Cybersécurité dans les secteurs critiques : défis, menaces et défense

Informatec Digital » Ressources » Cybersécurité dans les secteurs critiques : défis, menaces et défense

La cybersécurité dans les secteurs critiques est devenue une préoccupation majeure pour les gouvernements et les entreprises. Il ne s'agit pas seulement d'un problème technique : la protection de ces infrastructures est essentielle pour l'électricité dans nos foyers, l'eau courante, les transactions financières quotidiennes et les soins de santé dont nous bénéficions. Lorsqu'une cyberattaque paralyse ces systèmes, le problème dépasse le simple cadre informatique pour devenir un enjeu social, économique, voire géopolitique.

En Espagne, des milliers d'installations critiques pourraient subir des dommages considérables si leur dysfonctionnement était compromis. Parallèlement, le nombre et la sophistication des attaques ne cessent de croître, orchestrées par des groupes criminels, des acteurs étatiques et des campagnes hybrides mêlant techniques numériques et physiques. Dans ce contexte, le renforcement de la cybersécurité de ces secteurs n'est plus une option : il s'agit d'une priorité stratégique.

Que signifient les termes « infrastructures critiques » et « secteurs stratégiques » ?

Les infrastructures critiques comprennent l'ensemble des installations, réseaux, systèmes, services et équipements – physiques ou virtuels – dont la défaillance aurait un impact direct sur le fonctionnement fondamental de l'État et sur la vie quotidienne de ses citoyens. Cela inclut l'énergie, l'eau, les transports, la santé, la finance, l'alimentation, les télécommunications et les services publics essentiels. L'identification et la classification des vulnérabilités sont essentielles pour prioriser les mesures et les ressources dans ces domaines.

La législation espagnole, et notamment la loi 8/2011 relative à la protection des infrastructures critiques , établit une distinction entre deux concepts clés : les infrastructures stratégiques et les infrastructures critiques. Toute infrastructure critique est stratégique, mais l’inverse n’est pas toujours vrai.

Les infrastructures stratégiques englobent un large éventail d'installations et de réseaux qui soutiennent les services essentiels, mais qui, dans certains cas, pourraient être remplacés ou compensés par des solutions alternatives. En revanche, une infrastructure est considérée comme critique lorsque son fonctionnement est absolument indispensable et qu'il n'existe aucune alternative viable dans un délai raisonnable.

Par conséquent, une infrastructure critique constitue un sous-ensemble particulièrement sensible des infrastructures stratégiques : sa perturbation aurait un impact grave sur un ou plusieurs services essentiels, compromettant la sécurité, l'économie ou le bien-être social.

La loi 8/2011 et ses règlements d'application désignent les secteurs suivants comme particulièrement vulnérables : administration publique, secteur spatial, industries nucléaire et chimique, cycle de l'eau, énergie, santé, technologies de l'information et de la communication, transports, alimentation, et système financier et fiscal, entre autres. Tous ces secteurs sont de plus en plus dépendants de systèmes numériques interconnectés.

Cybersécurité dans les infrastructures critiques : concept et étendue

La cybersécurité appliquée aux infrastructures critiques englobe l'ensemble des politiques, technologies, processus et mesures organisationnelles visant à protéger ces installations contre les menaces numériques, notamment la sécurité du cloud . Son principal objectif est de garantir la disponibilité, l'intégrité et la confidentialité des systèmes et des données qui soutiennent les services essentiels.

Cela implique de protéger à la fois les systèmes d'information de l'entreprise (IT) et les environnements opérationnels (OT), où résident les systèmes de contrôle industriel (ICS), SCADA, PLC et autres équipements qui interagissent directement avec les processus physiques, tels que le contrôle du réseau électrique, des usines de traitement de l'eau, des oléoducs, des raffineries ou des systèmes ferroviaires.

Un aspect essentiel de la cybersécurité dans les secteurs critiques est la convergence des technologies de l'information (TI) et des technologies opérationnelles (TO) . Pendant des années, ces technologies sont restées cloisonnées : d'un côté, les systèmes de gestion et de traitement des données, de l'autre, les systèmes de contrôle industriel, souvent sans connexion Internet directe. La numérisation, l'Internet industriel des objets (IIoT) et le besoin de surveillance en temps réel ont fait tomber ces barrières.

