1e Rencontre Parlementaire Cybersécurité et milieu maritime

© @CyberCercle.

Grâce à Nicolas Caproni (@ncaproni), Eric Egea (@eric_egea) et le Cyber cercle (@CyberCercle), la troisième rencontre parlementaire sur la cybersécurité, consacrée à la "marétique", pouvait être suivie depuis Twitter alors qu'elle se déroulait à Paris (Maison de la chimie).

Le propos qui va suivre n'est qu'une reprise augmentée (de ma seule responsabilité) des tweets (tous disponibles sur @FauteuilColbert, dans le module sur votre droite depuis cette page ou sur Twitter via #RPCybermaritime) de ces trois personnes. Merci à elle de nous permettre de suivre la conférence donnée depuis partout dans le monde.

Au passage, nous observons que le réseau social dans ce cas précis permet de décupler un auditoire physique de 100 ou 200 personnes.

La cybersécurité des bateaux : des enjeux majeurs

La première table ronde était conduite sous la présidence du vice-amiral Coustillière. Il évoquait une prise de conscience du milieu maritime face aux risques inhérent au cyberespace.

L'un des enjeux pour les armateurs est la protection des systèmes à terre. En mer, un autre enjeu primordial est la possibilité de faire dévier de sa route un navire via une cyberattaque. Ce qui invite à revenir sur la question de la certification des logiciels dans le monde maritime civil. Contrairement au monde aérien, il n'existe pas encore d'assurance qualité de ces logiciels.

Les navires comme les infrastructures à terre fonctionnement sous les systèmes d'exploitation Windows ou Linux. Des OS qui ne sont pas durcis. Les spécialistes du secteur n'ont de cesse de répéter des OS bénéficient de réputation sans commune mesure avec leur niveau de sécurité réel. Et de rappeler que certaines technologies sont fiables, bien qu'anciennes : un télex ne subit pas de cyberattaque !

La cybersécurité des navires est ainsi devenu un enjeu qui doit être pris en comtpe dès la conception et la construction du navire. Une mauvaise architecture des logiciels, des réseaux ou une absence de certification peut conduire à des vulnérabilités critiques. Par exemple, les codes open source sont réutilisés sans être audité. Le noeud le plus critique dans la configuration actuelle est l'interconnexion de tous ces systèmes.

La table ronde évoquait également le risque de la dépendance des équipages aux systèmes de navigation sophistiqués. Elle conduisait l'auditoire à prendre en considération un nouveau risque où un navire, incapable de fonctionner en mode dégradé, suite à une attaque ou une avarie, ne pourrait plus être manoeuvré. Les moyens mécaniques de secours disparaissent. Une panne informatique peut aujourd'hui bloquer un bateau. L'humain est toujours la cheville ouvrière dans ces situations. Ce dernier peut-il se passer aujourd'hui des systèmes informatiques à bord ? Nos intervenants de répondre que non. 

Faits qui ne manqueront pas de relancer le débat dans la dialectique entre les normes militaires et civiles, les secondes s'appliquant de plus en plus souvent à une partie des flottes militaires.

Plus que la panne informatique, il est aussi question de la cyberattaque. La Marine nationale, par exemple, utilise des logiciels SCADA, presque identiques à ceux visés par Stuxnet. Rappelons que cette catégorie de logiciels apparaît dans tous les secteurs industriels, aussi bien les installations et équipement des navires militaires et civils que dans toutes les industries. En 1983, un gazoduc soviétique explosait, vraissemblablement, suite à une malfaçon placée au sein d'un logiciel de type SCADA. Stuxnet visait la même logique mais à l'échelle d'une usine d'enrichissement d'uranium. Le degré de complexité est sans commune mesure en une trentaine d'années.

La Marine nationale, par la voix du capitaine de corvette Malbec, présentait ses actions en matière de marétique. La Royale émet des certifications cyber avant d'autoriser un navire à naviguer.

Entre parenthèses, la Marine nationale communiquait sur ce point à propos du programme FREMM où la problématique semble avoir été prise en compte dès la conception.

La DGA de faire savoir que des simulations de cyberattaques sont menées pour tester les systèmes mais cela n'écarte pas les risques inhérent aux cyberattaques d'opportunités. Considérations qui nous renvoie aux réflexions actuelles sur le nécessaire développement d'une capacité de réponse face à une intrusion dans les systèmes.

