Un article du Canada Français pose la question suivante : le réseau d’eau potable est-il à l’abri d’une cyberattaque? Selon les informations disponibles, la source ne décrit pas d’incident confirmé, ni de date, ni de lieu précis, mais soulève une préoccupation qui touche toute infrastructure essentielle.

L’essentiel

  • L’article cité pose une question générale sur la vulnérabilité des réseaux d’eau potable, sans rapporter d’incident confirmé avec lieu ou date précise.
  • Les infrastructures d’eau sont des infrastructures essentielles : leur exposition numérique suit les mêmes principes que celle de toute organisation.
  • Une municipalité, une régie ou un OBNL qui gère de l’eau ou des données associées reste soumis aux mêmes bases de cybersécurité que n’importe quelle PME.

Ce que l’on sait du sujet traité

La source disponible est un titre interrogatif, sans récit d’incident daté ou localisé. Nous restons donc prudents : ce texte relève du questionnement journalistique sur un risque, pas du compte-rendu d’une attaque survenue.

Nous n’avons accès qu’au titre et à un court extrait de cet article. Rien n’indique qu’une attaque confirmée ait visé un réseau d’eau potable au Québec, ailleurs au Canada ou à l’étranger dans ce texte précis. La question posée s’inscrit toutefois dans un contexte documenté par ailleurs : les systèmes qui pilotent des infrastructures essentielles, dont les réseaux d’eau, intègrent de plus en plus d’équipements connectés, ce qui élargit la surface exposée aux risques numériques en général.

Ce que cela change pour une organisation québécoise

Qu’une municipalité gère un réseau d’eau ou qu’une PME gère des données clients, le principe est le même : une infrastructure jugée critique pour ses usagers mérite une attention particulière à ses accès et à ses dépendances numériques.

Les organisations qui opèrent des systèmes physiques connectés (traitement de l’eau, bâtiments, production) gagnent à vérifier qui peut y accéder à distance et sous quelles conditions. Pour les organisations québécoises qui traitent des renseignements personnels, la Loi sur la protection des renseignements personnels dans le secteur privé impose par ailleurs un registre des incidents de confidentialité et, selon les cas, une notification à la Commission d’accès à l’information. Cette obligation existe indépendamment du sujet de cet article et s’applique à toute organisation visée par la loi, pas seulement à celles qui opèrent des infrastructures d’eau.

FAQ

Un incident confirmé a-t-il touché un réseau d’eau potable au Québec ou au Canada?

La source dont nous disposons ne le confirme pas. Il s’agit d’un article qui pose la question de la vulnérabilité de ces réseaux, sans rapporter de date, de lieu ni de victime précise. Nous évitons donc d’affirmer qu’un incident spécifique s’est produit à partir de ce seul titre.

Les infrastructures d’eau sont-elles plus vulnérables que d’autres types d’organisations?

Pas nécessairement plus, mais leur impact potentiel en cas d’incident est différent, puisqu’elles touchent directement des services essentiels à la population. Le Centre canadien pour la cybersécurité documente les risques qui pèsent sur les infrastructures essentielles en général, sans que cela signifie qu’un incident précis les ait visées récemment.

Quelles obligations légales une organisation québécoise doit-elle respecter en cas d’incident de confidentialité?

La Loi sur la protection des renseignements personnels dans le secteur privé exige la tenue d’un registre des incidents et, si les critères sont atteints, une notification à la Commission d’accès à l’information. Ces obligations s’appliquent à toute organisation visée par la loi, indépendamment du secteur d’activité ou du type d’infrastructure géré.

Sources

Source : Le Canada Français · https://news.google.com/rss/articles/CBMingFBVV95cUxPOUt0N21rNHJNWWxaWUxhcFFSRUUtNjBRVHQ0Qm0yTV84bnNHSHBDU0Y1ZmtkUjZrY0xoWGd2bWtTbVNfZWRqYTNMdnNuZ01idUdUajFZQUR3ZF8ySE1Ja3JyMjJCOEdCb2kzZVdhRE5HRTk4QXBxbGlEclNQaXV5QTZUbTZlNkVkOTA3M1hTanBoenZxMmhVTGhER0VTQQ?oc=5