Cybersécurité et énergie : le défi du maintien de la sécurité énergétique

Perte de connexion d’un réseau éolien et solaire dans l’Utah en 2019, paralysie de l’oléoduc américain Colonial Pipeline en 2021… Les infrastructures énergétiques sont une cible critique des pirates informatiques. Ce risque cyber met en péril la sécurité énergétique des nations à travers le monde. Les acteurs du secteur de l’énergie commencent à prendre la mesure de la menace, mais de nombreux challenges restent à relever en matière de cybersécurité. Faisons le point.

Sécurité énergétique : de quoi parle-t-on ? 

Pour un État, la sécurité énergétique consiste à assurer l’approvisionnement de sa population et de ses infrastructures en énergie, de façon fiable et constante, le tout à un prix accessible. Ainsi, la politique énergétique française « assure la sécurité d’approvisionnement et réduit la dépendance aux importations », conformément à l’article L100-1 du Code de l’énergie. 

L’approvisionnement de chacune des sources d’énergie revêt des enjeux spécifiques et primordiaux, qu’il s’agisse de l’électricité, du gaz, des produits pétroliers, de la biomasse ou encore de l’uranium. Par exemple, garantir la sécurité du système électrique permet de prémunir la France contre les risques de coupure de courant ou de panne généralisée. 

Pour ce qui est du gaz naturel, le défi est double. Dans un premier temps, il s’agit de pouvoir répondre à la demande nationale d’énergie lors d’hivers rigoureux ou de soudaines et fortes baisses des températures. Le deuxième volet consiste à diversifier les approvisionnements en gaz pour limiter la vulnérabilité du pays en cas de perturbations. La guerre en Ukraine a ainsi accentué la volonté de l’Europe et de la France de réduire leur dépendance au gaz russe. Le plan REPowerEU, mis en place suite au début du conflit, souligne également le rôle des énergies renouvelables dans la sécurité d’approvisionnement. 

Cybersécurité et secteur de l’énergie : quels enjeux ? 

Systèmes gaziers, réseaux électriques, dispositifs éoliens… Le domaine de l’énergie est constitué d’infrastructures vitales qui assurent le fonctionnement de services importants. Une rupture prolongée de l’approvisionnement en électricité, entre autres, aurait un effet domino sur d’autres secteurs comme la santé, les transports ou les communications. Le pays entier serait affecté et pourrait même se retrouver à l’arrêt. 

Logiquement, ces installations primordiales représentent donc une cible de choix pour les pirates informatiques. Dans son rapport annuel X-Force Threat Intelligence Index, IBM Security indique que l’énergie a été le 4^e secteur le plus touché par les cyberattaques dans le monde en 2021. L’Amérique du Nord concentre presque un tiers de ces agressions, tandis que l’Europe figure en 2^e position. 

Les installations énergétiques ont été victimes d’attaques par rançongiciel ou ransomware (25 % des offensives), mais aussi par : 

• Cheval de Troie d’accès à distance ou remote access Trojan (RAT),
• Déni de service distribué (DDoS),
• Compromission de messagerie d’entreprise (BEC). 

Le phishing est le principal vecteur d’infection utilisé afin d’accéder aux réseaux des acteurs de l’énergie. Il est utilisé pour 60 % des cyberattaques. L’exploitation des vulnérabilités constitue la deuxième méthode d’infiltration des hackers et hackeuses. 

Pourquoi la transition énergétique accentue-t-elle la menace cyber ?

Avec le développement des énergies renouvelables, l’industrie énergétique doit s’adapter pour  : 

• L’équilibrage de plus en plus complexe du réseau électrique, 
• Le besoin plus important de flexibilité, 
• Le pilotage intelligent de la consommation d’énergie, 
• L’essor des équipements de l’internet industriel des objets (IIOT), 
• Les nouvelles technologies.

La transition énergétique s’accompagne d’une transformation numérique au cœur du secteur de l’énergie. Conséquence : la connectivité augmente, le volume de données explose, et la cybermenace monte en flèche. 

Ce revers de la médaille, les professionnelles et professionnels de l’énergie l’ont bien compris. En effet, la cybersécurité fait partie des 3 principaux risques d’entreprise, pour 36 % des personnes interrogées dans le cadre de l’enquête Energy Cyber Priority 2023, menée par DNV. En outre, plus de deux tiers d’entre elles accordent à la cybersécurité autant d’importance qu’à la santé et à la sécurité physique. 

Quels sont les challenges à venir pour l’industrie énergétique en matière de cybersécurité ? 

La cybersécurité semble désormais au cœur des priorités du secteur de l’énergie. Mais l’enjeu est de taille, et malgré une réelle prise de conscience, les actions restent insuffisantes. 

 Alors que les compagnies d’énergie ont conscience de l’augmentation des risques liés à la cybersécurité, certains acteurs du secteur estiment qu’ils ne seront pas spécifiquement ciblés par une attaque et ne dédient pas les ressources et le budget suffisants à leur protection.

Jalal Bouhdada, directeur du département de cybersécurité mondiale chez DNV

DNV identifie trois défis majeurs au regard des réponses récoltées dans son étude : 

• Les investissements sont insuffisants pour sécuriser les technologies d’exploitation (OT), et assurer la résilience des infrastructures. 
• Le manque de compétences en matière de cybersécurité s’intensifie au sein des organisations. 
• Les difficultés de communication et de collaboration entre les expertes et experts en cybersécurité et les équipes opérationnelles constituent un obstacle supplémentaire.