Présentation
La North American Electric Reliability Corporation (NERC) est un organisme international de réglementation à but non lucratif qui se consacre à l’établissement de normes de conformité visant à réduire les risques pesant sur le réseau électrique et les systèmes d’alimentation desservant des centaines de millions de personnes aux États-Unis, au Canada et dans une partie du Mexique.
Les exigences NERC relatives à la protection des infrastructures critiques (CIP) expliquent pourquoi un cadre de cybersécurité conçu pour protéger et sécuriser les actifs critiques est essentiel à la fourniture fiable et efficace d’électricité dans l’ensemble du réseau électrique interconnecté nord-américain (BES). Ces normes sont appliquées en tant que réglementations, ce qui en fait une obligation légale.
La Federal Energy Regulatory Commission (FERC) joue un rôle crucial dans l’application de ces normes NERC CIP afin de renforcer la sécurité et la fiabilité du réseau électrique, notamment après d’importantes pannes d’électricité survenues par le passé.
La NERC a signalé une hausse des cybermenaces visant les réseaux électriques nord-américains, indiquant lors d’un webcast que les « points faibles virtuels et physiques des réseaux, ou les points des logiciels ou du matériel susceptibles d’être exploités par des cybercriminels, sont passés à une fourchette de 23 000 à 24 000 ».
Cet article détaille la nature des menaces croissantes qui pèsent sur le réseau électrique. Il examine également comment une gestion des mots de passe de niveau entreprise renforce la résilience de la sécurité dans le secteur de l’énergie, améliore la sécurité des mots de passe et garantit des contrôles d’accès qui limitent les menaces internes et externes conformément aux normes NERC CIP.
Le réseau électrique comme vecteur d’attaque
Le réseau électrique est un élément essentiel de la croissance économique, qui touche à la fois les infrastructures et la sécurité nationale. En termes simples, sans un réseau électrique interconnecté fonctionnel, la société serait paralysée. Cela en fait également une cible particulièrement attrayante pour les cybercriminels.
Une étude récente du Government Accountability Office (GAO) révèle les défis croissants liés à la sécurisation des technologies opérationnelles dans le secteur de l’énergie, en précisant :
« Le système de réseaux électriques des États-Unis présente plusieurs points de vulnérabilité. Par exemple, les systèmes de distribution du réseau — qui acheminent l’électricité des systèmes de transport vers les consommateurs — sont devenus plus vulnérables, notamment parce que leurs technologies opérationnelles permettent de plus en plus l’accès à distance et les connexions aux réseaux d’entreprise. Cela pourrait permettre à des acteurs malveillants d’accéder à ces systèmes et potentiellement de perturber les opérations.
Selon l’évaluation annuelle des menaces 2022 du Director of National Intelligence, les États et les groupes criminels représentent les cybermenaces les plus importantes pour les infrastructures critiques des États-Unis. Ces acteurs malveillants sont de plus en plus capables d’attaquer le réseau. »
Les attaques récentes contre le réseau électrique exploitent des vulnérabilités physiques et de cybersécurité. La NERC a qualifié les cybermenaces de « plus difficiles à quantifier directement ». Comme indiqué ci-dessus, les failles de sécurité du système électrique ont augmenté, entraînant en moyenne 60 cyberattaques supplémentaires par jour.
Décryptage des normes NERC CIP pour la protection des infrastructures critiques
Il existe 13 exigences NERC CIP applicables aux entreprises du réseau électrique :
Catégorisation des cybersystèmes BES : impose aux organisations d’identifier les actifs susceptibles de compromettre le BES dans son ensemble en cas de cyberattaque, puis de les catégoriser et de les sécuriser en conséquence. Cela comprend l’identification et la sécurisation des « cyberactifs BES » et des « cyberactifs critiques » afin d’assurer le fonctionnement fiable du BES.
Contrôles de gestion de la sécurité : les organisations doivent mettre en œuvre des contrôles de gestion de la sécurité, comme la formation du personnel et le signalement des incidents de sécurité, qui protègent les cybersystèmes BES contre toute compromission.
Personnel et formation : les personnes accédant aux cybersystèmes BES doivent faire l’objet d’une évaluation des risques et être formées à la sensibilisation à la sécurité.
Périmètres de sécurité électroniques : les organisations doivent définir puis protéger les périmètres de sécurité électroniques (ESP) qui protègent les actifs BES.
Sécurité physique des cybersystèmes BES : les équipes doivent disposer d’un plan de sécurité physique pour protéger les cybersystèmes BES contre toute compromission.
Gestion de la sécurité des systèmes : cette norme précise les exigences techniques, opérationnelles et procédurales nécessaires à la protection de la cyberinfrastructure BES, comme la surveillance et la suppression de code malveillant, ainsi que la modification des mots de passe par défaut connus.
Signalement des incidents et planification de la réponse : décrit les exigences de réponse aux incidents, notamment la fréquence de documentation et la durée de conservation des preuves relatives aux incidents.