Enfin, nos intervenants concluaient cette table ronde en affirmant que le niveau le plus pertinent pour lutter contre la cybercriminalité est l'international. Notamment pour unifier et concerter la réponse des armateurs face à ces menaces.

La cybersécurité des infrastructures portuaires : une dimension fondamentale de sécurité 

Succédant au vice-amiral Coustillière, le directeur général de l'ANSSI, Guillaume Poupard, venait présider la seconde table ronde dédiée aux infrastructures portuaires. Deux ports civils (Marseille et le Havre) et les bases navales par la voie de la Marine présentaient ces questions.

Le port de Marseille insistait sur la nécessité d'identifier les systèmes critiques interconnectés puis leur vulnérabilité. Toutefois, le représent du grand port du Levant ne pouvait que revenir sur cette vulnérabilité humaine des systèmes d'informations et de commandement. Une négligence du personnel peut conduire à fragiliser toute l'architecture de sécurité. C'est pourquoi des solutions d'analyse comportementales sont utilisées sur les portes de travail.

Le port du Havre mettait en avant l'omniprésence de l'informatique dans les infrastructures portuaires. C'est pourquoi la cybersécurité est intégrée en amont des projets informatiques.

Deux questions transversales aux ports civils étaient posés. D'un côté, une des personnes qui suivait la conférence remarquait que la question des bornes wifi dans les ports est aussi une source potentielle de vulnérabilités. Elles peuvent potentiellement donner accès aux systèmes d'information du port. Les navigants s'y connectent régulièrement tant avec leurs moyens professionnels que personnels. Pirater les systèmes du port est une porte ouverte aux cyberattaques d'altération et d'infiltration mais aussi de destruction. Ensuite, le PDG de Securymind demandait qui est propriétaire de l'information, ce qui revient à demander qui doit la protéger ? Une matérialisation des cyberattaques pouvant toucher un port est l'exemple récent du port d'Anvers, l'un des premiers ports européens et du monde.

Le capitaine de vaisseau de Foucauld commençait son intervention en rappelant que la Royale ne part pas de zéro sur ces questions. L'habitude de la protection du secret initiait une culture de protection et de gestion de l'information qui n'est pas sans rapport avec la marétique. La Marine investit sur la sensibilité et la formation à la cyberdéfense. L'hygiène numérique concerne tous les militaires !

Les enjeux ne sont pas les mêmes entre les ports militaires et civils. Ils sont différents par la nature des activités qui s'y déroulent. Cela se traduit par des flux différents tant en nature qu'en rythme. Dans un port militaire, beaucoup d'opérations de maintenance nécessitent l'emploi des systèmes informatiques, ils constituent dès facto une cible. L'un des principaux enjeux réside dans la nécessaire cartographie des systèmes équipant les ports et les navires. L'attention doit aussi se porter sur l'interface navires/port.

Reprenant le large, l'officier d'avancer que plus jamais de bateaux seront lancés sans dispositif de cybersécurité, peu importe le coût !  Aussi, le CV de Foucaud de s'inquiéter à propos du système AIS qui n'est absolmument pas sécurisé. Le système LRIT peut être un palliatif mais il a un coût. 

L'ANSSI s'exprimait au cours de cette table ronde. L'agence ne pouvait pas faire l'économie de la citation de l'article 22 de la loi de programmation militaire qui lui donne de nouvelles responsabilités et prérogatives dans la protection des Opérateurs d'Importance Vitale (OIV). Nouveauté qui aide l'ANSSI à harmoniser les systèmes et les pratiques. Une liste comptabilise 218 opérateurs, son contenu est secret. Peut être quelques infrastructures portuaires ou quelques navires peuvent être concernés. L'ANSSI partageait son expérience, notamment sur des cas où des infrastructures portuaires servaient de relais pour des cyberattaques. Elles étaient victimes mais à titre collatéral. L'autre volet concerne aussi la nécessaire émergence d'un tissu industriel de confiance pour répondre à une partie des vulnérabilités identifiés, notamment au cours des deux tables rondes. La sécurité des systèmes d'informations et de commandement a un coût, les investissements doivent se faire dans cette voie. Et ils doivent être réalisés intelligemment car un logicel de sécurité mal utilisé n'est plus un investissement mais un coût.