Combler le manque de preuves avant qu’un régulateur ne le découvre
Les opérateurs du secteur public responsables d’infrastructures critiques, des services publics, des transports ou de l’eau, doivent aujourd’hui répondre à la fois à des obligations de résilience physique et à des exigences en matière de cybersécurité. Un opérateur suffisamment important pour être classé comme infrastructure critique est, dans de nombreux pays, également soumis aux exigences de cybersécurité applicables aux entités essentielles. Le volet physique reçoit une attention proportionnée, car il produit des preuves visibles et vérifiables. Le volet cyber, lui, accuse souvent un retard.
Demandez à un service public si ses systèmes sont sécurisés, la réponse sera presque toujours oui. Demandez-lui de le prouver, avec des enregistrements plutôt qu’avec des assurances, et la confiance s’effrite rapidement. Cet article explique pourquoi l’écart de preuves côté cybersécurité est si courant dans les infrastructures critiques du secteur public, et ce qu’il faut réellement pour le combler.
Résumé
Les opérateurs du secteur public classés comme infrastructures critiques font face à un périmètre de conformité élargi : la résilience physique s’ajoute à des obligations de cybersécurité qui s’appliquent parce que le même opérateur est aussi une entité essentielle. Le volet cyber est souvent à la traîne, car il exige des preuves continues et interrogeables sur les accès aux données, bien plus difficiles à produire a posteriori. Pour les responsables IT et conformité, la priorité consiste à combler cet écart de preuves sur le volet où l’investissement est le plus facile à négliger, précisément parce que l’échec y reste invisible jusqu’à ce qu’un incident ou un régulateur le rende visible.
Résumé des points clés
- Les infrastructures critiques du secteur public sont désormais soumises simultanément à des obligations physiques et cyber.
- La résilience physique est facile à démontrer car elle est visible. La résilience cyber n’a pas d’équivalent : il n’existe pas de visite de site permettant de vérifier les contrôles d’accès.
- Faire confiance à la résilience cyber sans preuve relève de la supposition, pas de la démonstration. Une agence incapable de fournir un relevé précis des accès repose sur l’absence d’incident plutôt que sur un contrôle avéré.
- Les régulateurs attendent de plus en plus des preuves continues, et non une évaluation ponctuelle. Un rapport de risques déposé une fois ne répond pas aux questions d’une autorité de contrôle après un incident réel.
- Les preuves exigées des agences sont les mêmes que celles requises de toutes les entités essentielles, mais sous un contrôle renforcé en raison de l’intérêt public en jeu.
Pourquoi les opérateurs du secteur public font-ils face à la fois à des obligations physiques et cyber
Les opérateurs classés comme infrastructures critiques constatent de plus en plus que leur statut déclenche deux ensembles d’obligations distincts et parallèles, et non un seul.
La résilience physique et la résilience cyber sont régulées comme des obligations distinctes
Les cadres de résilience physique portent sur la continuité des services essentiels face aux catastrophes, sabotages et perturbations physiques : enregistrement, évaluations d’impact, mesures de protection du site. Les obligations de cybersécurité s’intéressent à d’autres risques : déclaration d’incidents, gestion des risques des systèmes d’information, preuves des mesures techniques de sécurité. Une agence peut satisfaire l’un de ces volets et rester exposée sur l’autre.
Le niveau d’exigence augmente plus vite que les pratiques de preuve des agences
À mesure que la coordination entre autorités de contrôle physique et cyber progresse, on attend des agences non seulement qu’elles disposent de contrôles, mais aussi qu’elles puissent fournir un relevé précis, horodaté, de la façon dont ces contrôles ont fonctionné lors d’un événement. Beaucoup ont bâti leurs pratiques de preuve pour un niveau d’exigence inférieur.
Pourquoi la preuve physique est facile et la preuve cyber difficile
L’asymétrie entre ces deux obligations tient à la nature des preuves : l’une se produit naturellement, l’autre exige une conception délibérée pour exister.
