Cybersécurité des OT dès la conception
Naviguer à l’intersection de l’ingénierie et de la cybersécurité dans les réseaux électriques modernes
À l’heure actuelle, le secteur énergétique mondial fait face à une situation de menace critique, poussant à un changement de paradigme dans la manière dont les réseaux électriques sont conçus et entretenus. Pendant des décennies, la principale priorité de l’ingénierie de l’énergie électrique était la fiabilité et la sécurité. Mais à mesure que le réseau se numérise, la cybersécurité passe d’un « complément » facultatif à une exigence fondamentale.
Concevoir un réseau électrique sécurisé, c’est comme construire un hôpital moderne. Si vous attendez que le bâtiment soit terminé pour décider où installer les caméras de sécurité et les systèmes de confinement des risques biologiques, vous devrez abattre des murs et dépenser beaucoup plus d’argent. En intégrant les spécialistes de la sécurité dans les plans initiaux, vous vous assurez que les médecins (les systèmes électriques) peuvent agir rapidement et sauver des vies (maintenir l’alimentation) sans que les mesures de sécurité ne les entravent.
La nouvelle réalité réglementaire
Cette pression en faveur de la cybersécurité est en grande partie créée par l’intensification du paysage réglementaire mondial. En Europe, la directive NIS2 établit de nouvelles références pour les infrastructures critiques, tandis que la Suisse a introduit des réglementations spécifiques au secteur de l’énergie visant à garantir la résilience à long terme de l’approvisionnement. De même, aux États-Unis, le respect des normes NIST est en train de devenir une exigence standard pour les produits et les installations. Pour les entreprises d’ingénierie, il ne s’agit plus là de recommandations abstraites, mais plutôt d’exigences clients obligatoires qui doivent être satisfaites pour remporter des appels d’offres et assurer la réussite des projets.
L’« écart entre les expertises » : là où IT et OT ne se rejoignent pas
Il existe un besoin essentiel dans cette transition réglementaire : combler le fossé entre les approches de sécurité différentes qui prévalent d’une part, dans l’univers de l’IdO/IT et d’autre part, dans le domaine spécialisé du génie électrique. Cette différence entraîne souvent des conflits techniques.
Alors que les normes de cybersécurité telles que la CEI 62443 recommandent généralement le chiffrement réseau, l’application de ce dernier aux réseaux électriques en temps réel peut augmenter la latence, ce qui est susceptible de retarder les relais de protection à action rapide, qui empêchent la détérioration de l’équipement ou les pannes. C’est pourquoi certaines mesures de sécurité qui sont largement utilisées en IT, ne sont pas directement applicables en OT. Afin d’atteindre malgré tout le niveau de cybersécurité requis, des mesures compensatoires adaptées doivent être mises en œuvre pour limiter le risque au niveau souhaité. Celles-ci doivent être prises en compte à un stade très précoce de la phase de conception, afin de minimiser les efforts et les coûts.
Les arguments en faveur d’une implication précoce
Ce besoin d’anticipation est la raison pour laquelle des spécialistes de la cybersécurité doivent être intégrés dès que possible dans la phase de conception et de construction d’un projet.Grâce à une implication proactive, les ingénieurs peuvent :
Influencer l’architecture
concevoir un réseau « sécurisé par défaut » plutôt que d’essayer de le sécuriser a posteriori.
Sélectionner les équipements appropriés
s’assurer que le matériel et les logiciels sélectionnés prennent en charge dès le début les protocoles de sécurité nécessaires.
Réduire les coûts
mettre à niveau une installation déjà opérationnelle avec des mesures de cybersécurité est bien plus coûteux et compliqué que de les intégrer lors de la construction.
L’évaluation des risques : une feuille de route stratégique
Le principal mécanisme permettant de transformer cet ADN de sécurité précoce en étapes concrètes est l’évaluation complète des risques de sécurité. Loin d’être un simple « exercice de cases à cocher », une évaluation des risques fait office de feuille de route stratégique permettant d’identifier quels équipements sont critiques et quel niveau de protection est requis (et réellement réalisable).