Cette convergence apporte efficacité, visibilité et capacités de gestion centralisée, mais elle ouvre également de nouvelles surfaces d'attaque . De nombreux dispositifs OT et IoT n'ont pas été conçus avec des critères de sécurité robustes, le déploiement de correctifs est complexe et les cycles de vie sont longs. Il en résulte un écosystème interconnecté où une faille de sécurité peut affecter des systèmes industriels auparavant isolés.

Dans ce contexte, les stratégies de défense visent à prévenir les interruptions de service, le sabotage, l'espionnage, la manipulation des processus et le vol ou le détournement d'informations, tout en maintenant la continuité opérationnelle et la conformité aux exigences réglementaires et normatives propres au secteur.

Services essentiels et vulnérabilité numérique croissante

La quasi-totalité des services essentiels modernes reposent sur des systèmes numériques : centrales électriques automatisées, réseaux de distribution intelligents, stations d’épuration des eaux, aéroports, ports, réseaux de métro, hôpitaux hyperconnectés, distributeurs automatiques de billets, plateformes bancaires en ligne et systèmes fiscaux électroniques.

Cette dépendance technologique a une conséquence directe : toute cyberattaque grave se traduit rapidement par un problème concret pour la population . Il ne s’agit pas d’un simple incident informatique interne ; elle peut priver des quartiers entiers d’électricité, paralyser des lignes ferroviaires, perturber des interventions chirurgicales ou empêcher des millions de personnes d’accéder à leur argent.

Des exemples récents illustrent l'ampleur de notre vulnérabilité. L'attaque par rançongiciel contre le système de santé irlandais en 2021 a entraîné l'arrêt des systèmes cliniques et l'annulation de rendez-vous et de traitements pendant plusieurs heures, provoquant un chaos opérationnel et mettant en péril la sécurité des patients. Des situations similaires se sont produites dans d'autres pays, affectant des hôpitaux, des chaînes d'approvisionnement et des réseaux de distribution de carburant. Ces incidents nécessitent une analyse forensique numérique spécialisée pour en comprendre l'étendue et rétablir les opérations.

En Espagne, les données révèlent une augmentation significative des incidents affectant les organisations des secteurs stratégiques. En un an seulement, le pourcentage d'entités ayant subi un accès non autorisé à leurs systèmes a bondi de plus de vingt points de pourcentage, témoignant de l'accélération du risque numérique et de la nécessité de mises à jour critiques et d'un renforcement continu de la sécurité.

Tout ceci explique pourquoi la protection des infrastructures critiques est devenue une priorité tant pour la sécurité nationale que pour la sécurité des entreprises , et pourquoi des cadres réglementaires européens et nationaux sont promus spécifiquement dans le but de renforcer leur résilience.

Principales cybermenaces dans les secteurs et infrastructures critiques

Le paysage des menaces pesant sur les infrastructures critiques est de plus en plus complexe. Il combine des campagnes de cybercriminalité à visée financière , des opérations d'espionnage et de sabotage informatiques menées par des États, des attaques de hacktivistes et des erreurs humaines ou des abus de confiance commis par des personnes ayant un accès légitime.

Les menaces persistantes avancées (APT) constituent un type de menace particulièrement préoccupant . Il s'agit d'opérations prolongées, hautement ciblées et organisées, souvent associées aux services de renseignement ou à des groupes étatiques. Elles se déroulent généralement en plusieurs phases : infiltration du réseau par le biais de vulnérabilités ou de techniques d'hameçonnage sophistiquées, déplacement latéral et élévation de privilèges, et enfin, exfiltration d'informations sensibles ou préparation d'un sabotage.

Diverses analyses indiquent qu'une grande partie des attaques ciblant les infrastructures critiques sont motivées par des motivations financières , que ce soit par l'extorsion, le vol de propriété intellectuelle ou la fraude. Parmi les groupes les plus actifs figurent APT28 (Fancy Bear), souvent lié à des intérêts russes ; Mustang Panda, associé à des campagnes menées depuis la Chine en Europe et dans d'autres régions ; et APT34 (OILRIG), qui cible le secteur énergétique du Moyen-Orient.

