IAM Zero Trust : un levier pour les secteurs de l'électricité, de l'environnement et de l'eau

Inutile de souligner le caractère critique des infrastructures d’énergie et d’eau pour le bon fonctionnement de la vie quotidienne et la santé de l’économie. C’est même une question de sécurité nationale : couper l’électricité ou prendre le contrôle des usines de traitement d’eau, c’est maîtriser tout un territoire. C’est précisément pour cette raison qu’elles sont une cible de choix pour les cyberattaques. Chacun garde en mémoire la cyberattaque contre Colonial Pipeline aux États-Unis en 2021, pour n’en citer qu’une.

Un secteur essentiel, cible privilégiée des cyberattaques

De nombreuses publications, émanant du secteur lui-même comme des gouvernements ou des agences de sécurité, soulignent clairement l’enjeu de cybersécurité pour l’énergie et l’eau, dans toutes les régions du monde :

• À l’échelle mondiale : Electricity Cybersecurity: Safeguarding the Energy Sector, Electricity Subsector
  On notera l’approche « tous risques » recommandée par les gouvernements pour ce secteur, si critique pour la vie quotidienne des citoyens et des entreprises. Rien ne doit être laissé au hasard.
• Union européenne : Critical infrastructure and cybersecurity et Cyber Europe tests the EU Cyber Preparedness in the Energy Sector | ENISA
  Rien qu’en 2023, plus de 200 cyberincidents signalés ont visé le secteur de l’énergie, dont plus de la moitié spécifiquement en Europe. Le rapport de l’ENISA sur les investissements NIS (Network and Information Security) dans l’UE révèle que 32 % des opérateurs du secteur de l’énergie n’ont aucun processus OT critique supervisé par un centre opérationnel de sécurité (SOC). L’OT et l’IT ne sont couvertes par un SOC unique que pour « seulement » 52 % des opérateurs de services essentiels du secteur de l’énergie.
• France : l’état de la menace publié début 2025 par l’Agence nationale de la sécurité des systèmes d’information (ANSSI)
  Il mentionne des cyberattaques visant spécifiquement des stations de traitement d’eau et des centrales électriques en 2024, en exploitant des applications et des systèmes vulnérables exposés sur Internet. C’est pourquoi « l’ANSSI estime que les actions mises en place pour sécuriser les équipements OT et réduire leur exposition sur Internet diminuent significativement les opportunités d’attaque ».
• États-Unis : Energy Sector | Cybersecurity and Infrastructure Security Agency CISA et Energy Sector Cybersecurity Preparedness | Department of Energy
  Pour l’eau, l’infographie de la CISA (Cyber Risks & Resources for the Water and Wastewater Systems Sector – Supply Water National Critical Function Infographic) met très bien en évidence les défis de cybersécurité du secteur : complexité des réseaux, maintenance des systèmes, segmentation réseau, vol de données et rançongiciels.

L’année 2023 a marqué un tournant, avec la prise de conscience que « le coût de la remédiation d’une attaque est bien plus élevé que celui de sa prévention ». La disponibilité et la continuité de service de ces infrastructures critiques (eau, gaz, électricité) exigent une protection élevée des systèmes industriels SCADA/ICS et des plans de continuité et de reprise d’activité (PCA/PRA) solides, souvent avec deux infrastructures distinctes en cas de panne complète de l’une d’elles.

Les technologies de l’information et de la communication (TIC) jouent un rôle central dans le déploiement et le pilotage des réseaux électriques intelligents (smart grids), ces réseaux qui s’appuient sur le numérique pour gagner en efficacité, en fiabilité et en durabilité, par exemple pour le comptage intelligent. Ces « réseaux annexes », qui reposent sur les technologies IT et relient OT, IoT et IT, jouent un rôle clé dans l’optimisation de la production, de la distribution et de la consommation d’énergie, tout en facilitant l’équilibre entre énergies renouvelables et sources traditionnelles, ainsi que les échanges d’énergie entre pays. Ces réseaux doivent être fortement protégés contre les cyberattaques, car ils constituent le « système nerveux » de l’écosystème énergétique. Toute action d’administration sur ces réseaux doit être supervisée avec un haut niveau de contrôle. Les identités des prestataires tiers qui interviennent sur ces réseaux doivent être fortement protégées, avec des mécanismes d’authentification forte (MFA) et des contrôles d’accès stricts (application d’une politique d’accès juste-à-temps).