Par exemple, lors de l’extension d’un poste au Royaume-Uni, une évaluation des risques a montré que les anciens équipements ne pouvaient pas prendre en charge le chiffrement recommandé par la norme CEI 62443. Plutôt que de compromettre ou d’interrompre le projet, les ingénieurs ont documenté ce risque et mis en œuvre des contrôles compensatoires, tels que des politiques d’accès strictes et une surveillance spécialisée, ce qui a permis d’obtenir un système restant sûr sur le plan fonctionnel, tout en tenant compte des menaces numériques et en les atténuant. En documentant ces compromis, les ingénieurs ont trouvé une voie conciliant les normes idéales de sécurité et les dures réalités de la fonctionnalité opérationnelle.
Outils spécialisés pour la visibilité des OT
Si les évaluations fournissent la feuille de route, le maintien de cette posture de sécurité nécessite des outils spécialisés pour les technologies opérationnelles (OT), conçus pour les contraintes uniques du réseau électrique.Les outils informatiques traditionnels ne tiennent souvent pas compte des protocoles et des exigences de sécurité spécifiques à un réseau électrique, ce qui rend des solutions telles que StationGuard essentielles pour l’inventaire des équipements, la gestion des vulnérabilités et la détection d’intrusion :
Gestion des équipements et des vulnérabilités
grâce à des outils tels que StationGuard GridOps, les opérateurs peuvent visualiser tous les équipements numériques au même endroit et gérer les vulnérabilités sans perturber la fourniture d’électricité.
Détection d’intrusion et surveillance fonctionnelle
des solutions telles que StationGuard Sensor assurent une surveillance fonctionnelle, détectant les erreurs de communication ou les cyberattaques en analysant le trafic réseau dans le contexte spécifique des protocoles de réseaux électriques.
Ces outils spécialisés garantissent qu’une fois un système actif, les opérateurs gardent la visibilité constante nécessaire pour maintenir le cadre de sécurité établi lors de la phase de conception.
Construire la résilience à long terme
Même avec les outils et les conceptions les plus sophistiqués, la véritable résilience se mesure à la manière dont un système – et les personnes qui le gèrent – se rétablissent après la survenue inéluctable d’un incident. Comme il s’agit souvent moins de savoir « si » un incident va se produire que « quand », des plans de réponse aux incidents robustes doivent inclure un processus structuré d’actions (post‑)incident :
Attribution des responsabilités
pour une réponse fluide et rapide, il est essentiel de définir qui doit devenir actif en cas d’incidents et d’urgences, et qui est responsable de quelles actions.
Préparation à une réponse rapide
soyez prêts à réagir rapidement aux incidents liés à la sécurité. La détection des anomalies et l’alerte des équipes de réponse aux incidents ou d’urgence doivent faire l’objet d’un entraînement.
Débriefings post-incidents
suite à un cyberévénement, il est essentiel d’effectuer une analyse « à chaud », afin d’identifier les enseignements tirés et de mettre à jour les plans de continuité des activités.
Ce cycle de réflexion garantit que l’étape finale de la réponse à un incident devient la première étape de la préparation au suivant, créant ainsi une boucle d’amélioration continue.
Un futur placé sous le signe de la collaboration
Alors que le secteur s’oriente résolument vers une normalisation mondiale et une conformité obligatoire à des cadres tels que l’ISO 27019, la construction d’un réseau résilient n’est plus une tâche solitaire. Les projets les plus réussis sont ceux considérés comme un « effort d’équipe », impliquant une profonde collaboration entre clients, ingénieurs et spécialistes de la cybersécurité. En intégrant la sécurité dès le premier jour, en documentant les risques de manière transparente et en utilisant une surveillance spécifique aux technologies opérationnelles, le secteur de l’énergie peut construire un avenir où l’approvisionnement reste sécurisé et où le réseau numérique reste résilient face à des menaces en constante évolution.
Écoutez nos experts
Pour une perspective pratique et tirée du monde réel sur la manière dont les évaluations des risques en matière de cybersécurité tiennent compte des contraintes de fonctionnement dans les projets de réseaux électriques, écoutez l’épisode de podcast entier, présentant les points de vue de notre consultant en cybersécurité, Simon Rommer, et du responsable régional de l’ingénierie chez H&MV Engineering, Jose Paredes.
Nous pouvons vous accompagner pour vos solutions de cybersécurité
Consultez le site Internet OMICRON Cybersecurity pour découvrir nos offres en matière de cybersécurité et comprendre comment les principes de la sécurité dès la conception peuvent être appliqués à vos projets de réseaux électriques.