Parallèlement, les rançongiciels sont devenus l'une des menaces les plus dévastatrices pour les secteurs critiques. Lors de ces attaques, les systèmes sont chiffrés ou bloqués jusqu'au paiement d'une rançon, souvent assortie du risque de fuites de données sensibles. L'attaque contre Colonial Pipeline en 2021, qui a provoqué des perturbations de l'approvisionnement en carburant dans certaines régions des États-Unis, illustre parfaitement comment une cyberattaque peut entraîner de longues files d'attente aux stations-service et des problèmes d'approvisionnement.

Le sabotage et l'espionnage à motivation géopolitique ont également progressé. Les acteurs des secteurs de l'énergie, des transports et de la santé sont la cible de campagnes visant à déstabiliser, à exercer des pressions ou simplement à obtenir des informations stratégiques. L'incident Stuxnet, qui a affecté les centrifugeuses de l'usine nucléaire iranienne de Natanz, demeure l'un des cas les plus étudiés de logiciel malveillant spécifiquement conçu pour perturber les processus industriels.

Un autre facteur de risque important réside dans les menaces internes . Il ne s'agit pas toujours d'employés malveillants ; de nombreuses violations de données sont dues à des erreurs commises par le personnel interne ou les fournisseurs, à un manque de formation, à de mauvaises pratiques de gestion des mots de passe ou à une négligence dans l'application des politiques de sécurité.

La chaîne d'approvisionnement complexifie encore la situation. Les infrastructures critiques reposent sur un réseau de fabricants, d'intégrateurs, de sociétés de maintenance, d'éditeurs de logiciels et de fournisseurs de services cloud. Un attaquant peut exploiter le maillon le plus faible – par exemple, une mise à jour compromise, un appareil préconfiguré non sécurisé ou un fournisseur aux pratiques douteuses – pour accéder au système d'un opérateur critique sans l'attaquer directement.

Le secteur des transports illustre parfaitement ce risque, représentant un pourcentage élevé des incidents recensés dans certains rapports nationaux. Une attaque contre un opérateur ferroviaire ou aéroportuaire, ou contre leurs fournisseurs de technologies, peut avoir des conséquences en cascade : perturbations du trafic, blocage de marchandises dans les ports ou les plateformes logistiques, ruptures de stock et pertes financières considérables.

De plus, les attaques hybrides gagnent en importance , combinant cyberattaques et incidents physiques pour en amplifier l'impact. La panne d'électricité partielle en Ukraine en 2015, suite à une cyberattaque contre des compagnies d'électricité, et les campagnes de survol de drones au-dessus des aéroports scandinaves qui ont entraîné la fermeture de l'espace aérien pour des raisons de sécurité, illustrent l'imbrication des mondes numérique et physique.

Cadre réglementaire, résilience et réponse aux incidents

La défense des infrastructures critiques repose sur un cadre réglementaire et organisationnel spécifique qui combine législation nationale, directives européennes et normes techniques. En Espagne, la loi 8/2011 susmentionnée a pour objectif principal la protection de ces infrastructures contre les menaces, par la mise en œuvre de mesures intégrées couvrant la sécurité physique et logique. La définition de politiques et de normes, notamment celles régissant les environnements multi-utilisateurs et mutualisés, fait partie intégrante de ce cadre.

L'un des concepts clés est la cyber-résilience , définie comme la capacité d'anticiper un incident, d'y résister, de s'y adapter et de s'en remettre sans perte, ou avec une perte limitée, de capacité opérationnelle. Les plans de protection spécifiques (PPS) s'inscrivent dans ce cadre et comprennent l'analyse des risques, les mesures de sécurité techniques et organisationnelles, ainsi que des protocoles d'intervention clairs en cas d'incident.

Au niveau européen, la directive relative à la résilience des entités critiques (CER), adoptée en 2022, renforce l’objectif de réduction des vulnérabilités et d’amélioration des capacités de reprise après des incidents graves, notamment les attaques hybrides. Elle oblige les États membres et les entités critiques à adopter des mesures concrètes en matière de sécurité, de gestion des risques et de notification des incidents.