Plans de reprise pour les cybersystèmes BES : traite des exigences relatives aux plans de reprise afin de soutenir la stabilité continue du BES en cas d’incident.
Gestion des changements de configuration et des vulnérabilités : afin de prévenir et de détecter les modifications non autorisées apportées aux cybersystèmes BES, les organisations doivent respecter les spécifications définissant quand et comment configurer les paramètres.
Protection de l’information: Les entreprises doivent protéger les informations essentielles au fonctionnement du BES lors de leur stockage, de leur utilisation et de leur transit.
Communications entre centres de contrôle: Les données transmises entre les centres de contrôle doivent être protégées à tout moment.
Gestion des risques liés à la chaîne d’approvisionnement: Les organisations doivent mettre en œuvre des contrôles de sécurité afin d’atténuer les risques liés à la chaîne d’approvisionnement.
Sécurité physique: Les organisations doivent mettre en place un plan pour protéger leurs sites physiques et leurs postes électriques contre les attaques physiques.
La liste de contrôle de conformité NERC CIP est assez complète. En se concentrant ici sur les recommandations en matière de sécurité des mots de passe, les directives recommandent aux organisations de :
Révoquer l’accès aux comptes partagés afin d’éviter que les mots de passe des postes électriques et des appareils de production ne soient constamment modifiés en raison du renouvellement du personnel.
Utiliser un gestionnaire de mots de passe pour garantir des mots de passe forts et uniques pour les comptes afin de contribuer à réduire le risque d’attaques réussies par pulvérisation de mots de passe ou par bourrage d’identifiants, ainsi que de limiter le partage de mots de passe non sécurisé ou accidentel avec des personnes non autorisées.
Mettre en œuvre l’authentification multifacteur afin de renforcer davantage la sécurité.
Prévenir les attaques de mots de passe en ligne en limitant le nombre de tentatives qu’un attaquant peut effectuer.
Pourquoi Bitwarden est la meilleure solution de mots de passe pour les réseaux électriques de masse
Une cyberattaque contre un réseau électrique pourrait mettre à l’arrêt les opérations et l’approvisionnement électrique critique. Heureusement, les logiciels de conformité NERC CIP, comme Bitwarden, constituent la première ligne de défense contre les cybercriminels. En permettant aux fournisseurs d’énergie de générer et de gérer des mots de passe forts et uniques, Bitwarden réduit leur vulnérabilité aux violations liées aux mots de passe. Parmi les autres avantages clés :
Des contrôles d’accès basés sur les rôles qui permettent aux administrateurs de personnaliser et d’attribuer des autorisations granulaires, ainsi que de contrôler qui a accès à certaines fonctions. En limitant l’accès des utilisateurs selon les besoins, les organisations de réseaux électriques gardent le contrôle de leurs systèmes sensibles.
Un coffre chiffré de bout en bout qui protège non seulement les mots de passe, mais aussi les cartes d’entreprise et d’autres informations d’identification personnelle (PII).
Des fonctionnalités d’authentification multifacteur dotent les organisations d’une seconde couche d’authentification pour dissuader les attaques par force brute ou les menaces internes.
Des fonctionnalités de partage de mots de passe permettent aux équipes et aux services de générer, gérer et partager en toute sécurité des mots de passe complexes et d’autres données sensibles depuis n’importe quel lieu ou appareil.
Des options d’intégration fluides et flexibles incluent l’authentification unique (SSO) avec des fournisseurs d’identité et des services d’annuaire (y compris SCIM).
Une prise en main facile grâce à une console admin centralisée, où les politiques d’entreprise peuvent être activées et les utilisateurs provisionnés automatiquement.
Un accès multiplateforme avec un nombre illimité d’appareils.
Des rapports de vulnérabilité qui révèlent les mots de passe faibles ou réutilisés, ainsi que des journaux d’événements détaillés pour surveiller l’accès des utilisateurs et des groupes aux données sensibles grâce à des pistes d’audit.
Des audits de sécurité réguliers par des tierces parties, des analyses cryptographiques et des tests d’intrusion de Bitwarden afin de s’assurer que le gestionnaire de mots de passe respecte les normes de sécurité les plus élevées.
Comme le réseau électrique de masse alimente l’économie, a un impact sur la sécurité nationale et soutient la vie quotidienne, il est essentiel que les identifiants utilisés par les fournisseurs d’énergie restent hautement protégés par des mots de passe forts et uniques. La mise en œuvre d’un gestionnaire de mots de passe à l’échelle de l’entreprise sera également très bénéfique pour les organisations qui doivent satisfaire à des exigences NERC CIP strictes et juridiquement contraignantes.
Premiers pas avec Bitwarden
Pour découvrir les fonctionnalités et capacités professionnelles de Bitwarden, commencez par un essai gratuit dès aujourd’hui.