Cybersécurité maritime et portuaire.

Cet article est aussi disponible en anglais.

Dans un article publié hier, la société Pen Test Partners, connue pour ses articles de blog sur la cybersécurité maritime, a publié un nouvel article un peu anxiogène sur le sujet.

Bon, il parait qu’il ne faut plus tenir de discours anxiogène, donc on va (essayer) de l’analyser sereinement.

La société, présente au Royaume-Uni et aux Etats-Unis, mène notamment des tests d’intrusions à la demande de ses clients sur différents types de navires. Dans leur article, ils précisent que, à chaque fois, ils parviennent à découvrir des systèmes d’informations que peu - voire aucun membre d’équipage - ne connait, ou qu’ils n’en connaissent pas l’utilité. Même si cela peu surprendre. Pourtant, il y peut y avoir des explications (que l’article ne souligne pas, préférant - un peu trop à mon goût - le buzz). Je vous donne quelques possibilités d’explication :

Cet article est aussi disponible en anglais.

Cela m’a toujours étonné, mais finalement assez peu de personnes connaissent bien le domaine des câbles sous-marins. Je ne parle pas seulement en termes de technologie, mais il est assez surprenant de constater que certains ignorent même jusqu’à leur existence. Il faut dire que, tapis, dans les profondeurs des océans, il est tentant de les oublier. Pourtant, ils permettent au quotidien le transit de 98 % des communications téléphoniques et des transferts de données intercontinentaux. Sans eux, notre quotidien et notre économie seraient profondément bouleversés.

Le site Internet de la ville de Brest et de Brest Métropole Océane ainsi que le journal Le Télégramme nous informent que les choses avancent sur la création d’un centre national (voire européen ?) de cybersécurité maritime à Brest, sujet que j’évoquais déjà à propos du comité interministériel pour la mer et du rapport annuel d’Armateurs de France. L’annonce publique officielle de la candidature de Brest a été réalisée aujourd’hui par Michel Gourtay, président du Technopôle Brest-Iroise (TBI) et vice-président de Brest Métropole chargé de l’économie à l’issue du conseil d’administration du Technopôle.

Le rapport annuel de l’organisation professionnelle Armateurs de France vient de paraître. Cette organisation joue notamment le rôle de porte-parole des acteurs du transport et des services maritimes français.

Ce rapport évoque à plusieurs reprises le sujet de la cybersécurité maritime. En voici les principaux points :

1. Page 17, un encart intéressant sur le partenariat stratégique signé entre le groupe Bourbon et le Bureau Veritas concernant l’automatisation des navires du groupe. Frédéric Moulin, vice-président Innovation & Standards opérationnels chez Bourbon précise que « dans les services maritimes, les technologies connectées sont sources de réduction des coûts d’exploitation tout en maintenant les standards de qualité et de sécurité les plus élevés ». Dans ce contexte, la cybersécurité est bien entendu une menace particulière à prendre en compte. BV a fait appel à une filiale d’Airbus pour identifier et réduire les risques cyber, notamment ceux liés à la communication entre les navires et les infrastructures à terre. On rappelle que Bureau Veritas propose une certification cybersécurité des navires
2. Page 25, le rapport ouvre un chapitre particulier sur la cybersécurité. Après avoir rappelé la numérisation croissante du secteur, le rapport rappelle le caractère indispensable de la mise en œuvre de mesures de cybersécurité. Armateurs de France rappelle ensuite sa participation, au sein du Comité France Maritime, aux travaux codirigés par le Secrétariat Général de la Mer (SGMER). Le rapport rappelle la création du Conseil Cybersécurité du Monde Maritime (C2M2), qui aura pour mission la sécurisation du domaine maritime, l’identification des projets industriels, l’accompagnement des mesures de prévention, de formation et de cyber-résilience. Par ailleurs, le rapport souligne également la création, annoncée lors du CIMER et déjà analysée sur ce site, d’un centre national de coordination de la cybersécurité pour le maritime, dont les missions n’ont, à notre connaissance, pas été publiquement annoncées.
3. Enfin, page 38, le rapport donne la parole à Thibaut Marrel, spécialiste en cyber-sécurité à l’Agence nationale de sécurité des systèmes d’information (ANSSI), sur l’application de la directive européenne NIS ( Network & Information Security) au secteur maritime français. Les sociétés de transport de passagers et de fret, dont les principales seront concernées par l’application de cette directive en raison de leur statut d’Opérateur de Service Essentiel (OSE). Thibaut Marrel rappelle que ces compagnies auront l’obligation de recenser et de déclarer à l’ANSSI leurs systèmes d’information les critiques, d’y appliquer des règles de cyber-sécurité et de déclarer les incidents après de l’agence. Ainsi, T. Marrel rappelle que 23 règles de sécurité devront ainsi être appliquées dans un délai allant de trois mois à trois ans. Ces mesures, bonnes pratiques d’hygiène informatique, mais aussi techniques et organisationnelles, sont détaillées dans l’arrêté relatif à la cyber-sécurité applicable aux OSE. Les navires sont (hélas) explicitement exclus du périmètre d’application de la directive, alors que leur cyber-sécurité est pourtant essentielle, comme rappelé à plusieurs reprises sur ce site.

Le Comité Interministériel pour la MER (CIMER), est une réunion régulière organisée par le SGMer et placée sous la présidence du Premier ministre. Le comité regroupe les grands acteurs et ministères concernés par le secteur maritime et aborde les sujets d’actualité et d’avenir du domaine. Sa dernière édition s’est tenue à Dunkerque le 15 novembre 2018.

Dans le dossier de presse, 82 mesures sont listées. Notre attention a été particulièrement portée sur la mesure n°46 :

Cet article est aussi disponible en anglais.

Nous l’avions évoqué l’année dernière, les autorités du port de Singapour ont inauguré le 16 mai 2019 leur centre opérationnel de cybersécurité maritime (Maritime Security Operations Center, MSOC). Singapour est un hub mondial important dans le transbordement, notamment pour les containers.

“Il était donc important que nous protégions notre infrastructure maritime et portuaire pour prévenir toute interruption majeure de nos activités portuaires et la fourniture de services”,