En Espagne, INCIBE-CERT (Centre de réponse aux incidents de cybersécurité d'INCIBE) fait office de centre de référence national pour la gestion des cyberincidents. Il assure un service continu (24h/24 et 7j/7), émet des alertes de vulnérabilité et de menaces et coordonne la réponse technique avec les organismes publics et privés.

Lorsque des incidents affectent des opérateurs critiques du secteur privé, la réponse est coordonnée avec le Bureau de coordination de la cybersécurité (OCC) du ministère de l'Intérieur, qui sert de point de rencontre entre les forces de sécurité et les différentes agences impliquées.

La surveillance continue des systèmes grâce à des technologies de pointe permet de détecter les comportements anormaux en temps quasi réel . INCIBE-CERT et d'autres centres spécialisés utilisent des sources de renseignements agrégées, alimentées par de multiples capteurs et rapports, pour élaborer des alertes précoces et informer les organisations potentiellement concernées des incidents ; l'analyse des journaux est un élément essentiel de ce processus.

En pratique, la plupart des opérateurs critiques combinent des centres d'opérations de sécurité (SOC) avec des équipes de réponse aux incidents (CSIRT), alignés sur les obligations réglementaires et connectés aux canaux officiels de signalement et de coordination.

Stratégies techniques clés : segmentation, surveillance et contrôle d’accès

Dans les infrastructures critiques, l'installation d'un antivirus et d'un pare-feu ne suffit pas. Il est nécessaire de déployer des architectures de sécurité multicouches afin de minimiser l'impact d'une éventuelle intrusion et de contenir l'attaquant.

L'une des pratiques les plus répandues est la segmentation du réseau . Elle consiste à diviser l'environnement en zones ou segments distincts, avec des contrôles d'accès et un filtrage du trafic entre eux. Ainsi, même si un attaquant parvient à accéder à un point d'accès, il lui sera beaucoup plus difficile de se déplacer librement sur le reste du réseau.

Dans les environnements industriels, le modèle de Purdue est fréquemment utilisé . Il organise les systèmes en différents niveaux, depuis les équipements de terrain et de contrôle jusqu'au réseau d'entreprise. Entre ces niveaux, des zones démilitarisées industrielles, des pare-feu, des serveurs proxy et d'autres mécanismes de contrôle sont mis en place afin d'empêcher l'exposition directe des systèmes OT les plus sensibles aux réseaux d'entreprise ou à Internet.

S’appuyant sur ces bases, de nombreuses organisations vont plus loin avec la microsegmentation , qui ajoute des contrôles encore plus précis, par exemple au niveau de l’application ou du flux de travail. Cette stratégie est particulièrement utile dans les infrastructures critiques dotées de systèmes anciens difficiles à corriger, où la zone accessible depuis d’autres segments est réduite au minimum.

La surveillance et la détection précoce complètent le tableau. Les organisations déploient des outils de surveillance continue, des systèmes de détection et de prévention des intrusions (IDS/IPS) , des solutions d'analyse du trafic réseau et d'analyse comportementale des utilisateurs et des entités (UEBA), capables d'identifier les schémas anormaux qui échappent aux contrôles traditionnels basés sur les signatures.

L'intelligence artificielle commence à jouer un rôle de premier plan dans ces centres d'opérations de sécurité, en permettant de détecter des écarts subtils dans le comportement normal des systèmes OT et IT, de corréler des événements dans de grands volumes de données et de générer des alertes plus précises, réduisant ainsi le bruit et le nombre de faux positifs.

Enfin, des contrôles d’accès robustes — notamment l’authentification multifactorielle, une gestion stricte des privilèges, la séparation des tâches et une journalisation complète des activités — sont essentiels pour minimiser les risques associés aux utilisateurs internes, aux comptes de service et à l’accès des fournisseurs distants, ainsi que de bonnes pratiques de sécurité sur les systèmes et les serveurs.

