Intégration sécurisée des technologies émergentes

Les technologies émergentes fournissent aux planificateurs de réseaux, aux opérateurs et aux ingénieurs des cas d'utilisation qui peuvent réduire les coûts, augmenter les performances, améliorer la fiabilité et potentiellement offrir de nombreux autres avantages. Le réseau électrique est un réseau d'éléments étroitement couplés comme les centrales électriques, les postes électriques, les stations de distribution de charge, les centres de contrôle et les réseaux de communications. En outre, chaque entité possède des réseaux informatiques d'entreprise, des prestataires, des fournisseurs, des fabricants d'équipements, des sous-traitants,des consultants, et d'autres systèmes en place pour que le réseau électrique fonctionne efficacement. L'introduction de technologies émergentes peut apporter des avantages ; toutefois, un cadre d'évaluation est nécessaire pour permettre aux entités d'évaluer les risques potentiels pour la sécurité qui sont associés à l'adoption de la nouvelle technologie. Il existe des cadres liés à l'évaluation des technologies émergentes, comme le SCORE (System, Component, and Operationally-Relevant Evaluations - Systèmes, composants et évaluations opérationnelles pertinentes) du NIST (National Institute of Standards and Technology). Cependant, il semble y avoir un vide pour le secteur de l'électricité concernant la façon dont les services publics et l'écosystème de l'électricité peuvent évaluer les technologies émergentes introduites dans cet espace.  

Cette section comble ce vide en présentant un cadre qui peut être utilisé par n'importe quelle entité (services publics, propriétaires de générateurs, opérateurs de systèmes indépendants, autorités de réglementation et comités de l'industrie) pour évaluer les risques potentiels des technologies émergentes. L'objectif est que l'utilisation de ce type de cadre puisse aider les entités à évaluer efficacement et uniformément ces risques et les pondérer par rapport aux avantages possibles. 

Le cadre d'évaluation présenté ici, appelé Cadre d'attaque ICS pour l'évaluation des technologies émergentes, se concentre sur l'inclusion du cyberrisque dans le processus et peut aider un programme mature à prendre des décisions concernant les réponses nécessaires en fonction des résultats de l'évaluation. Le processus d'évaluation comprend les étapes suivantes : 

• Application prévue 
• Évaluation des risques liés à la cybersécurité et considérations 
• Échelle de déploiement et d'adoption 
• Diversité des vecteurs d'attaque 
• Résultat de l'évaluation

La propriété est l'un des plus grands défis en matière de gestion des risques des technologies émergentes. Bon nombre de ces technologies couvrent des frontières au sein d'une organisation, des sous-secteurs de l'industrie de l'électricité et même des limites juridictionnelles. La propriété partagée pose des défis en matière de normalisation, d'établissement de processus et de procédures clairs et de sécurisation de ces technologies de bout en bout. La propriété est partagée entre les développeurs de technologies, les clients qui les mettent en œuvre et les organismes de réglementation. Tous jouent un rôle clé dans la mise en place d'une solide posture de sécurité pour le réseau électrique. Par conséquent, ces risques émergents qui couvrent les limites ne peuvent pas être négligés ou ignorés. La maturation du cadre d'attaque ICS présenté ici, et la responsabilité de la mise en œuvre un tel cadre plus généralement, est essentiel pour l'industrie de l'électricité.

Le Cadre d'attaque ICS est conçu pour s'adapter à toute organisation, tout groupe industriel, organisme de réglementation ou autre entité fonctionnelle cherchant à évaluer les impacts sur la sécurité d'une technologie émergente. Chacune des étapes du cadre d'évaluation comprend une liste non exhaustive de questions à poser pour initier une conversation ou générer des idées au sein d'une organisation. Les listes de questions ne sont en aucun cas exhaustives ; elles devraient plutôt susciter des discussions et une coordination au sein d'une organisation ou entre les organisations pour aborder chaque étape du processus d'évaluation. 

Application prévue

La première étape de l'évaluation d'une technologie émergente consiste à déterminer la ou les applications prévues de cette technologie. La définition claire de la manière dont la technologie sera utilisée sur le plan opérationnel aidera à déterminer le niveau de cyberexigences qui devrait lui être imposé. Les technologies émergentes peuvent être utilisées de façons très différentes, elles diffèrent selon les entités en fonction de leur niveau de tolérance au risque, selon les domaines du secteur de l'énergie en fonction de leur capacité à financer de nouveaux projets et à explorer l'efficacité des améliorations et de nombreux autres facteurs. Par exemple, la technologie d'informatique du nuage peut être utilisée pour stocker des informations sur les cybersystème dans le nuage ou pour exécuter des fonctions opérationnelles du système de base dans l'environnement en temps réel. L'identification claire de l'application prévue de toute nouvelle technologie est une première étape essentielle dans ce cadre.  

