Secouer la sécurité : la nouvelle « échelle OT Richter » promet de la clarté au milieu du chaos cybernétique

Lorsqu’une cyberattaque arrête un pipeline ou inonde un réservoir d’eau, la confusion règne souvent : était-ce catastrophique ou juste un incident évité de peu ? Le battage médiatique, la panique et l’incertitude s’emballent - parfois plus vite que les faits. Désormais, un nouvel outil inspiré de la sismologie cherche à mettre de l’ordre dans ce chaos. Présenté lors de la conférence S4x26 à Miami, le score d’impact des incidents sur les technologies opérationnelles (OTI) vise à mesurer la magnitude des incidents OT avec la précision - et le panache - de l’échelle de Richter.

L’anatomie d’un cyber-séisme

Pendant des années, les conséquences des cyberattaques sur les systèmes industriels - pipelines pétroliers, réseaux électriques, services d’eau - ont été mesurées davantage à l’aune des gros titres qu’à celle de données concrètes. Dale Peterson, l’initiateur du modèle OTI, a constaté une lacune critique : « Les gens paniquent ou ignorent les vraies menaces parce qu’il n’existe aucun standard pour parler de l’impact », a-t-il confié à Netcrook. Le score OTI espère combler ce vide, en offrant une méthode rapide, transparente et reproductible pour évaluer les incidents.

Le score d’impact OTI dissèque chaque incident selon trois axes : Gravité (de la nuisance à la dévastation), Portée (l’étendue des dégâts), et Durée (combien de temps les opérations normales sont perturbées). Chacun est noté séparément, puis les scores sont multipliés et divisés par 100, produisant un chiffre unique sur une échelle allant du négligeable au catastrophique.

Cette approche apporte une nuance essentielle. L’attaque sur Colonial Pipeline en 2021 - une attaque par ransomware qui n’a même pas directement compromis les systèmes OT - a obtenu un score élevé en raison de ses effets en cascade : perturbations de livraison, pénuries régionales de carburant et plusieurs jours d’arrêt opérationnel. À l’inverse, une brèche mineure dans un service d’eau à Muleshoe, Texas, est à peine apparue sur l’échelle.

Le score OTI évite aussi les débats sans fin entre IT et OT. « Ce qui compte, c’est l’impact sur l’activité », affirme Sarah Fluchs d’Admeritia. « Pas de savoir si c’était techniquement une attaque OT. » En se concentrant sur la perturbation opérationnelle, le score vise à dépasser les considérations techniques pour cibler les dommages concrets.

Mais cette nouvelle échelle peut-elle devenir la langue commune du secteur ? Les experts y voient un potentiel, notamment pour les régulateurs et assureurs en quête de métriques standardisées. Mais des questions subsistent : comment mesurer les dommages à la réputation ? Quand un incident est-il vraiment « terminé » ? Les créateurs espèrent qu’un large soutien de l’industrie et des pouvoirs publics aidera le score OTI à s’imposer comme référence de confiance.

Perspectives

Dans un monde où les menaces cybernétiques sur les infrastructures critiques sont omniprésentes - et où la désinformation se propage rapidement - le score d’impact OTI pourrait marquer un tournant dans notre façon de comprendre, signaler et gérer les incidents cyber industriels. Reste à voir s’il saura résister aux secousses du réel.

WIKICROOK

• Technologies opérationnelles (OT) : Les technologies opérationnelles (OT) englobent les systèmes informatiques qui contrôlent les équipements et processus industriels, les rendant souvent plus vulnérables que les systèmes IT traditionnels.
• ICS (Système de contrôle industriel) : Les ICS sont des systèmes informatiques qui automatisent et contrôlent les processus industriels, tels que la production ou les services publics, et sont essentiels à l’efficacité et à la sécurité opérationnelles.
• Ransomware : Le ransomware est un logiciel malveillant qui chiffre ou verrouille des données, exigeant une rançon pour en restaurer l’accès.
• Gravité (dans les incidents cyber) : La gravité mesure à quel point un incident cyber est dommageable ou perturbateur, aidant les organisations à prioriser leur réponse et à allouer efficacement leurs ressources.
• Cyber : Cyber désigne le monde numérique des ordinateurs, réseaux et systèmes en ligne, avec un accent particulier sur la sécurité, les menaces et la résilience numérique.