On peut faire le tour du périmètre, mais pas du journal d’accès
Une mesure de sécurité physique peut être vérifiée directement par un inspecteur sur place. Pour savoir si l’accès aux systèmes opérationnels a réellement été contrôlé, surveillé et journalisé comme annoncé, il faut examiner les enregistrements, qui n’existent que si les systèmes ont été conçus pour les collecter en continu.
L’absence d’incident n’est pas une preuve de contrôle
De nombreuses agences considèrent discrètement que l’absence d’incident vaut preuve de contrôle. Cette illusion s’effondre dès qu’un incident survient ou qu’une enquête réglementaire est lancée.
Ce qu’il faut réellement pour combler l’écart de preuves cyber
Combler cet écart consiste à veiller à ce que les systèmes traitant des données opérationnelles sensibles génèrent effectivement les preuves que la politique prétend exister.
Journalisation continue sur chaque système manipulant des données sensibles
Une journalisation continue et exhaustive sur chaque canal traitant des données opérationnelles permet, en cas d’incident, de retrouver les enregistrements au lieu de devoir reconstituer les faits à partir d’hypothèses.
Les preuves doivent être prêtes avant la demande du régulateur, pas après
Une autorité de contrôle qui enquête sur un incident posera des questions précises : quelles données ont été consultées, par qui, avec quelle autorisation, et quels contrôles étaient en place. Une agence capable de répondre immédiatement se trouve dans une position radicalement différente de celle qui doit expliquer pourquoi les enregistrements n’existent pas.
Constituer la base de preuves avant qu’elle ne soit nécessaire
La priorité pour un opérateur du secteur public est d’auditer le volet cyber de ses obligations avec la même rigueur que pour la résilience physique : s’assurer que la journalisation est continue et exhaustive, qu’elle peut être interrogée rapidement, et qu’elle satisferait effectivement une autorité de contrôle exigeant des détails précis.
Comment un Data Control Plane fournit les preuves attendues par les agences
Le Data Control Plane de Kiteworks applique des contrôles zero-trust orientés données à chaque action sur chaque canal et enregistre chacune d’elles dans un journal d’audit infalsifiable et non limité qui s’intègre directement aux outils SIEM, offrant ainsi aux agences un historique continu et interrogeable de ce qui est arrivé aux données sensibles, quand, et sous quelle autorisation. Un déploiement à locataire unique, sur site, dans un cloud autohébergé ou en instance dédiée hébergée, garantit que cette base de preuves reste sous le contrôle exclusif de l’agence.
Les agences qui souhaitent tester leurs pratiques de preuve cyber peuvent réserver une démo personnalisée pour découvrir comment la journalisation continue et multi-canal s’applique à leur environnement d’infrastructure critique.
Questions fréquentes
Les opérateurs désignés comme infrastructures critiques sont soumis à deux ensembles d’obligations parallèles : des cadres de résilience physique axés sur la continuité face aux catastrophes et sabotages, et des exigences de cybersécurité en tant qu’entités essentielles couvrant la déclaration d’incidents, la gestion des risques et la preuve des contrôles techniques.
Les mesures physiques peuvent être vérifiées directement par des inspecteurs sur site, tandis que les contrôles d’accès et la gestion des données côté cyber ne peuvent être confirmés qu’au travers d’enregistrements continus et horodatés, qui doivent être intégrés délibérément dans les systèmes pour exister.
Cette approche s’effondre lors d’un incident ou d’une enquête réglementaire, car les agences ne peuvent alors pas fournir un relevé précis des accès aux données et des autorisations, ce qui les prive de toute preuve de contrôle effectif.
En mettant en place une journalisation continue sur tous les systèmes traitant des données sensibles, en veillant à ce que les enregistrements soient interrogeables et disponibles à l’avance, et en utilisant des solutions comme un Data Control Plane qui capture des journaux d’audit infalsifiables de chaque action pour une récupération immédiate.