Un cas client : une usine de traitement d’eau

Pour le RSSI d’un syndicat régional de traitement d’eau, il faut traiter à la fois le volet humain et le volet technique de l’équation, et pour ce dernier, à la fois la sécurité IT et la sécurité OT.

La conformité, avec NIS2 par exemple, entraîne des exigences très élevées, et parfois la difficulté de savoir quelle activité relève, ou devrait relever, du périmètre de la directive. Souvent, par exemple, la partie contrôle-commande de l’infrastructure industrielle est considérée comme un système d’importance vitale, tandis que la maintenance est jugée moins sensible.

Ces organisations peuvent aussi traiter des données personnelles de citoyens, et relèvent donc du RGPD : savoir par exemple qu’à une adresse donnée vit une personne atteinte d’une maladie de longue durée, qui ne doit jamais manquer d’électricité ni d’eau sous peine de voir sa vie mise en danger.

Autre caractéristique du secteur : il fait appel à des sous-traitants et à des prestataires tiers, côté IT comme côté OT. Des cas d’attaques ont été signalés : un employé malveillant d’un sous-traitant qui a réussi à modifier la configuration d’une pompe ; un pirate qui a pu exploiter l’outil de prise de main à distance utilisé par l’employé d’un prestataire sur une application SCADA. Les attaques par la chaîne d’approvisionnement figurent parmi les principales menaces du secteur. Des attaques ont aussi été signalées parce que de petites communes avaient déployé une infrastructure directement exposée sur Internet ; les grandes villes et les départements, en revanche, ne prennent généralement pas le risque d’exposer quoi que ce soit sur Internet.

CyberElements apporte des fonctionnalités clés pour la cybersécurité de l’énergie

• Accès distant sécurisé pour la télémaintenance et les interventions des infogéreurs et prestataires

Les secteurs de l’électricité et du gaz ont largement recours à la sous-traitance. Côté métier et OT, cela se traduit par des accès distants d’employés de prestataires à des actifs critiques, souvent depuis de simples tablettes. Côté IT, cela conduit à s’appuyer sur des infrastructures cloud, pour externaliser la gestion informatique et optimiser les coûts.

Dans le secteur de l’eau, par exemple, la qualité de l’eau est souvent contrôlée par des laboratoires tiers, qui doivent récupérer des données auprès des usines pour réaliser leurs analyses. Même s’ils ne sont pas considérés comme des opérateurs essentiels ou importants, ils accèdent à des actifs critiques, et cet accès doit être étroitement supervisé et contrôlé.

CyberElements a été conçu nativement pour l’accès distant sécurisé : il offre aux utilisateurs autorisés un accès Zero Trust et dresse une barrière de sécurité face à ceux qui n’ont reçu aucun accès. Il permet un accès web sans client, ce qui évite d’avoir à déployer des mises à jour de client. Il propose un tunnel générique permettant aux infogéreurs et aux prestataires d’utiliser leurs propres applications et licences pour accéder à distance aux systèmes IT ou OT.

• Cloisonnement organisationnel et réseau

Les acteurs malveillants peuvent utiliser les réseaux IT comme vecteur pour cibler des réseaux et systèmes OT non cloisonnés. Une segmentation réseau adaptée est un moyen très efficace de prévenir les cyberattaques contre les réseaux OT (et les déplacements latéraux). Les entreprises du secteur doivent séparer l’IT et l’OT, tout en s’appuyant parfois sur une même solution pour l’accès distant aux systèmes IT comme OT (convergence IT/OT).

Les entreprises de l’énergie et de l’eau sont aussi souvent réparties sur de vastes territoires, avec de nombreux sites. Elles dépendent fortement des communications réseau entre sites, tout en cherchant à préserver une certaine autonomie pour chacun d’eux.

