuation. Les incidents, eux, exigent une coordination. C'est précisément cet écart entre les deux qui pose le plus de difficultés aux petites entreprises de services publics, et il est possible de le combler avant le prochain incident.

Semaine 1 et suivantes : Durcissement et preuve

Les recommandations à long terme formulées dans l'avis, notamment en matière de sécurité des identifiants, de surveillance et de planification de la réponse aux incidents, encouragent les entreprises qui considèrent les événements de juillet comme un exercice de simulation plutôt que comme une situation critique. Deux exercices s'avèrent immédiatement rentables. Premièrement, un exercice de prise de contact et d'alerte : combien de temps faut-il pour joindre chaque intervenant et confirmer la réception de l'appel ? Ce processus est-il maintenu même en cas de panne des courriels et des lignes téléphoniques de l'entreprise ? Deuxièmement, un exercice de canal de confiance : si les réseaux principaux étaient soupçonnés demain, quel canal la direction utiliserait-elle pour discuter du confinement ? Ce canal est-il chiffré, authentifié et indépendant de l'infrastructure touchée ?

La plupart des entreprises de services publics qui organisent ces exercices constatent les mêmes trois lacunes : le système d’alerte repose sur une procédure d’appel manuelle, le canal de coordination de secours est la messagerie instantanée sur les appareils personnels des utilisateurs, et il est impossible de déterminer avec certitude quels appareils de la chaîne de réponse sont gérés et à jour. Ces trois problèmes peuvent être résolus en moins de trois mois, sans intervention sur le réseau de contrôle.

L'enseignement principal au niveau sectoriel

Les attaques de juillet et l'avis conjoint confirment ce que les défenseurs du secteur de l'eau affirment depuis des années : cette infrastructure critique est ciblée, ces attaques sont documentées dans les avis fédéraux et ne relèvent pas de l'hypothèse, et les opérateurs chargés de la défense figurent parmi les secteurs les plus limités en ressources. La bonne réponse ne consiste pas à mettre en œuvre simultanément toutes les mesures préconisées, mais à procéder par étapes : sécuriser d'abord la couche de coordination, car c'est cette capacité qui conditionne toutes les autres mesures d'atténuation, notamment lorsque le prochain avis décrit un événement en cours et non un événement maîtrisé.