Un système opérationnel jugé stable peut être placé sous surveillance renforcée du jour au lendemain, sans avertissement préalable. C’est ce que rappelle un incident survenu dans les Maritimes en mars 2024, dont les détails techniques n’ont pas été rendus publics.

L’essentiel

  • Des infrastructures d’eau potable du Nouveau-Brunswick et de la Nouvelle-Écosse ont été mises sous vigilance renforcée en mars 2024.
  • La nature exacte de l’attaque n’a pas été confirmée publiquement, selon les informations disponibles à ce jour.
  • Les systèmes industriels qui pilotent le traitement de l’eau sont de plus en plus connectés aux réseaux informatiques classiques.
  • Cet incident ne touche pas le Québec directement, mais illustre un risque qui concerne toute organisation gérant des infrastructures essentielles.

Que sait-on réellement de cet incident ?

Selon les informations disponibles, des infrastructures d’eau potable du Nouveau-Brunswick et de la Nouvelle-Écosse ont été placées en vigilance renforcée en mars 2024 après une cyberattaque. Aucune confirmation officielle n’a précisé la nature exacte de l’attaque ni son origine, et aucun groupe n’a été identifié publiquement comme responsable de l’incident.

Ce silence sur les détails techniques n’est pas inhabituel lorsque des infrastructures essentielles sont concernées : les équipes responsables évitent généralement de diffuser des informations qui pourraient être utiles à des acteurs malveillants pendant qu’une réponse est en cours. Pour une organisation qui suit ce type de nouvelle, l’enseignement principal ne réside pas dans le détail manquant, mais dans le constat qu’un système opérationnel considéré comme stable a dû être placé sous surveillance renforcée sans préavis.

Pourquoi les infrastructures d’eau potable sont-elles ciblées ?

Les usines de traitement d’eau reposent sur des systèmes industriels de type SCADA de plus en plus connectés aux réseaux informatiques classiques, ce qui élargit leur surface d’exposition. Leur caractère essentiel les rend attrayantes pour un attaquant, puisqu’une perturbation, même limitée, a un impact direct sur la population desservie.

Ce constat dépasse largement le secteur de l’eau. Toute organisation qui fait communiquer des équipements opérationnels (production, bâtiment, logistique, contrôle d’accès) avec son réseau bureautique introduit un point de contact entre deux mondes historiquement séparés, souvent avec moins de surveillance que sur les systèmes informatiques classiques. Le Centre canadien pour la cybersécurité recommande de traiter ces zones de convergence comme prioritaires dans toute démarche de sécurité, quelle que soit la taille de l’organisation.

Qu’est-ce que cela change pour une PME ou un OBNL québécois ?

Peu de PME gèrent un réseau d’eau potable, mais beaucoup exploitent des équipements connectés (caméras, systèmes de chauffage, terminaux de paiement, contrôle d’accès) sans les considérer comme faisant partie de leur surface numérique. Cet incident rappelle que tout équipement relié au réseau devient un point d’entrée potentiel, indépendamment de son secteur d’activité.

Au Québec, une organisation qui subit un incident touchant des renseignements personnels a des obligations précises en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé, dont la tenue d’un registre des incidents de confidentialité et, selon les circonstances, une notification à la Commission d’accès à l’information. Ces obligations existent indépendamment de la nature de l’incident rapporté ici, et elles s’appliquent que l’équipement touché soit un poste de travail, un système industriel ou un objet connecté.

Comment réduire ce type d’exposition dans son organisation ?

Il n’existe pas de protection absolue contre une cyberattaque, mais plusieurs mesures reconnues réduisent fortement l’exposition : cartographier les équipements connectés, isoler les systèmes opérationnels du réseau bureautique, limiter les accès à distance et maintenir les correctifs de sécurité à jour selon un calendrier régulier.

Le Centre canadien pour la cybersécurité propose une liste de contrôles de base pensée spécifiquement pour les petites et moyennes organisations, qui ne disposent généralement pas d’une équipe de sécurité dédiée. Ces contrôles ne visent pas à éliminer le risque, ce qui est impossible, mais à rendre une intrusion nettement plus difficile et à limiter les dégâts si elle survient malgré tout. Méfiez-vous de tout discours qui promet une protection totale ou un risque zéro : aucun prestataire sérieux ne peut tenir une telle promesse.

FAQ

Une PME peut-elle être touchée par le même type d’incident qu’un réseau d’eau potable ?

Le scénario technique diffère selon le secteur, mais le principe de fond est le même : dès qu’un équipement opérationnel, qu’il s’agisse d’un système de traitement d’eau, d’une caméra de surveillance ou d’un terminal de point de vente, communique avec un réseau informatique, il devient une cible potentielle. Les PME et les OBNL sont rarement visés pour leur notoriété, mais souvent parce qu’ils représentent un accès plus simple qu’une grande organisation mieux protégée. La taille d’une organisation ne la met donc pas à l’abri; elle change surtout la probabilité et la nature de l’attaque, pas son existence.

Que doit faire une organisation québécoise en cas d’incident touchant des renseignements personnels ?

La Loi sur la protection des renseignements personnels dans le secteur privé impose aux organisations québécoises la tenue d’un registre des incidents de confidentialité, qu’ils soient déclarés ou non à l’externe. Lorsque l’incident présente un risque de préjudice sérieux pour les personnes concernées, une notification à la Commission d’accès à l’information ainsi qu’aux personnes touchées devient obligatoire. Ces obligations s’appliquent indépendamment du type de système touché, qu’il s’agisse d’une base de données clients ou d’un équipement opérationnel connecté. Elles existent pour encadrer la réaction après coup; elles ne remplacent pas les mesures de prévention en amont.

Isoler les systèmes opérationnels du réseau bureautique suffit-il pour éliminer le risque ?

Non, et il faut se méfier de toute promesse en ce sens. La segmentation réseau est une mesure reconnue qui réduit fortement l’exposition en limitant la propagation d’un incident d’un système à l’autre, mais elle ne constitue qu’un élément parmi d’autres. Une organisation doit aussi encadrer les accès à distance, maintenir ses correctifs de sécurité, former son personnel et prévoir un plan de réponse en cas d’incident. Il n’existe pas de protection absolue en cybersécurité; l’objectif réaliste est de rendre une attaque plus difficile à mener et plus rapide à détecter, pas de garantir qu’elle n’arrivera jamais.

Sources

Source : Réseau d’Information Municipale · https://news.google.com/rss/articles/CBMixgFBVV95cUxOWi1PcTJqUWFXWFY2SlJiUU9qTEpEU2J0bXE0M01BZW5ZU3FzNkVYUnM5X3oxYmVTdi1xS19RdUdNU09pbk00SVFaenNLeEZ4Wm5NNmhSWm1NS3QxTWVwMVdXd01pTXRZVk9nSDFoZzZuMEF0eEZhczVVNXh5MUVwYW9kWG81UmtfWGRpWFVtZjV5RGxoNkFOUzd5VXlUSjkxMG14TGI1Nmt4Mzk0RnREaWxEWE4zT0N4U3d2cnRTSTFXQ1ZpUkE?oc=5