Facteur humain, culture de sécurité et collaboration

De nombreux incidents graves démontrent que le maillon faible demeure le facteur humain . Un clic sur un courriel d'hameçonnage , un mot de passe réutilisé, un ordinateur portable non chiffré ou une mauvaise gestion des accès privilégiés peuvent ouvrir la porte à une attaque susceptible d'affecter un service critique.

Par conséquent, au-delà des aspects technologiques, les organisations gérant des infrastructures critiques ont besoin de programmes de formation et de sensibilisation robustes pour l'ensemble de leur personnel, y compris les cadres, les techniciens, le personnel d'exploitation et les équipes de soutien. Il ne s'agit pas simplement de proposer des formations ponctuelles, mais de bâtir une véritable culture de la sécurité.

Cela implique d'intégrer la gestion des risques de cybersécurité dans les processus métier et les opérations quotidiennes , de définir des responsabilités claires, de revoir régulièrement les politiques et les procédures, et d'encourager le signalement de tout comportement suspect sans crainte de représailles.

La collaboration entre les services internes (informatique, technologies opérationnelles, opérations, juridique, conformité et ressources humaines) est également essentielle. Traditionnellement, les équipes informatiques et les responsables d'usines évoluaient dans des univers quasi cloisonnés, mais la convergence numérique exige une gestion des risques coordonnée.

Dans les secteurs critiques, la collaboration avec les autorités publiques et les organismes de réglementation est tout aussi importante . Certains cadres réglementaires exigent le signalement des incidents dans des délais précis, le partage d'informations sur les menaces et la coordination des plans d'action avec les ministères, les forces de sécurité ou les agences spécialisées.

Cet effort conjoint permet d'élever le niveau de protection de l'ensemble de l'écosystème , car les informations relatives à une attaque détectée dans une entreprise peuvent être utilisées pour prévenir des incidents dans d'autres organisations du même secteur ou dans des infrastructures connexes.

Nouveaux défis : intelligence artificielle, données automatisées et informatique quantique

La révolution numérique actuelle introduit à la fois de nouveaux outils de défense et de nouvelles vecteurs d'attaque . L'intelligence artificielle, l'automatisation avancée et, dans un avenir proche, l'informatique quantique, transforment en profondeur la conception de la cybersécurité dans les secteurs critiques.

D'une part, l'intelligence artificielle défensive permet l'analyse de volumes massifs de données opérationnelles et de sécurité, la détection en temps réel de schémas inhabituels et le déclenchement de réponses automatisées, telles que l'isolement d'un nœud compromis, la reconfiguration d'un réseau ou l'ajustement dynamique des politiques d'accès.

L'IA générative peut aider à synthétiser des informations sur les menaces et à développer des règles de détection complexes, tandis que l'IA agentique est capable de planifier et d'exécuter des actions autonomes dans des cadres prédéfinis afin de maintenir la continuité du service face aux incidents.

Cependant, ces mêmes capacités sont utilisées à des fins offensives. Les attaquants emploient déjà l'IA pour optimiser leurs campagnes d'hameçonnage , générer des logiciels malveillants plus furtifs, découvrir des vulnérabilités et automatiser les déplacements latéraux au sein de réseaux complexes. De plus, les modèles d'IA utilisés par les infrastructures critiques peuvent eux-mêmes devenir des cibles : les attaques sur les données d'entraînement, la manipulation des algorithmes, l'injection de données malveillantes ou l'altération des résultats peuvent conduire à des décisions erronées dans les processus automatisés.

Par conséquent, la protection des systèmes d'IA nécessite des mesures spécifiques : garantir l'intégrité et la confidentialité des données d'entraînement, surveiller les inférences et les résultats des modèles pour détecter les anomalies, établir des contrôles d'accès stricts aux environnements de développement et de déploiement, et examiner en permanence les modèles pour détecter toute manipulation possible.

Parallèlement, l'informatique quantique représente un défi fondamental à moyen et long terme. De nombreux algorithmes cryptographiques actuellement utilisés pourraient être compromis par des ordinateurs quantiques suffisamment puissants. Bien qu'aucun équipement à usage général capable de casser la cryptographie standard ne soit encore disponible en production, diverses estimations situent ce risque dans les dix à vingt prochaines années.

