Les opérateurs industriels font face à un problème de preuves numériques que la sécurité physique ne peut pas résoudre
Les opérateurs industriels classés comme infrastructures critiques doivent de plus en plus répondre à la fois à des obligations de résilience physique et à des exigences en cybersécurité. Un opérateur suffisamment important pour être désigné comme infrastructure critique est, dans de nombreux pays, également soumis aux exigences de cybersécurité applicables aux entités essentielles. La partie physique reçoit une attention proportionnée, car elle génère des preuves visibles et vérifiables. La cybersécurité, elle, reste souvent à la traîne.
Demandez à un opérateur industriel si ses systèmes sont sécurisés : la réponse sera presque toujours oui. Demandez-lui de le prouver, avec des enregistrements plutôt qu’une simple affirmation, et la confiance s’effrite rapidement. Cet article explique pourquoi il existe un tel manque de preuves côté cybersécurité chez les opérateurs industriels, et ce qu’il faut réellement faire pour y remédier.
Résumé Exécutif
Les opérateurs industriels classés comme infrastructures critiques voient leur périmètre de conformité s’élargir : ils doivent assurer la résilience physique tout en respectant les obligations de cybersécurité qui s’appliquent parce qu’ils sont aussi considérés comme entités essentielles. La cybersécurité reste souvent en retrait, car les preuves exigées – des journaux d’accès continus et interrogeables – sont difficiles à produire a posteriori. Pour les responsables sécurité et conformité, la priorité consiste à combler ce manque de preuves sur le volet le plus facile à négliger, justement parce que les défaillances y restent invisibles jusqu’à ce qu’un incident ou un régulateur les mette en lumière.
Résumé des points clés
- Les opérateurs industriels classés comme infrastructures critiques ont des obligations physiques et cyber à remplir simultanément.
- La résilience physique est facile à démontrer car elle est visible. La résilience cyber n’a pas d’équivalent : on ne vérifie pas les contrôles d’accès en se promenant dans l’usine.
- Faire confiance à la résilience cyber sans preuve n’est qu’une supposition, pas une démonstration. Un opérateur incapable de fournir précisément qui a accédé à quoi s’appuie sur l’absence d’incident, pas sur un contrôle effectif.
- Les régulateurs attendent de plus en plus des preuves continues, pas une évaluation ponctuelle. Un rapport de risques déposé une seule fois ne répond pas aux questions d’une autorité après un incident réel.
- Les preuves attendues des opérateurs industriels sont les mêmes que pour toute entité essentielle, mais sous une surveillance accrue.
Pourquoi les opérateurs industriels doivent désormais répondre à des obligations physiques et cyber
Les opérateurs considérés comme infrastructures critiques découvrent que leur statut déclenche deux ensembles d’obligations distincts et parallèles, et non un seul.
La résilience physique et la résilience cyber sont des obligations distinctes et réglementées
Les cadres de résilience physique portent sur la continuité des services essentiels face aux catastrophes, au sabotage et aux perturbations physiques : enregistrement, analyses d’impact, mesures de protection du site. Les obligations de cybersécurité couvrent d’autres risques : déclaration d’incidents, gestion des risques des systèmes d’information, et preuves de mesures techniques de sécurité. Un opérateur peut être conforme sur un aspect et rester exposé sur l’autre.
La surveillance progresse plus vite que les pratiques de preuve des opérateurs
À mesure que les seuils de désignation intègrent plus d’opérateurs industriels et que la coordination entre autorités de contrôle physique et cyber s’intensifie, on attend des opérateurs non seulement qu’ils aient des contrôles, mais aussi qu’ils soient capables de produire un historique précis et horodaté de leur efficacité lors d’un incident.
Pourquoi la preuve physique est facile et la preuve cyber difficile
L’asymétrie entre ces deux obligations tient à la capacité naturelle de l’une à générer des preuves, quand l’autre exige une conception délibérée pour en produire.