Évaluation des risques liés à la cybersécurité et considérations

Une fois que l'application prévue et les technologies associées sont bien comprises et que l'étendue des micro et macro-systèmes impliqués a été bien définie, les cyberrisques peuvent être évalués. 

L'évaluation des cyber-risques potentiels associés à une technologie émergente devrait porter sur l'ensemble du cycle de vie, en commençant par la chaîne d'approvisionnement. La compromission de la chaîne d'approvisionnement au niveau de l'application ou de la technologie peut être due à un certain nombre de facteurs, tels que des développeurs malveillants, des bibliothèques de code tierces, des processus de tests de sécurité insuffisants ou des référentiels de correctifs de mise à jour compromis. Les audits apparaissent comme une forme commune d'évaluation de la sécurité des chaînes d'approvisionnement. 

Échelle de déploiement et/ou d'adoption

Avec une image claire de l'application prévue, des micro-systèmes et macro-systèmes concernés et des risques informatiques potentiels identifiés, le Cadre d'attaque ICS examine ensuite l'ampleur du déploiement et/ou de l'adoption. Comprendre l'ampleur du déploiement et/ou de l'adoption aide à déterminer l'ampleur de l'impact qu'une technologie émergente compromise ou exploitée pourrait présenter pour le micro-système et le macro-système. Un déploiement et/ou une adoption à grande échelle augmentent l'impact et l'attrait d'une attaque. L'analyse de l'effet domino potentiel est essentielle pour comprendre le rôle qu'une technologie émergente pourrait jouer sur le réseau de production-transport d'électricité. Au niveau micro, les conséquences d'une exploitation peuvent sembler faibles, par exemple la perte d'une seule charge ou la perte de visibilité sur un seul actif. Cependant, l'impact simultané peut entraîner une instabilité de fréquence dans une zone étendue, des dommages importants à l'équipement, etc.

Diversité des vecteurs d'attaque

La dernière phase consiste à examiner la diversité du vecteur d'attaque pour une technologie émergente spécifique. La probabilité d'une attaque est subjectivement liée à la facilité d'exécution et à l'attrait, alors que la diversité des vecteurs d'attaque est liée à la difficulté d'exécuter une attaque qui réalise l'impact à grande échelle. Il s'agit de mener une analyse afin de déterminer si la majorité des déploiements d'une technologie émergente partagent un mode commun de défaillance. Cette situation peut être due au nombre limité de fabricants, à l'utilisation d'un protocole de communication commun, à la normalisation de la base de code des composants, etc. Lorsqu'une technologie émergente présente une diversité très limitée d'architectures ou de conceptions de déploiement, l'analyse au micro-niveau peut ne pas mettre en évidence un risque majeur, alors que l'impact potentiel au macro-niveau sur le réseau de production-transport d'électricité est considérablement accru. Les exemples les plus courants incluent des technologies comme les appareils intelligents, les véhicules électriques et les ressources énergétiques distribuées, où un nombre limité de fabricants, des protocoles normalisés et une connectivité ou un contrôle à distance pourraient nécessiter une réglementation pour atténuer les risques.

Résultats de l'évaluation du cadre

Le résultat de cette évaluation fournit une visibilité sur l'ampleur de l'impact potentiel sur le système, les vecteurs de menace possibles et les critères d'évaluation qui permettront de mesurer la performance et la valeur que les technologies émergentes pourraient fournir. L'objectif est d'inclure des contrôles de sécurité sous la forme de fonctionnalités intégrées au niveau des composants ou d'inclure des contrôles de sécurité compensateurs au niveau du système de la manière la plus simple et la plus économique.

Les technologies émergentes sont essentielles pour rendre le réseau de production-transport d'électricité plus sûr, plus fiable et plus économique. L'innovation doit être encouragée et le Cadre d'attaque ICS permet aux opérateurs d'infrastructure critique de mieux comprendre les risques liés à la cybersécurité et d'intégrer de manière responsable des améliorations au système. Une réglementation ne devrait être nécessaire que lorsque la responsabilité de l'atténuation du risque ne peut être équilibrée entre les fournisseurs et les consommateurs. 

La recherche effectuée à travers de ce processus sur toute technologie émergente guidera la prochaine phase, à savoir les tests au niveau des composants et du système. L'évaluation de la technologie émergente dans un environnement hors production (laboratoire) et de production fournit des métriques et des retours d'information de la part des participants aux tests pour faire progresser l'évaluation. 

• Quels sont les impacts potentiels de la technologie émergente sur une organisation ? 
• Quels sont les contrôles de sécurité compensatoires qui pourraient être mis en place pour atténuer les risques de sécurité associés à l'adoption de la technologie émergente ? 
• Existe-t-il des normes, des exigences ou des considérations réglementaires qui doivent être respectées pour assurer l'adoption de la technologie ? 
• Quels types de tests ou de certification sont nécessaires pour garantir l'adoption sécurisée de la technologie ?