Cette perspective sous-tend la stratégie « collecter maintenant, déchiffrer plus tard » : les attaquants stockent aujourd’hui des données chiffrées en espérant pouvoir les déchiffrer lorsque la technologie quantique sera mature. Pour les infrastructures critiques, qui traitent des informations sensibles et à longue durée de vie, cette approche représente un risque considérable.

Face à cette situation, l'intérêt pour la cryptographie post-quantique , un ensemble d'algorithmes de chiffrement et de signature conçus pour résister aux attaques des futurs ordinateurs quantiques, croît. De nombreuses organisations commencent déjà à évaluer et à planifier leur migration vers ces systèmes, conscientes qu'il ne s'agit pas d'une transition qui peut se faire du jour au lendemain.

Ces changements technologiques favorisent également des modèles de sécurité plus dynamiques, tels que la microsegmentation comportementale , qui ajuste en permanence les politiques de filtrage en fonction du contexte, ou les approches de confiance zéro, qui supposent qu'aucune connexion n'est fiable par défaut et exigent une vérification continue de l'identité et du contexte, même au sein du réseau interne lui-même.

Capacités de sécurité et cas d'utilisation dans les secteurs clés

Pour que tout cela fonctionne en pratique, les infrastructures critiques doivent se doter d'un ensemble de capacités de sécurité bien intégrées . Parmi les plus importantes figure la visibilité unifiée des environnements OT et IT, avec des inventaires d'actifs clairs, des cartographies des dépendances et une surveillance centralisée.

Cette visibilité constitue le fondement des capacités de détection des menaces en temps réel , appuyées par des systèmes de corrélation d'événements, l'analyse du trafic, la détection d'intrusions et, de plus en plus, par des analyses comportementales avancées. Elle permet d'identifier les accès non autorisés, les schémas d'utilisation inhabituels, les communications avec les serveurs de commande et de contrôle, ainsi que les tentatives d'élévation de privilèges.

Tout aussi importantes sont les fonctions de réponse automatisées , capables d'appliquer des contre-mesures sans intervention humaine lorsqu'un incident grave est détecté : isolation des appareils, blocage des comptes, segmentation d'urgence, restauration de la configuration, etc. Dans des environnements où chaque minute compte, cette rapidité peut faire toute la différence.

Dans le secteur de l'énergie, par exemple, de nombreuses entreprises ont mis en place des SOC OT dédiés qui intègrent la surveillance des systèmes SCADA à l'analyse du trafic des réseaux industriels. Ces centres ont permis de déjouer des tentatives de sabotage visant à perturber l'alimentation électrique, grâce à la détection précoce des accès non autorisés aux systèmes de contrôle.

Dans le secteur des transports, notamment aérien et ferroviaire, la protection des systèmes de signalisation, de contrôle du trafic et de communication est essentielle. Une segmentation avancée en zones de haute sécurité , reliées uniquement par des passerelles strictement contrôlées, a permis d'empêcher les intrusions dans les réseaux d'entreprise d'affecter les systèmes d'exploitation qui gèrent le trafic et la sécurité des passagers.

Le secteur de la santé, quant à lui, subit une pression croissante, les données de santé étant particulièrement précieuses sur le marché noir. Les hôpitaux et les réseaux de santé s'attachent à la fois à renforcer la formation de leur personnel face au phishing et aux ransomwares, et à déployer un chiffrement de bout en bout des informations des patients, ainsi que des plans de sauvegarde et de restauration permettant un rétablissement rapide des dossiers médicaux et des systèmes de diagnostic.

Dans tous ces secteurs, la combinaison de technologies de pointe, de processus de gestion des risques éprouvés et d'un personnel consciencieux fait la différence entre une infrastructure vulnérable et une infrastructure capable de résister, de se rétablir et de continuer à fournir des services essentiels même dans le pire des scénarios de cyberattaque.

La réalité actuelle démontre que la protection de la cybersécurité dans les secteurs critiques ne peut plus être abordée comme un projet ponctuel ou une simple exigence réglementaire : elle exige une stratégie continue, multidimensionnelle et coordonnée, où la technologie, les processus, les personnes et la collaboration public-privé convergent pour préserver les piliers qui soutiennent le fonctionnement de notre société.