On peut inspecter le périmètre, pas le journal d’accès
Une mesure de sécurité physique peut être vérifiée directement par un inspecteur. Savoir si l’accès aux systèmes d’ingénierie et d’exploitation a réellement été contrôlé, surveillé et journalisé comme annoncé ne peut se vérifier qu’en consultant des enregistrements – lesquels n’existent que si les systèmes ont été conçus pour les collecter en continu.
L’absence d’incident ne prouve pas le contrôle
Beaucoup d’opérateurs considèrent discrètement que l’absence de problème vaut preuve de contrôle. Cette illusion vole en éclats dès qu’un incident ou une enquête réglementaire survient.
Ce qu’il faut réellement pour combler le manque de preuves cyber
Combler ce manque suppose de veiller à ce que les systèmes qui traitent les données opérationnelles et d’ingénierie sensibles génèrent effectivement les preuves que la politique prétend fournir.
Journalisation continue sur tous les systèmes manipulant des données sensibles
Une journalisation continue et complète sur tous les canaux traitant les données d’ingénierie permet, lors d’une enquête, de fournir des enregistrements précis plutôt que de devoir reconstituer les faits à partir d’hypothèses.
Les preuves doivent être prêtes avant que le régulateur ne les demande, pas après
Une autorité de contrôle qui enquête sur un incident posera des questions précises : quelles données ont été consultées, par qui, avec quelle autorisation, et quels contrôles étaient en place. Un opérateur capable de répondre immédiatement se trouve dans une situation radicalement différente de celui qui doit expliquer pourquoi les preuves n’existent pas.
Construire une base de preuves avant d’en avoir besoin
La priorité pour un opérateur industriel est d’auditer la cybersécurité avec la même rigueur que la résilience physique : vérifier que la journalisation est continue et complète, qu’elle peut être interrogée rapidement, et qu’elle satisferait réellement une autorité de contrôle exigeant des détails précis.
Comment un Data Control Plane fournit les preuves attendues
Le Data Control Plane de Kiteworks applique des contrôles zero-trust centrés sur la donnée à chaque action sur chaque canal, et consigne chaque opération dans un journal d’audit inviolable et non limité qui s’intègre directement aux outils SIEM, offrant aux opérateurs un historique continu et interrogeable de tout ce qui s’est passé sur les données sensibles, quand, et sous quelle autorisation. Un déploiement à locataire unique, sur site, dans un cloud privé ou en instance hébergée dédiée, garantit que cette base de preuves reste sous le contrôle de l’opérateur.
Les opérateurs souhaitant tester leurs pratiques de preuve cyber peuvent réserver une démo personnalisée pour découvrir comment la journalisation continue et intercanal s’applique à leur environnement d’infrastructure critique.
Questions fréquentes
Les opérateurs considérés comme infrastructures critiques découvrent que leur statut déclenche deux ensembles d’obligations distincts et parallèles : des cadres de résilience physique axés sur la continuité face aux catastrophes et au sabotage, et des obligations de cybersécurité couvrant la déclaration d’incidents, la gestion des risques et la preuve de mesures techniques de sécurité.
Les mesures de sécurité physique peuvent être vérifiées directement par des inspecteurs sur le périmètre ou dans l’usine, tandis que les contrôles cyber comme la journalisation et la surveillance des accès ne peuvent être confirmés que par des enregistrements continus et interrogeables, qui doivent être intégrés dès la conception des systèmes.
Les régulateurs attendent de plus en plus des preuves continues et horodatées des contrôles, plutôt qu’une simple évaluation des risques ou l’absence d’incident, avec des détails précis sur l’accès aux données, l’autorisation et la performance lors d’enquêtes ou après un incident.
Les opérateurs doivent mettre en place une journalisation continue sur tous les systèmes traitant des données sensibles, s’assurer que les enregistrements sont interrogeables et disponibles avant toute demande d’un régulateur, et utiliser des solutions comme un Data Control Plane qui fournit des journaux d’audit inviolables intégrés aux outils SIEM.