Des cyberattaques ont touché les systèmes d’eau et d’assainissement d’au moins sept États américains, dont plus de 30 réseaux compromis dans le seul Minnesota. Shane Barney, Chief Information Security Officer de Keeper Security, alerte sur le fait que ces incidents ne révèlent pas un mode opératoire sophistiqué, mais bien des années de sous-investissement dans la sécurisation des environnements de technologie opérationnelle (OT). Selon lui, cette faille est aujourd’hui activement exploitée par des attaquants qui savent que les contrôles d’accès et la gestion des identifiants restent le point faible de ces infrastructures critiques.
« Les réseaux d’eau et d’assainissement ont toujours constitué des cibles de choix pour les adversaires, car le potentiel de perturbation est élevé et les barrières à l’entrée ont toujours été faibles. Le fait que plus de 30 réseaux d’eau aient été compromis dans un seul État – avec des attaques dans six autres – n’est pas un signe avant-coureur. C’est un échec qui s’est déjà produit.
La dure réalité est que les opérateurs d’infrastructures critiques accusent un retard en matière de cybersécurité depuis des années. Les contraintes budgétaires, le vieillissement des infrastructures et les priorités opérationnelles concurrentes sont des facteurs réels, mais ils ne modifient en rien le calcul des risques. Les environnements de technologie opérationnelle (OT) ont été insuffisamment surveillés et protégés, tandis que le reste de l’informatique d’entreprise s’est orienté vers des modèles de sécurité axés sur l’identité. Les attaquants savent que cette faille existe, et ils l’exploitent activement.
La plupart des intrusions réussies dans les environnements OT ont les mêmes causes profondes : des identifiants compromis, un compte privilégié non géré ou une voie d’accès à distance dotée de contrôles inadéquats. Il ne s’agit pas d’un schéma d’attaque sophistiqué, mais d’un problème de contrôle d’accès. Les principes de Zero Trust, la gestion des accès privilégiés (PAM) et une gestion rigoureuse des identifiants y remédient directement, et aucune de ces solutions ne nécessite un budget de sécurité à l’échelle de l’entreprise pour être mise en œuvre.
Des programmes de financement tels que le programme de subventions pour la cybersécurité des États et des collectivités locales de la CISA (CISA’s State and Local Cybersecurity Grant Program) et l’engagement de 9 millions de dollars de l’État de New York en faveur de la sécurité des réseaux d’approvisionnement en eau constituent des pas dans la bonne direction. Mais les subventions à elles seules ne suffisent pas à combler cette lacune. Les opérateurs ont besoin d’exigences de base contraignantes, ainsi que des ressources nécessaires pour y répondre. Sans ces deux éléments, le financement aide ceux qui sont disposés à agir et laisse tous les autres exposés aux risques. »