Sur le plan organisationnel, les grandes entreprises du secteur comptent souvent de nombreuses entités, réglementées ou non. L’architecture multi-tenant de CyberElements permet de déployer une plateforme unique tout en isolant les entités. Elle permet de cloisonner les organisations (IT/OT, réglementé/non réglementé, sites) et de segmenter les réseaux (grâce à l’architecture à double barrière, avec des Edge Gateways déployées dans les réseaux locaux où se trouvent les ressources accédées). La segmentation réseau limite les déplacements latéraux. Et CyberElements empêche aussi les déplacements latéraux au sein d’un réseau local IT ou OT, grâce à un contrôle d’accès très fin. CyberElements permet en effet de configurer le pare-feu des serveurs utilisateur par utilisateur, selon l’utilisateur et le contexte de son accès.

• Zero Trust dès la conception

Le Zero Trust, en tant que nouveau paradigme de gestion des accès des collaborateurs aux systèmes IT/OT, est bien adapté aux exigences du secteur de l’énergie et de l’eau. Ne faire aucune différence entre accès « internes » et « externes » correspond bien à la répartition des organisations et des réseaux. L’authentification multifacteur par défaut, l’accès conditionnel et contextuel (utilisateur, terminal, réseau), la vérification continue de l’identité et l’analyse comportementale des utilisateurs sont des fonctionnalités typiques du Zero Trust, qui sécurisent considérablement les accès depuis n’importe où. Alimenter le SIEM d’un SOC avec l’ensemble des données d’audit, pour savoir « qui a fait quoi, quand, sur quelle application, et depuis quel contexte », est également essentiel pour compléter la prévention proactive en amont par la détection et la réponse réactives en aval, et pour répondre aux obligations de conformité. La possibilité de qualifier des utilisateurs et des comptes de « privilégiés » et des actifs de « critiques » permet de déclencher sur eux une surveillance et un contrôle approfondis.

Un secteur fortement réglementé

L’énergie et l’eau comptent parmi les secteurs les plus réglementés au monde, compte tenu de l’importance de l’électricité, du gaz et de l’eau dans la vie quotidienne des citoyens.

Chaque pays dispose de son propre organisme ou de sa propre commission de régulation de l’énergie (chacun avec son nom : la CRE en France, la Bundesnetzagentur en Allemagne, l’Ofgem au Royaume-Uni, la FERC aux États-Unis, la CER au Canada, etc.). L’UE a créé l’ACER, l’organisme européen chargé de coordonner les régulateurs en Europe. Elle a aussi publié récemment (2024) un rapport visant à mieux coordonner les infrastructures énergétiques en Europe (CEI), car de plus en plus de secteurs deviennent interdépendants à travers les réseaux numériques. L’énergie fait partie des secteurs les plus critiques au regard de NIS2. Cela entraîne pour eux une série d’obligations, notamment en matière de gestion des identités et des accès (IAM) : gérer intégralement les identités et les habilitations, gérer les accès dans le moindre détail, superviser et contrôler étroitement les utilisateurs et comptes à privilèges. Plus concrètement, dans un système d’information réglementé, NIS2 impose que :

• le système d’information d’administration soit séparé du système d’information métier, jusqu’au terminal utilisé par les collaborateurs pour accéder à l’un ou l’autre environnement ; les comptes d’administration doivent être distincts des comptes métier ;
• seuls des comptes individuels soient utilisés, et tracés ; les identifiants doivent respecter des politiques, être changés régulièrement ou après chaque utilisation et, idéalement, ne jamais être divulgués à l’utilisateur final ;
• l’accès et la connexion aux ressources informatiques soient accordés selon le principe du moindre privilège, pour la durée strictement nécessaire à l’utilisation de la ressource (juste-à-temps), sans laisser derrière eux ni droit ni connexion.

La plateforme IAM Zero Trust CyberElements aide à remplir toutes ces obligations avec la rapidité, au coût et avec le niveau de sécurité exigés par les autorités de régulation. Le meilleur moyen de s’en convaincre est d’essayer : cliquez sur « Commencer » et, en trois minutes, vous pourrez configurer la plateforme et découvrir une mise en conformité d’une rapidité inédite.