Disponibilité, intégrité, confidentialité : lire un risque cyber comme un défaut électrique

Je viens de l’automatisme. Pendant des années, « sécurité » voulait dire pour moi arrêt d’urgence, consignation et sélectivité. Quand j’ai repris la cybersécurité par les bases, j’ai cherché à tout ramener à ce que je connais : le terrain.

Prenons un scénario. Une station de surpression d’eau potable. Quelqu’un accède à distance à l’automate et ajoute quelques lignes au programme : alarmes inhibées, sorties des pompes forcées. Personne n’est prévenu, la pression monte, le village voisin est inondé.

Aucune donnée n’a été volée. Aucun écran n’affiche de rançon. C’est pourtant une cyberattaque, et ses conséquences sont physiques. Tout l’article part de là.

Trois lettres, plus une

La sécurité d’un système se juge sur trois critères. L’ANSSI et la méthode EBIOS en ajoutent souvent un quatrième.

• Disponibilité (D) : le système fonctionne quand on en a besoin. Un SCADA chiffré par un rançongiciel, et les opérateurs perdent la vue sur le process.
• Intégrité (I) : la donnée, le programme ou la consigne sont bien ceux qu’on a validés. Un fichier de recettes modifié, et la machine produit des pièces hors tolérance, sans alarme.
• Confidentialité (C) : seules les personnes autorisées y ont accès. Les plans et le chiffrage d’une offre qui arrivent chez un concurrent.
• Traçabilité (T) : on peut prouver qui a fait quoi, et quand. Un journal d’IHM qui indique « operateur » ne prouve rien.

Classer l’acte, pas la conséquence

Un incident touche rarement un seul critère. Les atteintes s’enchaînent, comme un défaut qui déclenche un départ. Dans mon scénario, la modification du programme (I) rend la surveillance indisponible (D), et l’impact final touche la sûreté des riverains.

On classe l’acte. La conséquence, elle, mesure la gravité.

Deux pièges reviennent souvent :

• « Rien n’a été modifié, donc rien n’est touché. » Un technicien copie le programme d’un automate sur sa clé USB pour l’étudier chez lui. La production continue. Pourtant la confidentialité est atteinte : ce programme décrit votre savoir-faire et les points faibles du site.
• Classer d’après la conséquence. Quelqu’un passe le seuil d’alarme d’un four de 250 °C à 350 °C. On pense « disponibilité », parce que le four risque de casser. Mais l’acte est une modification : c’est l’intégrité qui est touchée en premier.

La foudre et le parafoudre

Le risque se décompose en trois facteurs : risque ≈ menace × vulnérabilité × impact. L’analogie électrique les rend immédiats.

C’est une multiplication : si un facteur tombe à zéro, le risque s’effondre. Or on ne contrôle presque jamais la menace.

On ne supprime pas la foudre. On pose un parafoudre.

On agit donc sur les deux autres facteurs :

• réduire la vulnérabilité, c’est prévenir : correctifs, authentification multifacteur, segmentation, commutateur à clé RUN/PROG sur l’automate ;
• réduire l’impact, c’est limiter : sauvegardes, mode manuel, sécurité câblée indépendante de l’automate, comme un niveau très haut qui coupe le contacteur.

La méthode EBIOS Risk Manager de l’ANSSI parle de vraisemblance × gravité. C’est la même logique : la vraisemblance regroupe menace et vulnérabilité.

Aliquippa, novembre 2023 : le scénario devient réel

Fin novembre 2023, le service des eaux d’Aliquippa, en Pennsylvanie, découvre qu’un automate Unitronics d’une station de surpression a été pris en main à distance. Les attaquants, liés aux Gardiens de la révolution iraniens et se présentant comme « CyberAv3ngers », ont affiché un message de revendication sur l’écran.

Deux faiblesses ont suffi : l’automate était exposé sur Internet et protégé par le mot de passe par défaut. La station est repassée en mode manuel et l’eau a continué de couler. L’avis conjoint AA23-335A de la CISA, du FBI, de la NSA et de leurs partenaires recense d’autres victimes dans plusieurs secteurs.

La disponibilité d’abord ? Pas toujours

On répète souvent qu’en OT, la disponibilité passe avant tout. C’est vrai pour un serveur de supervision : sans lui, les opérateurs pilotent à l’aveugle. Mais l’ordre change selon l’actif :

• automate ou système instrumenté de sécurité : l’intégrité compte au moins autant que la disponibilité, car une consigne fausse peut blesser ;
• serveur des offres et des chiffrages : la confidentialité d’abord, car une fuite vers un concurrent coûte plus cher qu’une journée d’arrêt ;
• plateforme d’automatisation qui stocke des identifiants (type n8n) : la confidentialité d’abord. C’est un trousseau de clés vers l’ERP et la messagerie, et son compte OPC UA doit rester en lecture seule.

Pourquoi l’intégrité peut-elle être pire qu’un arrêt ? Une installation qui s’arrête se met en position de repli. Une consigne falsifiée continue de tourner, pendant que l’opérateur fait confiance à de fausses valeurs.

Un arrêt se voit. Une consigne falsifiée, non.

Cinq questions de terrain

Elles complètent celles du premier article, cette fois sous l’angle du risque. Pour chaque question, demandez-vous : est-ce une vulnérabilité, qui permet à l’attaque de réussir, ou un aggravant, qui alourdit ses conséquences ?

1. L’automate est-il joignable depuis Internet ? Un port Modbus TCP ouvert derrière un routeur 4G, c’est une vulnérabilité majeure : le protocole n’a aucune authentification.
2. La CPU est-elle protégée par mot de passe, et le firmware est-il à jour ? Sans les deux, le programme peut être lu et modifié.
3. Les comptes sont-ils nominatifs ? Un « admin / admin » partagé entre techniciens et client se devine en une minute, et efface toute traçabilité.
4. La sécurité physique tient-elle si l’automate ment ? Un niveau très haut géré uniquement par le programme est un aggravant. Un flotteur câblé ne se pirate pas.
5. Où est la sauvegarde du programme, et où sont les mots de passe ? Sur le seul PC portable du technicien, c’est un aggravant pour la reprise. Au même endroit que les mots de passe, c’est une fuite qui n’attend qu’un vol.

En OT, une exposition sur Internet menace d’abord la commande, donc l’intégrité et la disponibilité, bien avant la confidentialité.

Pour aller plus loin

D, I, C et T servent à nommer ce qui est touché. Menace, vulnérabilité et impact servent à choisir où agir. Pour creuser côté industriel, je recommande les guides de l’ANSSI sur les systèmes industriels : la méthode de classification et les mesures détaillées.

Les autres articles du carnet sur ces sujets sont dans les thèmes Cybersécurité OT et Eau & automatisme.

Et vous, sur votre dernière mise en service, laquelle de ces cinq questions aurait révélé une surprise ?